Để phòng khám sống sót qua một cuộc tấn công bằng mã độc tống tiền, bạn cần ít nhất một bản sao lưu mà mã độc không chạm tới được, và đã từng thử khôi phục từ bản đó. Quy tắc 3-2-1 là khung dễ nhớ: ba bản dữ liệu, trên hai loại phương tiện khác nhau, một bản nằm ngoài phòng khám, và với mã độc tống tiền, thêm điều kiện là một bản phải tách khỏi mạng hoặc không sửa xoá được.
Bài này dành cho phòng khám tự quản phần mềm và máy tính, hoặc thuê một đơn vị hỗ trợ bên ngoài. Nếu phòng khám dùng phần mềm bệnh án hoàn toàn trên đám mây, phần sao lưu chủ yếu nằm ở nhà cung cấp, nhưng bạn vẫn cần hỏi họ đúng câu và vẫn cần kế hoạch khám bệnh khi hệ thống không truy cập được.
Mã độc tống tiền làm gì với một phòng khám
Mã độc tống tiền là phần mềm độc hại mã hoá dữ liệu trên máy và các ổ chia sẻ trong mạng, rồi đòi tiền để giải mã. Các nhóm tấn công gần đây còn sao chép dữ liệu ra ngoài trước khi mã hoá, rồi đe doạ công bố nếu không được trả tiền. Với cơ sở y tế, đòn thứ hai này đặc biệt nặng, vì dữ liệu bị đem ra đe doạ là dữ liệu sức khoẻ của người bệnh.
Ở phòng khám nhỏ, hậu quả trước mắt là không mở được hồ sơ, không in được phiếu, không tra được lịch hẹn, không xem được kết quả cũ. Bác sĩ vẫn khám được, nhưng khám mà không có tiền sử, không có kết quả trước đó, là khám thiếu thông tin và tăng nguy cơ sai sót. Nếu không có bản sao lưu dùng được, phòng khám có thể mất vĩnh viễn hồ sơ nhiều năm, trong khi pháp luật y tế yêu cầu lưu hồ sơ bệnh án trong thời hạn nhất định.
Cơ sở y tế bị nhắm tới không nhất thiết vì to hay giàu, mà vì hay có máy chưa cập nhật, mật khẩu yếu, ít người chuyên lo bảo mật, và có áp lực phải khôi phục nhanh để tiếp tục khám. Phòng khám nhỏ có đủ những điều kiện đó. Phần bảo mật chung cho máy tính và tài khoản bạn có thể tham khảo thêm ở AI Bảo Mật; bài này tập trung vào dữ liệu người bệnh và khả năng tiếp tục hoạt động.
Quy tắc 3-2-1 áp vào phòng khám nhỏ
Quy tắc này xuất phát từ giới nhiếp ảnh và quản trị hệ thống, được dùng rộng rãi vì đơn giản. Bảng dưới diễn giải từng con số cho bối cảnh phòng khám, kèm điều kiện bổ sung cho mã độc tống tiền.
| Thành phần | Ý nghĩa | Ví dụ ở phòng khám nhỏ |
|---|---|---|
| 3 bản | Dữ liệu gốc cộng hai bản sao | Cơ sở dữ liệu trên máy chủ, một bản trên ổ cứng gắn ngoài, một bản trên dịch vụ lưu trữ đám mây |
| 2 loại phương tiện | Không để mọi bản trên cùng một loại thiết bị | Ổ cứng trong máy chủ và ổ cứng gắn ngoài, hoặc ổ mạng và đám mây |
| 1 bản ngoài cơ sở | Cháy, ngập, mất trộm không lấy đi được bản này | Bản đám mây, hoặc ổ gắn ngoài luân phiên mang về nơi khác có khoá |
| Thêm: 1 bản tách biệt | Mã độc không tới được: rút khỏi máy sau khi sao lưu, hoặc lưu ở chế độ không sửa xoá được trong một thời gian | Ổ gắn ngoài chỉ cắm khi sao lưu, rồi rút ra cất tủ; hoặc dịch vụ đám mây có tính năng khoá phiên bản |
| Thêm: 0 lỗi khi thử | Đã thử khôi phục và kiểm dữ liệu mở được | Mỗi quý khôi phục thử sang một máy khác và mở vài hồ sơ |
Phần hay bị bỏ là bản tách biệt. Một ổ gắn ngoài cắm thường trực vào máy chủ chỉ là thêm một ổ để mã độc mã hoá. Ổ đồng bộ đám mây kiểu thư mục tự động cũng vậy: tệp bị mã hoá trên máy sẽ được đồng bộ đè lên bản trên đám mây, trừ khi dịch vụ giữ phiên bản cũ và bạn biết cách lấy lại.
Sao lưu những gì: danh sách thường bị thiếu
Nhiều phòng khám chỉ sao lưu cơ sở dữ liệu phần mềm bệnh án và nghĩ thế là đủ. Khi phải khôi phục mới phát hiện thiếu những thứ khác. Danh sách để đối chiếu:
- Cơ sở dữ liệu phần mềm quản lý phòng khám, bệnh án, lịch hẹn, kèm phiên bản phần mềm tương ứng để khôi phục được.
- Ảnh và kết quả từ thiết bị chẩn đoán lưu ở máy trạm riêng: máy siêu âm, máy chụp X-quang, máy nội soi, máy chụp ảnh da hoặc răng.
- Dữ liệu phần mềm kế toán và hồ sơ thanh toán bảo hiểm y tế.
- Các tệp văn bản mẫu, quy trình nội bộ, hợp đồng, giấy phép bản điện tử.
- Cấu hình: danh sách tài khoản và vai trò, cài đặt máy in, cài đặt bộ phát wifi, thông tin cấp phép phần mềm.
- Thông tin liên lạc khẩn cấp in ra giấy: đơn vị hỗ trợ kỹ thuật, nhà cung cấp phần mềm, người đầu mối dữ liệu, nơi cất ổ sao lưu.
Nếu phần mềm chạy trên đám mây, hỏi nhà cung cấp: họ sao lưu bao lâu một lần, giữ bao nhiêu phiên bản, khôi phục mất bao lâu, phòng khám có tự xuất được bản sao dữ liệu của mình định kỳ không. Bản xuất định kỳ do phòng khám giữ là phương án dự phòng khi chính nhà cung cấp gặp sự cố hoặc ngừng kinh doanh.
Thử khôi phục mỗi quý
Bản sao lưu chưa từng thử khôi phục thì chỉ là hy vọng. Lịch thử khôi phục nên đặt cố định, chẳng hạn tuần đầu của mỗi quý, và mất khoảng một buổi.
- Chọn một bản sao lưu bất kỳ, không phải bản mới nhất, để kiểm luôn việc lưu giữ phiên bản cũ.
- Khôi phục sang một máy khác hoặc một môi trường thử, không ghi đè lên hệ thống đang chạy.
- Mở năm đến mười hồ sơ ngẫu nhiên, kiểm tra nội dung, ảnh, kết quả đính kèm có đầy đủ không.
- Ghi thời gian từ lúc bắt đầu đến lúc dùng được. Con số này cho biết phòng khám phải khám bằng giấy bao lâu nếu sự cố thật xảy ra.
- Ghi lại những gì không ổn và sửa: thiếu thư mục, mật khẩu giải mã bản sao lưu không ai nhớ, phần mềm khôi phục không tương thích.
- Xoá dữ liệu khỏi máy thử sau khi xong, vì đó là bản sao đầy đủ dữ liệu người bệnh.
Lần thử đầu tiên gần như luôn phát hiện vấn đề. Mật khẩu mã hoá bản sao lưu là chỗ hay hỏng nhất: người đặt đã nghỉ việc, không ai ghi lại. Mật khẩu này cần được cất ở nơi an toàn, có ít nhất hai người biết cách lấy.
Chặn đường vào phổ biến nhất
Thư điện tử và tin nhắn lừa đảo. Tệp đính kèm giả hoá đơn, giả kết quả xét nghiệm, giả công văn là đường vào kinh điển. Nay kẻ gian dùng AI viết thư tiếng Việt trơn tru, không còn lỗi chính tả để nhận ra. Quy tắc: không mở tệp đính kèm không chờ đợi, xác minh bằng kênh khác trước khi làm theo yêu cầu bất thường.
Truy cập từ xa mật khẩu yếu. Máy chủ mở cổng điều khiển từ xa ra internet với mật khẩu đơn giản là cửa mở. Tắt khi không cần, bật xác thực hai bước, đổi mật khẩu mặc định.
Phần mềm không cập nhật. Máy chủ chạy hệ điều hành đã hết hỗ trợ vì phần mềm cũ không chạy được trên bản mới là tình huống hay gặp. Nếu chưa nâng cấp được, ít nhất tách máy đó khỏi internet và khỏi mạng chung.
Phần mềm bẻ khoá và thiết bị lưu trữ lạ. Bản phần mềm không có bản quyền tải từ nguồn trôi nổi thường kèm mã độc. Ổ lưu trữ cá nhân cắm vào máy phòng khám cũng là đường lây.
Khi máy bị mã hoá: những việc làm ngay
Dấu hiệu thường thấy: tệp đổi đuôi lạ, không mở được, xuất hiện tệp hướng dẫn trả tiền chuộc trong nhiều thư mục, màn hình hiện thông báo đòi tiền. Việc đầu tiên là ngắt mạng các máy bị ảnh hưởng, rút dây mạng và tắt wifi, để mã độc không lan sang máy khác và ổ sao lưu. Không cắm ổ sao lưu tách biệt vào bất kỳ máy nào cho tới khi chắc chắn mã độc đã bị loại bỏ.
Tiếp theo, báo người đầu mối và đơn vị hỗ trợ kỹ thuật, giữ nguyên hiện trạng để phục vụ điều tra, chụp ảnh màn hình thông báo bằng điện thoại. Không vội trả tiền chuộc: trả tiền không bảo đảm lấy lại dữ liệu, không bảo đảm dữ liệu đã bị sao chép sẽ không bị công bố, và có thể biến phòng khám thành mục tiêu lặp lại. Báo cơ quan công an và cơ quan chuyên trách an toàn thông tin theo hướng dẫn hiện hành.
Vì dữ liệu có thể đã bị sao chép ra ngoài trước khi mã hoá, một cuộc tấn công mã độc tống tiền thường đồng thời là một sự cố lộ dữ liệu cá nhân, kéo theo nghĩa vụ thông báo. Quy trình xử lý lộ dữ liệu được trình bày ở bài riêng trong danh mục này.
Khám bệnh khi hệ thống sập
Phần này hay bị quên vì nó không liên quan tới máy tính. Phòng khám nên có sẵn một bộ phiếu giấy dự phòng: phiếu tiếp đón, phiếu khám, phiếu chỉ định, sổ ghi danh sách khám trong ngày. Bộ phiếu cất ở quầy, mọi người biết chỗ. Khi hệ thống không dùng được, lễ tân chuyển sang giấy ngay, không mất thời gian chờ đợi.
Kèm theo là danh sách in sẵn những người bệnh có lịch hẹn trong vài ngày tới, cập nhật mỗi tuần và cất trong tủ khoá, để gọi điện báo dời lịch hoặc tiếp đón đúng người. Khi hệ thống khôi phục, cần một người nhập lại dữ liệu từ phiếu giấy vào phần mềm, và phiếu giấy sau đó được lưu hoặc huỷ theo quy định hồ sơ.
AI có thể giúp bạn chuẩn bị phần này mà không cần dữ liệu thật: nhờ soạn mẫu phiếu dự phòng cho chuyên khoa của bạn, viết kịch bản diễn tập nửa giờ cho nhân viên, hoặc liệt kê câu hỏi cần trả lời khi lập kế hoạch dự phòng. Ví dụ câu lệnh: "Viết kịch bản diễn tập ba mươi phút cho phòng khám năm nhân viên, tình huống phần mềm quản lý không truy cập được lúc tám giờ sáng, gồm vai trò từng người và câu hỏi rút kinh nghiệm."
Câu hỏi thường gặp
Sao lưu bao lâu một lần là đủ?
Tuỳ lượng dữ liệu mới mỗi ngày và phòng khám chấp nhận mất bao nhiêu. Phổ biến là sao lưu tự động hằng ngày cho cơ sở dữ liệu chính và hằng tuần cho bản tách biệt. Câu hỏi để quyết định: nếu mất hết dữ liệu của một ngày, phòng khám có nhập lại được từ phiếu giấy không.
Dịch vụ đồng bộ thư mục lên đám mây có phải là sao lưu không?
Không hẳn. Đồng bộ chép mọi thay đổi, kể cả thay đổi do mã độc mã hoá hay do xoá nhầm. Nó chỉ đóng vai sao lưu khi dịch vụ giữ lịch sử phiên bản đủ lâu và bạn đã thử lấy lại phiên bản cũ thành công.
Bản sao lưu có cần mã hoá không?
Nên mã hoá, vì bản sao lưu chứa toàn bộ dữ liệu người bệnh. Ổ gắn ngoài bị mất mà không mã hoá là một sự cố lộ dữ liệu. Điều kiện đi kèm là mật khẩu giải mã phải được cất an toàn và có hơn một người biết cách lấy.
Phòng khám có nên mua bảo hiểm rủi ro an ninh mạng không?
Đây là quyết định kinh doanh tuỳ quy mô. Nếu cân nhắc, đọc kỹ điều kiện loại trừ, vì nhiều hợp đồng yêu cầu cơ sở đã có biện pháp tối thiểu như sao lưu và xác thực hai bước mới bồi thường. Bài này không đánh giá sản phẩm bảo hiểm nào.
Máy siêu âm chạy hệ điều hành cũ không cập nhật được thì xử lý sao?
Tách máy đó khỏi internet, chỉ cho kết nối tới đúng máy cần nhận ảnh, không dùng để duyệt web hay đọc thư, không cắm thiết bị lưu trữ lạ. Hỏi nhà cung cấp thiết bị về lộ trình cập nhật hoặc thay thế.