Thời gian xử lý sự cố an toàn, an ninh thông tin tại các đơn vị trong ngành y tế phải đáp ứng yêu cầu gì?

Nội dung chính

• Những sự cố an toàn, an ninh thông tin nào tại các đơn vị trong ngành y tế cần được phân loại theo mức độ nghiêm trọng?
• Thời gian xử lý sự cố an toàn, an ninh thông tin tại các đơn vị trong ngành y tế phải đáp ứng yêu cầu gì?
• Cơ quan nào có trách nhiệm thông báo thông tin về các sự cố đặc biệt nghiêm trọng cho các đơn vị trong ngành y tế?

Những sự cố an toàn, an ninh thông tin nào tại các đơn vị trong ngành y tế cần được phân loại theo mức độ nghiêm trọng?

Căn cứ khoản 2 Điều 3 Quy trình phản ứng với các sự cố an toàn, an ninh thông tin tại các đơn vị trong ngành y tế ban hành kèm theo Quyết định 4494/QĐ-BYT năm 2015 quy định về phân loại sự cố như sau:

Phân loại sự cố

...

2. Các sự cố cần được phân loại theo mức độ nghiêm trọng, bao gồm:

a) Mức 0 (không): sự cố không gây ảnh hưởng có hại tức thời đến hoạt động và dữ liệu của hệ thống. Tuy nhiên, cần phân tích và báo cáo lại để tránh phát sinh những sự cố khác trong tương lai.

b) Mức 1 (thấp): sự cố gây ảnh hưởng tới các hệ thống nói chung, gây ảnh hưởng nhỏ hoặc không đáng kể đến hoạt động của hệ thống hoặc dữ liệu của hệ thống, gây ra những tác động không đáng kể cho đơn vị hoặc cho xã hội.

c) Mức 2 (trung bình): sự cố gây ảnh hưởng tới các hệ thống quan trọng hoặc thông thường, gây ảnh hưởng đáng kể đến hoạt động hoặc dữ liệu của hệ thống, hoặc gây ra những tác động đáng kể cho đơn vị hoặc cho xã hội.

d) Mức 3 (nghiêm trọng): sự cố xảy ra đối với các hệ thống đặc biệt quan trọng hoặc các hệ thống quan trọng, gây ảnh hưởng nghiêm trọng đến hoạt động của hệ thống, bao gồm việc ngừng hoạt động trong một thời gian dài hoặc thiệt hại nghiêm trọng đến dữ liệu của hệ thống; hoặc gây đến những tác động nghiêm trọng cho đơn vị hoặc cho xã hội.

đ) Mức 4 (đặc biệt nghiêm trọng): sự cố xảy ra đối với các hệ thống đặc biệt quan trọng, làm tê liệt hoạt động của hệ thống hoặc thiệt hại rất nghiêm trọng tới dữ liệu của hệ thống; gây nên những tác động đặc biệt nghiêm trọng cho đơn vị hoặc làm ảnh hưởng lớn tới trật tự xã hội, lợi ích công cộng, đe dọa nghiêm trọng tới an ninh, quốc phòng của đất nước.

Như vậy, theo quy định, các sự cố an toàn, an ninh thông tin trong ngành y tế cần được phân loại theo mức độ nghiêm trọng, bao gồm:

(1) Mức 0 (không): sự cố không gây ảnh hưởng có hại tức thời đến hoạt động và dữ liệu của hệ thống.

(2) Mức 1 (thấp): sự cố gây ảnh hưởng tới các hệ thống nói chung, gây ảnh hưởng nhỏ hoặc không đáng kể đến hoạt động của hệ thống hoặc dữ liệu của hệ thống, gây ra những tác động không đáng kể cho đơn vị hoặc cho xã hội.

(3) Mức 2 (trung bình): sự cố gây ảnh hưởng tới các hệ thống quan trọng hoặc thông thường, gây ảnh hưởng đáng kể đến hoạt động hoặc dữ liệu của hệ thống, hoặc gây ra những tác động đáng kể cho đơn vị hoặc cho xã hội.

(4) Mức 3 (nghiêm trọng): sự cố xảy ra đối với các hệ thống đặc biệt quan trọng hoặc các hệ thống quan trọng, gây ảnh hưởng nghiêm trọng đến hoạt động của hệ thống, bao gồm việc ngừng hoạt động trong một thời gian dài hoặc thiệt hại nghiêm trọng đến dữ liệu của hệ thống; hoặc gây đến những tác động nghiêm trọng cho đơn vị hoặc cho xã hội.

(5) Mức 4 (đặc biệt nghiêm trọng): sự cố xảy ra đối với các hệ thống đặc biệt quan trọng, làm tê liệt hoạt động của hệ thống hoặc thiệt hại rất nghiêm trọng tới dữ liệu của hệ thống; gây nên những tác động đặc biệt nghiêm trọng cho đơn vị hoặc làm ảnh hưởng lớn tới trật tự xã hội, lợi ích công cộng, đe dọa nghiêm trọng tới an ninh, quốc phòng của đất nước.

Những sự cố an toàn, an ninh thông tin nào tại các đơn vị trong ngành y tế cần được phân loại theo mức độ nghiêm trọng? (Hình từ Internet)

Thời gian xử lý sự cố an toàn, an ninh thông tin tại các đơn vị trong ngành y tế phải đáp ứng yêu cầu gì?

Căn cứ khoản 3 Điều 4 Quy trình phản ứng với các sự cố an toàn, an ninh thông tin tại các đơn vị trong ngành y tế ban hành kèm theo Quyết định 4494/QĐ-BYT năm 2015 quy định về nguyên tắc xử lý sự cố như sau:

Nguyên tắc xử lý sự cố

1. Đảm bảo việc bảo mật thông tin liên quan tới sự cố theo quy định hiện hành của đơn vị và của Bộ Y tế.

2. Việc trao đổi thông tin liên quan tới sự cố có thể được thực hiện bằng nhiều hình thức như thông báo trực tiếp, công văn, thư điện tử, điện thoại, fax. Các cán bộ tiếp nhận thông tin phải chủ động xác thực đối tượng gửi nhằm đảm bảo thông tin gửi đi là tin cậy.

3. Quá trình phát hiện và xử lý sự cố phải được ghi lại trong hồ sơ quản lý sự cố để làm căn cứ theo dõi, báo cáo và rút kinh nghiệm.

4. Yêu cầu về thời gian xử lý sự cố:

a) Đối với sự cố mức 0: Ghi nhận và có phương án xử lý tại thời điểm thích hợp.

b) Đối với sự cố mức 1: Xử lý trong vòng 24h kể từ khi phát hiện hay nhận được thông tin về sự cố.

c) Đối với sự cố mức 2: Xử lý trong vòng 8h kể từ khi phát hiện hay nhận được thông tin về sự cố.

d) Đối với sự cố mức 3: Xử lý trong vòng 4h kể từ khi phát hiện hay nhận được thông tin về sự cố.

đ) Đối với sự cố mức 4: Xử lý ngay lập tức hoặc ngay khi có thể kể từ khi phát hiện hay nhận được thông tin về sự cố.

Như vậy, theo quy định, thời gian xử lý sự cố an toàn, an ninh thông tin tại các đơn vị trong ngành y tế phải đáp ứng yêu cầu sau đây:

(1) Đối với sự cố mức 0: Ghi nhận và có phương án xử lý tại thời điểm thích hợp.

(2) Đối với sự cố mức 1: Xử lý trong vòng 24h kể từ khi phát hiện hay nhận được thông tin về sự cố.

(3) Đối với sự cố mức 2: Xử lý trong vòng 8h kể từ khi phát hiện hay nhận được thông tin về sự cố.

(4) Đối với sự cố mức 3: Xử lý trong vòng 4h kể từ khi phát hiện hay nhận được thông tin về sự cố.

(5) Đối với sự cố mức 4: Xử lý ngay lập tức hoặc ngay khi có thể kể từ khi phát hiện hay nhận được thông tin về sự cố.

Cơ quan nào có trách nhiệm thông báo thông tin về các sự cố đặc biệt nghiêm trọng cho các đơn vị trong ngành y tế?

Căn cứ khoản 3 Điều 14 Quy trình phản ứng với các sự cố an toàn, an ninh thông tin tại các đơn vị trong ngành y tế ban hành kèm theo Quyết định 4494/QĐ-BYT năm 2015 quy định trách nhiệm của Cục Công nghệ thông tin - Bộ Y tế như sau:

Trách nhiệm của Cục Công nghệ thông tin - Bộ Y tế

1. Xây dựng, cập nhật các quy định, hướng dẫn cụ thể về quản lý sự cố trong ngành y tế.

2. Cử đầu mối tiếp nhận, hỗ trợ các đơn vị xử lý các sự cố do các đơn vị gửi đến.

3. Tổng hợp và thông báo thông tin về các sự cố đặc biệt nghiêm trọng cho các đơn vị trong ngành y tế, đưa ra cảnh báo về các sự cố có nguy cơ cao xảy ra.

4. Xây dựng, cập nhật cơ sở dữ liệu sự cố thuộc Bộ Y tế. Chia sẻ thông tin về các phương án xử lý sự cố cho các các đơn vị trong ngành nghiên cứu, học tập.

5. Xây dựng chương trình đào tạo và tổ chức đào tạo, tập huấn công tác quản lý sự cố.

Như vậy, theo quy định, Cục Công nghệ thông tin - Bộ Y tế có trách nhiệm thông báo thông tin về các sự cố đặc biệt nghiêm trọng cho các đơn vị trong ngành y tế, đưa ra cảnh báo về các sự cố có nguy cơ cao xảy ra.