Thiết bị y tế có kết nối vừa xử lý dữ liệu sức khỏe vừa ảnh hưởng trực tiếp tới an toàn người bệnh. Bài viết bàn về hai lớp trách nhiệm.
Máy theo dõi bệnh nhân truyền dữ liệu về trạm trung tâm, máy bơm tiêm điều khiển qua mạng, thiết bị đo đường huyết kết nối ứng dụng — thiết bị y tế có kết nối đang phổ biến. Loại sản phẩm này gánh hai lớp trách nhiệm chồng lên nhau: an toàn cho người bệnh và bảo vệ dữ liệu sức khỏe.
Lưu ý trước: sản xuất, kinh doanh trang thiết bị y tế chịu điều chỉnh của pháp luật chuyên ngành về trang thiết bị y tế, gồm quy định về đăng ký lưu hành, phân loại, kiểm định. Bài viết bàn về khía cạnh công nghệ số và dữ liệu.
An toàn là ưu tiên trên hết
Điểm khác biệt căn bản so với các thiết bị kết nối khác: lỗi phần mềm hoặc bị can thiệp có thể gây hại trực tiếp tới tính mạng người bệnh.
Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.
Tám nguyên tắc thiết kế:
- Chức năng an toàn không phụ thuộc kết nối mạng — mất mạng thiết bị vẫn hoạt động an toàn;
- Giới hạn cứng ở lớp thiết bị — lệnh vượt ngưỡng an toàn bị chặn dù đến từ đâu;
- Xác thực lệnh điều khiển từ xa;
- Cảnh báo cục bộ không phụ thuộc hệ thống trung tâm;
- Ghi nhật ký mọi lệnh và thay đổi cài đặt;
- Trạng thái an toàn khi lỗi, không dừng đột ngột hoặc chuyển sang trạng thái nguy hiểm;
- Kiểm thử bảo mật trước khi đưa ra thị trường;
- Không có tài khoản kỹ thuật ẩn với mật khẩu cố định cho toàn bộ dòng sản phẩm.
Điểm thứ hai là nguyên tắc quan trọng nhất: nếu máy bơm tiêm không cho phép vượt liều tối đa ngay ở lớp phần cứng, thì dù hệ thống mạng bị chiếm quyền, thiệt hại vẫn bị giới hạn.
Điểm thứ tám là lỗ hổng đã được phát hiện nhiều lần trên thiết bị y tế thực tế: một mật khẩu kỹ thuật chung cho cả dòng sản phẩm, không đổi được, và bị công bố công khai.
Dữ liệu sức khỏe từ thiết bị
Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.
Bảy nguyên tắc:
- Xác định rõ ai là chủ quản dữ liệu — cơ sở y tế hay nhà sản xuất — và ghi vào hợp đồng;
- Mã hóa dữ liệu khi truyền và khi lưu;
- Chỉ truyền dữ liệu cần thiết;
- Nhà sản xuất không tự ý truy cập dữ liệu bệnh nhân;
- Không dùng dữ liệu bệnh nhân để huấn luyện mô hình hoặc nghiên cứu khi chưa có cơ sở pháp lý;
- Thông báo rõ cho cơ sở y tế về dữ liệu nào rời khỏi thiết bị và đi đâu;
- Xóa dữ liệu trong thiết bị trước khi bảo hành, sửa chữa, thanh lý.
Điểm thứ năm là vấn đề ngày càng nóng: dữ liệu vận hành từ hàng nghìn thiết bị là tài nguyên quý cho việc cải tiến sản phẩm, nhưng ranh giới giữa "dữ liệu kỹ thuật" và "dữ liệu bệnh nhân" cần được vạch rõ và minh bạch.
Điểm thứ bảy là rủi ro thực tế: thiết bị gửi đi sửa mang theo dữ liệu bệnh nhân của nhiều tháng.
Cập nhật phần mềm
Đây là bài toán khó riêng của ngành: thiết bị y tế cần vá lỗi bảo mật, nhưng mọi thay đổi phần mềm đều có thể ảnh hưởng tới tính năng đã được kiểm định.
Sáu nguyên tắc:
- Cam kết thời hạn hỗ trợ rõ ràng, công bố từ khi bán;
- Quy trình cập nhật có kiểm thử đầy đủ trước khi phát hành;
- Không cập nhật tự động giữa lúc thiết bị đang sử dụng cho người bệnh;
- Cho phép cơ sở y tế lên lịch cập nhật;
- Khả năng quay lại phiên bản trước khi có vấn đề;
- Xác thực nguồn gốc bản cập nhật bằng chữ ký số, thiết bị từ chối bản không hợp lệ.
Điểm thứ ba là bài học từ các sự cố thực tế: thiết bị tự khởi động lại để cập nhật giữa ca phẫu thuật là tình huống không được phép xảy ra.
Điểm thứ sáu chống lại kịch bản nguy hiểm nhất: bản cập nhật giả mạo cài mã độc lên hàng loạt thiết bị y tế.
Công bố lỗ hổng và thông báo sự cố
Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Năm việc:
- Kênh tiếp nhận báo cáo lỗ hổng từ bên ngoài;
- Cam kết thời hạn xử lý;
- Thông báo cho khách hàng khi có lỗ hổng ảnh hưởng an toàn;
- Hướng dẫn biện pháp giảm thiểu trong khi chờ bản vá;
- Phối hợp với cơ quan có thẩm quyền theo quy định.
Điểm thứ ba và thứ tư là trách nhiệm không thể né tránh: cơ sở y tế cần biết để có phương án, kể cả khi thông tin đó bất lợi cho nhà sản xuất.
Ưu đãi cho nghiên cứu phát triển
Điều 16 Luật 71/2025/QH15 quy định về thúc đẩy nghiên cứu và phát triển sản phẩm, dịch vụ công nghệ số.
Khoản 4 quy định các khoản chi của doanh nghiệp cho nghiên cứu và phát triển công nghệ số được tăng mức chi bổ sung khi xác định thu nhập chịu thuế thu nhập doanh nghiệp theo quy định pháp luật về thuế thu nhập doanh nghiệp.
Khoản 3 quy định tổ chức, cá nhân thực hiện hoạt động nghiên cứu và phát triển công nghệ số được ưu tiên, tạo điều kiện sử dụng trang thiết bị tại phòng thí nghiệm trọng điểm quốc gia, cơ sở ươm tạo công nghệ, cơ sở ươm tạo công nghệ cao, ươm tạo doanh nghiệp công nghệ cao, cơ sở ươm tạo doanh nghiệp khoa học và công nghệ, cơ sở nghiên cứu khoa học và công nghệ của nhà nước.
Ba việc nên làm: tách bạch chi phí nghiên cứu trong sổ sách; lưu hồ sơ đề tài và kết quả; và tra pháp luật thuế để biết mức ưu đãi cụ thể.
Danh sách kiểm tra
- Thiết bị có hoạt động an toàn khi mất mạng không?
- Có giới hạn cứng ở lớp thiết bị chặn lệnh vượt ngưỡng không?
- Có tài khoản kỹ thuật ẩn với mật khẩu chung toàn dòng không?
- Bản cập nhật có được ký số và thiết bị có kiểm tra không?
- Có tự cập nhật giữa lúc đang dùng cho người bệnh không?
- Dữ liệu có được xóa trước khi gửi đi sửa chữa không?
- Có kênh tiếp nhận báo cáo lỗ hổng không?
Đọc thêm cùng chủ đề
- Doanh nghiệp cung cấp giải pháp họp trực tuyến cần cam kết gì?
- Đơn vị tổ chức cuộc thi người mẫu cần tuân thủ những gì?
- Nhà máy dệt nhuộm số hoá sản xuất và quan trắc cần lưu ý gì?
Căn cứ pháp lý
- Luật 71/2025/QH15 Điều 10
- Luật 71/2025/QH15 Điều 16
- Luật 116/2025/QH15 Điều 26
- Luật 148/2025/QH15 Điều 27
Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.