Vì sao ngành y tế lại hấp dẫn tin tặc đến vậy?

Dữ liệu bệnh nhân chứa đựng gần như mọi thứ về một con người: số bảo hiểm, tiền sử bệnh, thông tin thanh toán, thậm chí cả mã di truyền. Trên thị trường chợ đen, một bộ hồ sơ y tế đầy đủ có thể được bán với giá cao gấp nhiều lần so với thông tin thẻ tín dụng thông thường, bởi nó gần như không thể thay đổi được như một mật khẩu. Nhiều bệnh viện, đặc biệt là những nơi vẫn dùng phần mềm cũ kỹ, đã bắt đầu triển khai VPN để mã hóa đường truyền cho nhân viên làm việc từ xa, nhưng không phải nơi nào cũng làm điều đó kịp thời.

Hệ thống công nghệ thông tin trong y tế thường là một mớ hỗn độn được xây dựng qua nhiều thập kỷ, ghép nối giữa thiết bị cũ và phần mềm mới. Kết quả là những lỗ hổng bảo mật trong ngành y tế thường tồn tại âm thầm trong nhiều năm mà không ai phát hiện, cho đến khi có kẻ xấu tìm ra chúng trước.

Những con số biết nói về quy mô của vấn đề

Chi phí trung bình cho một vụ rò rỉ dữ liệu trong ngành y tế đã vượt xa mọi ngành khác, theo nhiều báo cáo an ninh mạng toàn cầu, có năm được ghi nhận lên tới hơn 10 triệu đô la cho mỗi sự cố. Con số này bao gồm tiền chuộc, chi phí khôi phục hệ thống, phạt hành chính và cả thiệt hại về uy tín — thứ khó đo đếm nhưng thường kéo dài lâu nhất.

Đáng lo ngại hơn, số vụ tấn công bằng mã độc tống tiền nhắm vào bệnh viện đã tăng đều đặn trong vài năm gần đây. Có những thời điểm, cứ vài ngày lại có một cơ sở y tế báo cáo bị xâm nhập ở đâu đó trên thế giới. Quy mô nhỏ hay lớn không quan trọng; tin tặc nhắm vào bất kỳ ai có dữ liệu giá trị và hệ thống phòng thủ yếu.

Hậu quả không chỉ dừng lại ở mất dữ liệu

Khi hệ thống bệnh viện bị tê liệt, hậu quả không chỉ là những con số trên báo cáo tài chính. Bác sĩ có thể mất quyền truy cập vào hồ sơ bệnh án ngay giữa ca trực. Xét nghiệm bị trì hoãn. Trong một số trường hợp được ghi nhận, bệnh nhân đã phải chuyển viện khẩn cấp vì hệ thống máy móc không thể vận hành an toàn.

Về lâu dài, niềm tin của người bệnh cũng bị tổn thương. Một khi thông tin sức khỏe riêng tư bị rò rỉ, rất khó để lấy lại sự tin tưởng đó, dù bệnh viện có xin lỗi bao nhiêu lần đi nữa.

Giải pháp nào đang được áp dụng?

May mắn là ngày càng nhiều bệnh viện chủ động thay đổi cách tiếp cận. Mã hóa dữ liệu ở cả trạng thái lưu trữ lẫn truyền tải đang trở thành tiêu chuẩn bắt buộc, không còn là lựa chọn thêm. Với nhân viên làm việc từ xa hoặc truy cập hệ thống ngoài giờ, một công cụ như VeePN - kiểm tra địa chỉ IP của bạn có thể giúp họ nhận biết mức độ lộ diện của kết nối trước khi đăng nhập vào dữ liệu nhạy cảm. Không cần thiết lập phức tạp hay thời gian học hỏi.

Bên cạnh đó, mô hình "zero trust" — tức là không mặc định tin tưởng bất kỳ thiết bị hay tài khoản nào cho đến khi được xác minh — đang được nhiều tổ chức y tế lớn thử nghiệm. Kiểm tra bảo mật định kỳ, thay vì chỉ khi có sự cố xảy ra, cũng đang trở thành thông lệ mới.

Những lỗ hổng bảo mật phổ biến trong bệnh viện

Phần lớn các cuộc tấn công không đến từ những kỹ thuật quá tinh vi. Chúng thường lợi dụng những sơ hở rất cơ bản, ví dụ như:

• Phần mềm và hệ điều hành đã lỗi thời, không còn được cập nhật bản vá

• Thiết bị y tế kết nối internet (máy bơm insulin, máy theo dõi từ xa) nhưng thiếu mã hóa

• Mật khẩu yếu hoặc được dùng chung giữa nhiều nhân viên

• Email giả mạo (phishing) nhắm vào nhân viên hành chính, những người ít được đào tạo về bảo mật

• Thiếu quy trình phản ứng rõ ràng khi sự cố xảy ra

Chỉ cần một trong số này bị bỏ ngỏ, toàn bộ hệ thống có thể trở thành cánh cửa mở cho kẻ tấn công.

Chuyên gia bảo mật nói gì?

Một chuyên gia lâu năm trong lĩnh vực bảo mật hệ thống từng nhận xét đại ý rằng: bệnh viện đang cố gắng bảo vệ dữ liệu quý giá nhất của con người bằng công nghệ cũ nhất trong toàn bộ nền kinh tế số. Nhận định này nghe có vẻ gay gắt, nhưng nó phản ánh khá đúng thực trạng ở không ít nơi.

Vấn đề không nằm ở thiếu ý thức, mà ở nguồn lực. Ngân sách công nghệ thông tin trong y tế thường bị đặt sau các ưu tiên khác như thiết bị y khoa hay nhân sự lâm sàng.

Vai trò của con người, yếu tố thường bị bỏ quên

Công nghệ tốt đến đâu cũng vô nghĩa nếu nhân viên vẫn click vào một đường link đáng ngờ trong email. Đào tạo nhận thức bảo mật cho toàn bộ nhân viên, từ bác sĩ đến lễ tân, đang được xem là một trong những khoản đầu tư hiệu quả nhất mà một bệnh viện có thể thực hiện.

Xây dựng văn hóa "báo cáo khi nghi ngờ" thay vì né tránh trách nhiệm cũng quan trọng không kém. Một nhân viên dám lên tiếng khi thấy điều bất thường có thể ngăn chặn thiệt hại lớn hơn nhiều so với bất kỳ phần mềm nào.

Kết luận: một ưu tiên, không còn là lựa chọn

An ninh mạng trong ngành y tế không còn là vấn đề kỹ thuật thuần túy nằm sau cánh cửa phòng IT. Nó liên quan trực tiếp đến sự an toàn của người bệnh, uy tín của cơ sở y tế và cả niềm tin của cả một cộng đồng. Câu hỏi tại sao ngày nay vấn đề này lại được nhắc đến nhiều đến vậy có lẽ đã có câu trả lời: bởi vì cái giá của sự chủ quan đang ngày càng quan trọng hơn bao giờ hết, và không ai muốn là người phải trả giá đó.