Ngân hàng đối tác cổng thanh toán không dùng tiền mặt gửi một bảng câu hỏi bảo mật dài bốn trang trước khi ký hợp đồng kết nối máy POS cho quầy viện phí. Câu đầu tiên: hệ thống lưu trữ dữ liệu thanh toán có đạt chứng nhận ISO 27001 hay tương đương không. Không ít bệnh viện lúng túng đúng ở câu hỏi này, vì trước giờ chỉ tập trung vào nghiệp vụ thu ngân mà chưa từng đặt câu hỏi ISO 27001 bảo mật dữ liệu y tế áp dụng cụ thể ra sao cho riêng hồ sơ thanh toán. Một phiếu thu viện phí không đơn thuần là một dòng số tiền: nó gộp chung định danh người bệnh, mã thẻ bảo hiểm y tế, chi tiết dịch vụ khám chữa bệnh và đôi khi cả dữ liệu giao dịch ngân hàng. Ba lớp dữ liệu đó cộng lại tạo ra mức rủi ro khác hẳn một giao dịch bán lẻ thông thường, và cũng là lý do đối tác thanh toán, cơ quan giám định bắt đầu đòi hỏi bằng chứng cụ thể thay vì chỉ nghe cam kết miệng.
Ba lớp dữ liệu nhạy cảm cộng dồn trong một phiếu thu viện phí
Rủi ro của dữ liệu viện phí không nằm ở một trường thông tin đơn lẻ, mà ở việc ba lớp dữ liệu khác bản chất cùng xuất hiện trên một bản ghi.
- Dữ liệu định danh và sức khỏe: họ tên, ngày sinh, số căn cước, chẩn đoán hoặc tên dịch vụ khám chữa bệnh gắn với đúng người bệnh đó.
- Dữ liệu bảo hiểm y tế: mã thẻ, mức hưởng, mã cơ sở đăng ký khám chữa bệnh ban đầu, phần chi trả từ quỹ bảo hiểm.
- Dữ liệu giao dịch tài chính: số tiền thu, mã giao dịch của cổng thanh toán hoặc ngân hàng, đôi khi cả bốn số cuối của thẻ khi quẹt qua máy POS.
Một sự cố lộ dữ liệu ở khâu này vì vậy vừa vi phạm quy định bảo vệ dữ liệu cá nhân, vừa ảnh hưởng đến quyền lợi bảo hiểm y tế của người bệnh, vừa kéo theo rủi ro gian lận tài chính. Đây chính là lý do khung kiểm soát cho riêng module viện phí cần được thiết kế chặt hơn mức trung bình của toàn hệ thống, thay vì dùng chung một bộ kiểm soát cho mọi phân hệ.
Hồ sơ thanh toán viện phí gộp chung dữ liệu định danh, dữ liệu bảo hiểm y tế và dữ liệu giao dịch tài chính trên cùng một bản ghi.
ISO/IEC 27001 kiểm soát điều gì, và vì sao đối tác hay hỏi tới
ISO/IEC 27001 là tiêu chuẩn quốc tế về hệ thống quản lý an toàn thông tin, thường gọi tắt là ISMS. Khác với một sản phẩm bảo mật đơn lẻ như tường lửa hay phần mềm chống mã độc, ISMS là một khung quản lý: xác định tài sản thông tin cần bảo vệ, đánh giá rủi ro với từng tài sản, chọn kiểm soát tương ứng, vận hành kiểm soát đó và rà soát định kỳ để cải tiến.
Phiên bản hiện hành ISO/IEC 27001:2022 quy định 93 kiểm soát tại Phụ lục A, chia thành bốn nhóm: kiểm soát tổ chức, kiểm soát con người, kiểm soát vật lý và kiểm soát công nghệ. Tổ chức muốn được cấp chứng nhận phải trải qua đánh giá độc lập bởi một tổ chức chứng nhận được công nhận (accredited), không phải tự công bố đạt chuẩn. Đây là lý do đối tác ngân hàng hoặc đơn vị giám định coi chứng nhận ISO 27001 là một bằng chứng đáng tin hơn lời cam kết trong hợp đồng: nó xác nhận đã có bên thứ ba độc lập kiểm tra thực tế quy trình, không chỉ tài liệu trên giấy.
Với riêng dữ liệu thanh toán y tế, các nhóm kiểm soát công nghệ (mã hóa, kiểm soát truy cập, nhật ký sự kiện) và kiểm soát tổ chức (đánh giá rủi ro nhà cung cấp thứ ba, quản lý sự cố) thường là phần được soi kỹ nhất khi đối tác thẩm định.
Khung pháp lý Việt Nam giao thoa với ISO 27001 ở những điểm nào
ISO 27001 là tiêu chuẩn tự nguyện, không thay thế nghĩa vụ pháp lý trong nước. Ba văn bản dưới đây là phần khung bắt buộc mà một hệ thống viện phí tại Việt Nam vẫn phải đáp ứng song song, dù có theo đuổi chứng nhận ISO 27001 hay không.
| Văn bản | Phạm vi điều chỉnh | Liên hệ với ISO 27001 |
|---|---|---|
| Nghị định 85/2016/NĐ-CP | Phân loại hệ thống thông tin theo 5 cấp độ an toàn và nghĩa vụ tương ứng của chủ quản hệ thống. Từ 01/7/2026, khung này chuyển sang Luật An ninh mạng 116/2025/QH15 và nghị định hướng dẫn đi kèm | Trùng một phần với nhóm kiểm soát công nghệ và kiểm soát vật lý của ISO 27001, nhưng là nghĩa vụ bắt buộc, không phải tự nguyện |
| Nghị định 356/2025/NĐ-CP | Bảo vệ dữ liệu cá nhân, thay thế Nghị định 13/2023/NĐ-CP, hiệu lực từ 01/01/2026 | Tương ứng nhóm kiểm soát về quyền riêng tư và xử lý dữ liệu cá nhân trong ISMS, đặc biệt với dữ liệu sức khỏe - vốn thuộc loại dữ liệu cá nhân nhạy cảm |
| Nghị định 102/2025/NĐ-CP | Quản lý dữ liệu y tế, hiệu lực từ 01/7/2025 | Quy định riêng cho dữ liệu ngành y tế, cần đọc song song khi xác định phạm vi (scope) của hệ thống quản lý an toàn thông tin cho module viện phí |
Lưu ý: ISO 27001 và ba văn bản trên không loại trừ nhau. Một hệ thống viện phí đạt chứng nhận ISO 27001 vẫn phải tự rà soát xem đã đáp ứng đủ nghĩa vụ trong nước hay chưa, vì phạm vi đánh giá của tổ chức chứng nhận quốc tế không mặc định bao trùm toàn bộ yêu cầu pháp lý Việt Nam.
Áp kiểm soát ISO 27001 vào từng khâu vận hành thu ngân viện phí
Nói ISO 27001 mà không gắn được vào thao tác cụ thể tại quầy thu ngân thì chỉ là một tấm bằng treo tường. Năm nhóm kiểm soát dưới đây là phần chạm trực tiếp nhất vào vận hành viện phí hằng ngày.
- Mã hóa dữ liệu khi truyền và khi lưu trữ: dữ liệu thẻ bảo hiểm y tế, thông tin giao dịch gửi giữa HIS và cổng thanh toán phải mã hóa trên đường truyền (TLS) và mã hóa khi lưu trong cơ sở dữ liệu, không lưu bản rõ ở bất kỳ khâu trung gian nào.
- Kiểm soát truy cập theo vai trò: thu ngân, ca trưởng, kế toán viện phí và kiểm soát nội bộ chỉ được xem đúng phần dữ liệu thuộc phạm vi công việc, không dùng chung một tài khoản quản trị cho nhiều vai trò.
- Nhật ký sự kiện bất biến: mọi thao tác tạo, sửa, hủy phiếu thu phải ghi lại người thực hiện, thời điểm, giá trị trước và sau, không thể sửa hoặc xóa kể cả bằng tài khoản quản trị ứng dụng. Đây cũng là nội dung đã bàn kỹ trong bài phân quyền và nhật ký giao dịch thu ngân.
- Đánh giá rủi ro nhà cung cấp thứ ba: cổng thanh toán, đơn vị cung cấp hạ tầng máy chủ, đối tác tích hợp cổng giám định bảo hiểm y tế đều là bên thứ ba có thể chạm vào dữ liệu viện phí, cần có hợp đồng ràng buộc trách nhiệm bảo mật rõ ràng.
- Quản lý sự cố an toàn thông tin: quy trình phát hiện, báo cáo và xử lý khi nghi ngờ có truy cập trái phép vào dữ liệu thanh toán, kèm thời hạn thông báo cụ thể cho các bên liên quan.
Kiểm soát truy cập theo vai trò và nhật ký sự kiện bất biến là hai kiểm soát chạm trực tiếp vào thao tác hằng ngày tại quầy thu ngân.
Rà soát kiểm soát bảo mật dữ liệu viện phí đang dùng
Đội ngũ MyHospital có thể cung cấp hồ sơ mô tả cơ chế mã hóa, phân quyền, nhật ký giao dịch và quy trình sao lưu của hệ thống, làm căn cứ khi đối tác thanh toán hoặc đoàn kiểm tra yêu cầu bằng chứng an toàn thông tin.
Lộ trình chuẩn bị hồ sơ tuân thủ ISO 27001 cho module viện phí
Một cơ sở y tế hoặc nhà cung cấp phần mềm muốn chứng minh mức độ tuân thủ tương đương ISO 27001 cho riêng dữ liệu thanh toán thường đi qua trình tự sau, không nhất thiết phải theo đuổi chứng nhận đầy đủ ngay từ đầu.
- Xác định phạm vi (scope): khoanh vùng rõ module viện phí, các hệ thống liên quan (HIS, cổng thanh toán, cổng giám định bảo hiểm y tế) và luồng dữ liệu giữa chúng.
- Đánh giá rủi ro: liệt kê tài sản thông tin trong phạm vi, xác định mối đe dọa và lỗ hổng tương ứng, xếp hạng mức độ ưu tiên xử lý.
- Lập bản công bố áp dụng (Statement of Applicability): chọn trong 93 kiểm soát của Phụ lục A những kiểm soát phù hợp với rủi ro đã xác định, nêu rõ lý do áp dụng hoặc loại trừ từng kiểm soát.
- Triển khai kiểm soát và đào tạo nhân sự: từ cấu hình kỹ thuật (mã hóa, phân quyền, nhật ký) đến quy trình nội bộ (xử lý sự cố, quản lý thay đổi).
- Đánh giá nội bộ: tự kiểm tra xem kiểm soát đã triển khai có vận hành đúng như thiết kế hay chỉ tồn tại trên tài liệu.
- Đánh giá độc lập bởi tổ chức chứng nhận: nếu hướng tới chứng nhận chính thức, bước này do một tổ chức được công nhận thực hiện, gồm cả đánh giá tài liệu và đánh giá thực địa.
Sai lầm thường gặp: Nhiều cơ sở dừng lại ở bước lập chính sách bằng văn bản mà bỏ qua bước đánh giá nội bộ, dẫn đến tình trạng tài liệu nói một đằng, hệ thống vận hành thực tế lại một nẻo - đúng chỗ đoàn đánh giá độc lập hoặc đối tác thẩm định dễ phát hiện nhất.
Đánh giá rủi ro và lập bản công bố áp dụng là hai bước quyết định mức độ phù hợp của kiểm soát với dữ liệu viện phí thực tế.
Câu hỏi cần hỏi nhà cung cấp HIS trước khi tin vào cam kết bảo mật
Phần lớn nhà cung cấp đều trả lời "có" khi được hỏi hệ thống có bảo mật không. Khác biệt chỉ lộ ra khi bên mua đòi bằng chứng cụ thể thay vì chấp nhận câu trả lời chung chung.
| Câu hỏi thẩm định | Bằng chứng cần thấy | Dấu hiệu cần cảnh giác |
|---|---|---|
| Dữ liệu thanh toán có được mã hóa khi truyền và khi lưu trữ không? | Tài liệu kỹ thuật nêu rõ thuật toán mã hóa, phạm vi áp dụng cho từng loại dữ liệu | Chỉ trả lời "có mã hóa" mà không nêu được cơ chế cụ thể |
| Hệ thống có đạt chứng nhận ISO 27001 hay đang trong lộ trình nào? | Giấy chứng nhận còn hiệu lực, hoặc bản công bố áp dụng và kế hoạch đánh giá | Nói "tuân thủ chuẩn quốc tế" nhưng không nêu được tên tiêu chuẩn cụ thể |
| Ai chịu trách nhiệm khi xảy ra sự cố lộ dữ liệu ở bên cung cấp hạ tầng? | Điều khoản hợp đồng nêu rõ trách nhiệm, thời hạn thông báo sự cố | Hợp đồng không đề cập trách nhiệm khi có sự cố từ bên thứ ba |
| Nhật ký giao dịch viện phí có thể bị sửa hoặc xóa bởi tài khoản nào không? | Cơ chế kỹ thuật cụ thể (ví dụ ghi log tách quyền, lưu trữ chỉ ghi thêm) | Chỉ khẳng định "không cho xóa" mà không nêu được cơ chế ở tầng cơ sở dữ liệu |
| Dữ liệu có được sao lưu định kỳ và đã kiểm thử khôi phục chưa? | Lịch sao lưu, biên bản diễn tập khôi phục dữ liệu gần nhất | Chỉ có chính sách sao lưu trên giấy, chưa từng diễn tập khôi phục thực tế |
Kiểm soát vật lý - từ camera giám sát đến tủ khóa máy chủ - là một trong bốn nhóm kiểm soát của ISO/IEC 27001, thường bị bỏ qua khi thẩm định chỉ tập trung vào phần mềm.
Ba việc làm ngay tuần này trước khi đối tác gửi bảng câu hỏi bảo mật kế tiếp
Không cần chờ một dự án chứng nhận đầy đủ mới bắt đầu siết lại bảo mật dữ liệu viện phí. Ba việc dưới đây có thể làm ngay mà không cần thêm ngân sách lớn.
- Liệt kê lại toàn bộ nơi dữ liệu thanh toán viện phí đang đi qua: từ máy trạm thu ngân, HIS, cổng thanh toán đến cổng giám định bảo hiểm y tế, đánh dấu chỗ nào chưa mã hóa hoặc chưa có nhật ký đầy đủ.
- Rà lại hợp đồng với các bên thứ ba (cổng thanh toán, đơn vị hạ tầng) xem điều khoản trách nhiệm khi xảy ra sự cố đã rõ ràng chưa.
- Yêu cầu nhà cung cấp phần mềm viện phí cung cấp bằng văn bản mô tả cơ chế mã hóa, phân quyền và nhật ký hiện có, thay vì chỉ dựa vào lời giới thiệu khi ký hợp đồng.
Xử lý xong ba việc này, cơ sở y tế đã sẵn sàng trả lời phần lớn câu hỏi trong bất kỳ bảng thẩm định bảo mật nào từ đối tác thanh toán hay cơ quan giám định, mà không phải chờ tới khi họ hỏi mới bắt đầu tìm câu trả lời. Đây cũng là nền tảng để mở rộng sang toàn bộ giải pháp quản lý viện phí và giám định BHYT chứ không chỉ dừng ở riêng khâu bảo mật, và là một phần không thể tách rời khi lựa chọn phần mềm quản lý bệnh viện cho cơ sở của mình.
Bài liên quan:
- Phân quyền và nhật ký giao dịch thu ngân viện phí
- Chống thất thu viện phí: 8 lỗ hổng và cơ chế khóa chéo HIS
