Ngày 11 tháng 11 năm 2026, Bộ trưởng Bộ Y tế ban hành Quyết định số 3482/QĐ-BYT ban hành Quy chế Quản lý, vận hành, sử dụng, khai thác, chia sẻ dữ liệu và bảo đảm an toàn thông tin, an ninh mạng Hệ thống cơ sở dữ liệu về dược.
Quy chế này quy định về nguyên tắc, quyền hạn, trách nhiệm, phương thức quản lý, vận hành, sử dụng, khai thác, chia sẻ dữ liệu và đảm bảo an toàn thông tin, an ninh mạng của Hệ thống cơ sở dữ liệu về dược.
Quy chế này được áp dụng đối với các đơn vị, cá nhân tham gia quản lý, vận hành, sử dụng, khai thác Hệ thống cơ sở dữ liệu về dược, bao gồm:
(1) Các đơn vị thuộc, trực thuộc Bộ Y tế bao gồm: Cục Quản lý Dược; Trung tâm Thông tin y tế Quốc gia.
(2) Sở Y tế tỉnh, thành phố.
(3) Các cơ sở kinh doanh dược: Cơ sở xuất/nhập khẩu thuốc, Cơ sở bán buôn thuốc, Cơ sở bán lẻ thuốc (nhà thuốc, quầy thuốc, tủ thuốc trạm y tế xã), Chuỗi nhà thuốc và các nhà thuốc thành viên thuộc chuỗi.
(4) Các đơn vị cung cấp phần mềm có liên quan đến Hệ thống cơ sở dữ liệu về dược.
(5) Tổ chức, cá nhân, đơn vị khác có liên quan đến quản lý, vận hành, sử dụng và khai thác hệ thống, cơ sở dữ liệu của Hệ thống cơ sở dữ liệu về dược.
Tại Quy chế quy định về cấp độ bảo đảm an toàn thông tin của Hệ thống cơ sở dữ liệu về dược như sau:
1. Hệ thống cần lập hồ sơ đề xuất cấp độ và triển khai các biện pháp bảo đảm an toàn thông tin đáp ứng cấp độ 3 theo quy định tại Khoản 2, Điều 9 Nghị định 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.
2. Trung tâm Thông tin y tế Quốc gia phối hợp thực hiện xây dựng hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn thông tin theo cấp độ cho hệ thống. Có trách nhiệm rà soát hồ sơ cấp độ, phương án bảo đảm an toàn thông tin theo cấp độ và trình lãnh đạo Trung tâm để gửi cơ quan chức năng phê duyệt theo quy định.
Quy chế cũng quy định về an toàn thông tin, an ninh mạng trong quá trình sử dụng như sau:
1. Các đơn vị, cá nhân chịu trách nhiệm quản lý, cập nhật, khai thác, sử dụng thông tin trên Hệ thống khi được cấp tài khoản, mật khẩu, quyền hạn và có trách nhiệm bảo mật tài khoản đăng nhập, bảo quản các trang thiết bị và sử dụng đúng quyền hạn được xác lập trên hệ thống. Tên đăng nhập, mật khẩu là căn cứ để xác định trách nhiệm của từng người sử dụng trong việc thực hiện các chức năng của Hệ thống.
2. Người được giao quản trị mạng chịu trách nhiệm quản lý, bảo mật thông tin máy chủ và đảm bảo an toàn, an ninh mạng.
3. Người được giao trách nhiệm quản trị tài khoản phải thay đổi mật khẩu và sử dụng mật khẩu mạnh (mật khẩu tối thiểu 8 ký tự bao gồm: chữ in hoa, chữ thường, số, ký tự đặc biệt khác). Định kỳ tối thiểu 06 tháng người quản trị tài khoản cần thay đổi mật khẩu 01 lần để đảm bảo an toàn.
4. Dữ liệu được cập nhật hàng ngày và cuối mỗi tháng phải được lưu trữ thành 01 (một) bản dự phòng. Bản dự phòng này có thể khôi phục được trong trường hợp hệ thống bị sự cố cần phục hồi dữ liệu. Dữ liệu dự phòng phải đảm bảo được lưu trên thiết bị lưu trữ thống nhất, bảo mật và an toàn.
5. Thường xuyên theo dõi, kiểm tra và có biện pháp đảm bảo an toàn về thông tin và đảm bảo tính tương thích trong toàn hệ thống khi có sự thay đổi về công nghệ, thiết bị.
6. Định kỳ hàng năm thực hiện lập kế hoạch, kiểm tra, đánh giá an toàn thông tin và quản lý rủi ro an toàn thông tin cho Hệ thống do tổ chức chuyên môn được cơ quan có thẩm quyền cấp phép hoặc tổ chức sự nghiệp nhà nước có chức năng, nhiệm vụ phù hợp do chủ quản hệ thống thông tin chỉ định thực hiện theo quy định của pháp luật.
7. Xây dựng kế hoạch khôi phục hoạt động bình thường của hệ thống trong trường hợp xảy ra sự cố hoặc thảm họa.
8. Khóa máy tính và các thiết bị có tính năng tương tự máy tính khi tạm thời rời khỏi vị trí làm việc. Đóng các phiên làm việc của ứng dụng khi hoàn tất, trừ khi đã có cơ chế bảo vệ thích hợp.
9. Không truy cập từ xa vào trực tiếp các máy chủ sử dụng để cài đặt Hệ thống, người sử dụng cần truy cập từ xa thì phải truy cập gián tiếp qua giao thức mạng an toàn, có hỗ trợ mã hóa bảo mật thông tin như VPN.
10. Không tự ý thay đổi cấu hình thiết bị đã được thiết lập, việc thay đổi phải thông báo đến bộ phận chuyên trách.
Yêu cầu an toàn thông tin, an ninh đối với Hệ thống
(1) Yêu cầu chung
- Có bộ phận chuyên trách, có trách nhiệm quản lý, vận hành và bảo đảm an toàn, an ninh mạng cho Hệ thống cơ sở dữ liệu về dược.
- Định kỳ hàng năm, Hệ thống cơ sở dữ liệu về dược phải được kiểm tra, đánh giá an toàn, an ninh mạng tổng thể. Thực hiện kiểm tra, đánh giá an toàn, an ninh mạng trước khi đưa vào sử dụng phiên bản mới theo quy định.
- Thực hiện theo phương án bảo đảm an toàn, an ninh mạng cho Hệ thống được ban hành kèm theo quy chế an toàn thông tin sau mỗi lần đánh giá an toàn thông tin.
- Thực hiện phương án ứng cứu sự cố an toàn, an ninh mạng cho Hệ thống được ban hành kèm theo quy chế an toàn thông tin sau mỗi lần đánh giá an toàn thông tin.
(2) Yêu cầu an toàn mạng
- Không cho phép truy cập trực tiếp từ xa vào máy chủ, thiết bị để quản trị hoặc thay đổi cấu hình hệ thống. Kết nối gián tiếp phải thông qua mạng riêng ảo (VPN) hoặc giao thức có hỗ trợ mã hóa bảo mật tương đương.
- Có hệ thống quản lý tập trung phần mềm phòng chống mã độc, hệ thống lưu trữ tập trung, hệ thống giám sát tập trung, hệ thống quản lý cập nhật bản vá tập trung, hệ thống quản lý tài khoản tập trung.
- Có hệ thống phòng, chống tấn công có chủ đích, hệ thống phát hiện xâm nhập, hệ thống tường lửa ứng dụng web.
- Chỉ cho phép máy tính trong vùng mạng quản trị Hệ thống được kết nối vào thiết bị, máy chủ để quản trị hoặc thay đổi cấu hình.
(3) Yêu cầu an toàn máy chủ
- Hệ thống máy chủ của hệ thống phải được kiểm tra, đánh giá và xử lý điểm yếu an toàn, an ninh mạng trước khi đưa vào vận hành khai thác.
- Hệ thống máy chủ phải được cấu hình tăng cường bảo mật an toàn, an ninh mạng tối thiểu bao gồm các nội dung sau, trước khi đưa vào sử dụng: Thiết lập cơ chế tự động cập nhật. Thiết lập chính sách mật khẩu an toàn. Thiết lập chính sách ghi nhật ký hệ thống. Phân quyền quản trị và quyền truy cập cho tài khoản của hệ điều hành. Tắt hoặc gỡ bỏ các dịch vụ không sử dụng. Thiết lập chính sách tự động sao lưu, dự phòng.
- Hệ thống máy chủ phải được cài đặt hệ thống phòng chống mã độc (trên các hệ điều hành hỗ trợ), được thiết lập cấu hình tự động cập nhật.
(4) Yêu cầu an toàn ứng dụng
- Hệ thống phải được kiểm tra, đánh giá và xử lý điểm yếu an toàn, an ninh mạng trước khi đưa vào vận hành khai thác và thực hiện kiểm tra, đánh giá an toàn thông tin độc lập định kỳ theo quy định.
- Chỉ cho phép các máy tính trong vùng mạng quản trị truy cập, quản lý máy chủ của hệ thống. Trường hợp cần thiết phải truy cập từ xa thì phải truy cập gián tiếp qua kết nối VPN hoặc giao thức có chức năng tương đương.
(5) Kết quả kiểm tra đánh giá an toàn thông tin (hàng năm) của Hệ thống được xử lý lỗ hổng bảo mật liên quan (nếu có) và lưu trữ tại Trung tâm Thông tin y tế Quốc gia.
Quy trình ứng phó và xử lý sự cố lộ lọt, rò rỉ dữ liệu cá nhân
1. Khi phát hiện hoặc có căn cứ cho thấy xảy ra sự cố vi phạm quy định về bảo vệ dữ liệu cá nhân (bao gồm các hành vi làm mất, rò rỉ, lộ lọt, truy cập trái phép hoặc thay đổi trái phép dữ liệu cá nhân của bệnh nhân, người mua thuốc, cán bộ y tế... lưu trữ trên Hệ thống), các đơn vị quy định tại Điều 2 Quy chế này phải lập tức kích hoạt quy trình ứng phó khẩn cấp.
2. Quy trình xử lý nội bộ và khắc phục sự cố:
- Cơ sở kinh doanh dược, Sở Y tế hoặc đơn vị phát hiện sự cố phải lập tức thực hiện các biện pháp kỹ thuật để cô lập vùng dữ liệu bị ảnh hưởng, chặn các kết nối trái phép và hạn chế tối đa hậu quả rò rỉ dữ liệu.
- Thông báo ngay cho Trung tâm Thông tin y tế Quốc gia trong vòng 02 giờ kể từ khi phát hiện sự cố để phối hợp ứng cứu, điều tra nguyên nhân và vá lỗ hổng bảo mật.
3. Thời hạn và thủ tục báo cáo Cơ quan chức năng:
- Trung tâm Thông tin y tế Quốc gia chủ trì, phối hợp với Cục Quản lý Dược lập Biên bản kiểm tra sự cố và gửi thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo Mẫu quy định đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an).
- Thời hạn báo cáo: Chậm nhất 72 giờ kể từ thời điểm phát hiện hành vi vi phạm. Trường hợp báo cáo muộn hơn 72 giờ, phải gửi kèm theo lý do chậm trễ.
4. Thời hạn và hình thức thông báo cho Chủ thể dữ liệu bị ảnh hưởng:
- Đối với các sự cố lộ lọt dữ liệu cá nhân có nguy cơ cao gây tổn hại đến quyền, lợi ích hợp pháp hoặc an toàn của người dân (đặc biệt là dữ liệu sức khỏe, đơn thuốc liên thông từ Hệ thống Đơn thuốc quốc gia), Bộ Y tế (hoặc đơn vị được ủy quyền) phải thực hiện thông báo cho chủ thể dữ liệu.
- Thời hạn thông báo: Chậm nhất 72 giờ kể từ thời điểm phát hiện sự cố.
- Hình thức thông báo: Gửi trực tiếp qua tin nhắn SMS, Thư điện tử (Email), thông báo đẩy trên ứng dụng y tế được liên thông, hoặc gửi văn bản trực tiếp đến chủ thể dữ liệu. Trường hợp không thể thông báo cho từng cá nhân do số lượng người bị ảnh hưởng quá lớn, đơn vị phải đăng tải thông báo công khai trên Cổng thông tin điện tử của Hệ thống và các phương tiện thông tin đại chúng liên tục trong ít nhất 30 ngày.
- Nội dung thông báo phải bao gồm: Mô tả ngắn gọn về sự cố; loại dữ liệu bị ảnh hưởng; các nguy cơ có thể xảy ra đối với chủ thể dữ liệu; các biện pháp hệ thống đã và đang xử lý; số điện thoại hotline hoặc đầu mối để người dân liên hệ hỗ trợ.
5. Đơn vị để xảy ra sự cố lộ lọt dữ liệu do lỗi chủ quan, lơ là trong quản lý tài khoản hoặc không tuân thủ các yêu cầu an toàn tại Quy chế này sẽ bị xem xét xử lý kỷ luật, xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự tùy theo mức độ nghiêm trọng theo quy định của pháp luật.
Đảm bảo hạ tầng
1. Trung tâm Thông tin y tế Quốc gia là đầu mối cung cấp, bảo đảm hạ tầng kỹ thuật và các biện pháp đảm bảo an toàn thông tin theo cấp độ được phê duyệt phục vụ triển khai cho hệ thống.
2. Trung tâm Thông tin y tế Quốc gia thực hiện điều tra, khắc phục sự cố (nếu có) liên quan đến hạ tầng, an toàn thông tin của hệ thống.
3. Hạ tầng kỹ thuật phục vụ triển khai Hệ thống đảm bảo các yêu cầu sau:
- Hệ thống máy chủ, hạ tầng mạng và cơ sở hạ tầng khác (gọi tắt là cơ sở hạ tầng) phải được triển khai tập trung tại trung tâm dữ liệu đạt tiêu chuẩn của đơn vị vận hành và đặt tại Việt Nam.
- Cơ sở hạ tầng phải được đảm bảo duy trì hoạt động 24/7, đơn vị quản trị vận hành phải có cán bộ chuyên môn theo dõi thường xuyên để khắc phục sự cố kịp thời.
- Trường hợp thay đổi cấu hình hạ tầng làm gián đoạn hoạt động của hệ thống, đơn vị quản lý, vận hành phải thông báo và được phép của cơ quan có liên quan. Thời gian đơn vị quản lý vận hành có trách nhiệm thông báo cho cơ quan quản lý 5 ngày trước khi thực hiện thay đổi. Trường hợp sự cố do yếu tố hạ tầng làm gián đoạn hoạt động của hệ thống, đơn vị quản lý, vận hành phải thông báo ngay cho cơ quan có liên quan và tiến hành khắc phục sự cố trong thời gian nhanh nhất.
- Thiết bị truy cập Hệ thống cán bộ quản trị, vận hành phải được cài đặt hệ thống diệt virus có bản quyền còn thời hạn sử dụng.
Quyết định này có hiệu lực kể từ ngày ký ban hành và thay thế Quyết định số 412/QĐ-BYT ngày 14/02/2020 của Bộ Y tế về việc ban hành Quy chế tạm thời quản lý, sử dụng Hệ thống Cơ sở dữ liệu Dược Quốc gia và Quyết định số 748/QĐ-BYT ngày 29/3/2024 của Bộ Y tế về việc sửa đổi, bổ sung một số Điều của Quy chế tạm thời quản lý, sử dụng Hệ thống Cơ sở dữ liệu Dược Quốc gia ban hành kèm theo Quyết định số 412/QĐ-BYT ngày 14/02/2020 của Bộ Y tế./.
Tác giả: Thuý Vi
