QUYẾT ĐỊNH

BAN HÀNH QUY TRÌNH PHẢN ỨNG VỚI CÁC SỰ CỐ AN TOÀN, AN NINH THÔNG TIN TẠI CÁC ĐƠN VỊ TRONG NGÀNH Y TẾ

BỘ TRƯỞNG BỘ Y TẾ

Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10/4/2007 của Chính phủ về ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước;

Căn cứ Quyết định số 4159/QĐ-BYT ngày 13/10/2014 của Bộ Y tế ban hành Quy định về đảm bảo an toàn thông tin y tế điện tử tại các đơn vị trong ngành y tế;

QUYẾT ĐỊNH:

Điều 2. Quyết định này có hiệu lực kể từ ngày ký ban hành.

- Như Điều 3;
- Bộ trưởng Bộ Y tế (để b/c);
- Các Thứ trưởng Bộ Y tế (để phối hợp chỉ đạo);
- Sở Y tế các tỉnh/thành phố trực thuộc TW;
- Cổng Thông tin điện tử Bộ Y tế;
- Lưu: VT, CNTT (2).

KT. BỘ TRƯỞNG
THỨ TRƯỞNG




Lê Quang Cường

QUY TRÌNH

PHẢN ỨNG VỚI CÁC SỰ CỐ AN TOÀN, AN NINH THÔNG TIN TẠI CÁC ĐƠN VỊ TRONG NGÀNH Y TẾ
(Ban hành kèm theo Quyết định số 4494/QĐ-BYT ngày 30 tháng 10 năm 2015 của Bộ trưởng Bộ Y tế)

QUY ĐỊNH CHUNG

1. Quyết định này ban hành Quy trình quản lý, xử lý sự cố an toàn thông tin y tế trên môi trường mạng và trách nhiệm của tổ chức, cá nhân có liên quan tới hoạt động xử lý sự cố an toàn, an ninh thông tin y tế điện tử.

Điều 2. Giải thích từ ngữ

1. Sự cố an toàn, an ninh thông tin y tế: là sự kiện đã, đang, hoặc có khả năng xảy ra gây mất an toàn, an ninh thông tin y tế trên môi trường mạng; được phát hiện thông qua việc giám sát, đánh giá, phân tích của các cơ quan, tổ chức, cá nhân có liên quan hoặc được cảnh báo từ các cá nhân, tổ chức về lĩnh vực an toàn, an ninh thông tin (sau đây gọi tắt là sự cố).

3. Hệ thống đặc biệt quan trọng: là hệ thống có ảnh hưởng đặc biệt quan trọng tới an ninh, xã hội, y tế nói chung; hoặc có ảnh hưởng đặc biệt quan trọng tới hoạt động của đơn vị.

5. Hệ thống thông thường: là hệ thống thông tin phục vụ các hoạt động thông thường của đơn vị, không ảnh hưởng tới an ninh, xã hội, y tế nói chung và không có ảnh hưởng đáng kể tới hoạt động của đơn vị.

Điều 3. Phân loại sự cố

a) Các truy cập trái phép, hành vi vi phạm tính bảo mật và tính toàn vẹn thông tin, dữ liệu y tế, ứng dụng triển khai trong ngành y tế;

c) Điểm yếu, lỗ hổng bảo mật của hạ tầng, hệ điều hành, ứng dụng;

đ) Các trục trặc của phần mềm hay phần cứng không khắc phục được gây ảnh hưởng đến hoạt động của hệ thống;

g) Không tuân thủ chính sách an toàn thông tin hoặc các chỉ dẫn bắt buộc của đơn vị hoặc hành vi vi phạm an ninh vật lý;

i) Các sự cố khác gây gián đoạn, ảnh hưởng đến hoạt động bình thường của các ứng dụng công nghệ thông tin tại đơn vị.

a) Mức 0 (không): sự cố không gây ảnh hưởng có hại tức thời đến hoạt động và dữ liệu của hệ thống. Tuy nhiên, cần phân tích và báo cáo lại để tránh phát sinh những sự cố khác trong tương lai.

c) Mức 2 (trung bình): sự cố gây ảnh hưởng tới các hệ thống quan trọng hoặc thông thường, gây ảnh hưởng đáng kể đến hoạt động hoặc dữ liệu của hệ thống, hoặc gây ra những tác động đáng kể cho đơn vị hoặc cho xã hội.

đ) Mức 4 (đặc biệt nghiêm trọng): sự cố xảy ra đối với các hệ thống đặc biệt quan trọng, làm tê liệt hoạt động của hệ thống hoặc thiệt hại rất nghiêm trọng tới dữ liệu của hệ thống; gây nên những tác động đặc biệt nghiêm trọng cho đơn vị hoặc làm ảnh hưởng lớn tới trật tự xã hội, lợi ích công cộng, đe dọa nghiêm trọng tới an ninh, quốc phòng của đất nước.

1. Đảm bảo việc bảo mật thông tin liên quan tới sự cố theo quy định hiện hành của đơn vị và của Bộ Y tế.

3. Quá trình phát hiện và xử lý sự cố phải được ghi lại trong hồ sơ quản lý sự cố để làm căn cứ theo dõi, báo cáo và rút kinh nghiệm.

a) Đối với sự cố mức 0: Ghi nhận và có phương án xử lý tại thời điểm thích hợp.

c) Đối với sự cố mức 2: Xử lý trong vòng 8h kể từ khi phát hiện hay nhận được thông tin về sự cố.

đ) Đối với sự cố mức 4: Xử lý ngay lập tức hoặc ngay khi có thể kể từ khi phát hiện hay nhận được thông tin về sự cố.

LẬP KẾ HOẠCH XỬ LÝ SỰ CỐ

1. Các đơn vị cần xây dựng kế hoạch xử lý sự cố cụ thể, chi tiết của đơn vị nhằm cung cấp các thông tin mô tả các quy trình và hoạt động cần thực hiện khi xảy ra sự cố, bao gồm các nội dung cơ bản sau:

b) Xem xét, đánh giá các sự kiện có thể phát sinh sự cố đối với các hệ thống thông tin của đơn vị;

d) Hướng dẫn các hoạt động cần tiến hành khi phát hiện sự cố và thông báo sự cố theo các nguyên tắc tại Điều 4 của quy định này;

e) Hướng dẫn theo dõi sau khi sự cố được xử lý; yêu cầu ghi lại thông tin sự cố cũng như các hoạt động xử lý sự cố vào hồ sơ quản lý sự cố để phục vụ cho việc phân tích sự cố và xác định trách nhiệm của các bên liên quan trong quá trình xử lý sự cố;

h) Mẫu báo cáo sự cố và đề xuất các phương án đảm bảo sự cố không xuất hiện trở lại;

2. Kế hoạch xử lý sự cố cần được xem xét và cập nhật trong trường hợp nảy sinh các sự cố mới. Kế hoạch xử lý sự cố và các nội dung cập nhật đều phải được lãnh đạo đơn vị xem xét, phê duyệt.

1. Cán bộ quản lý sự cố là cán bộ thuộc bộ phận chuyên trách công nghệ thông tin của đơn vị. Cán bộ quản lý sự cố có trách nhiệm liên lạc, trao đổi thông tin với các bên liên quan, điều phối các hoạt động xử lý sự cố khi sự cố xảy ra. Cán bộ quản lý sự cố là đầu mối tiếp nhận phản ánh về sự cố an toàn, an ninh thông tin của đơn vị.

3. Các cán bộ tham gia trong hoạt động xử lý sự cố phải có trình độ chuyên môn và kỹ năng nghiệp vụ phù hợp để thực hiện được công tác xử lý các sự cố liên quan.

Điều 7. Các công tác chuẩn bị khác

a) Thông tin và tài liệu phục vụ cho việc xử lý sự cố;

c) Trang thiết bị phần cứng, phần mềm, mạng phục vụ cho việc xử lý sự cố.

3. Xây dựng các hoạt động nhằm nâng cao nhận thức cho cán bộ về tầm ảnh hưởng của các sự cố và vai trò của quản lý sự cố. Định kỳ tập huấn về quy trình quản lý sự cố.

PHÁT HIỆN VÀ XỬ LÝ SỰ CỐ

1. Tất cả công chức, viên chức, cán bộ, bên cung cấp dịch vụ công nghệ thông tin và các bên liên quan khi phát hiện các sự cố của đơn vị cần thông báo với cán bộ quản lý sự cố của đơn vị theo những nguyên tắc tại Điều 4 của Quy định này nhằm ngăn chặn các sự cố phát sinh.

a) Thông tin mô tả sự cố (thời gian xảy ra sự cố, mô tả sự cố);

c) Thông tin khác theo yêu cầu của đơn vị tiếp nhận thông báo.

Điều 9. Tiếp nhận và xử lý thông báo sự cố

1. Phản hồi cho tổ chức, cá nhân gửi thông báo để xác nhận về việc đã nhận được thông báo sự cố trong vòng 24 giờ kể từ khi nhận được thông báo sự cố.

3. Phân loại sự cố, đánh giá sơ bộ các phần bị ảnh hưởng và tập hợp các thông tin có liên quan đến sự cố.

5. Ghi nhận lại sự cố vào hồ sơ quản lý sự cố.

Điều 10. Xử lý sự cố

a) Phân bổ các nguồn lực nội bộ liên quan tới sự cố và xác định các nguồn lực bên ngoài để ứng phó với mỗi sự cố phát sinh;

c) Trong trường hợp không xử lý được sự cố, cán bộ xử lý sự cố cần báo cáo trực tiếp lên lãnh đạo đơn vị để lên phương án xử lý bổ sung, đánh giá lại mức độ nghiêm trọng của sự cố, mời thêm các chuyên gia xử lý sự cố, đồng thời chuẩn bị các thông tin và phương tiện hỗ trợ thích hợp để phối hợp với các bên liên quan xử lý sự cố;

2. Trong trường hợp các sự cố nghiêm trọng hoặc đặc biệt nghiêm trọng không thể xử lý được, đơn vị cần thực hiện các hoạt động sau:

b) Huy động các nguồn lực bên ngoài, mời chuyên gia tham gia xử lý sự cố;

3. Các sự cố đặc biệt nghiêm trọng có ảnh hưởng tới nhiều Bộ, ngành, đã có quy trình xử lý sự cố Quốc gia thì công tác xử lý sự cố cần tuân thủ theo quy trình này.

TỔNG KẾT HOẠT ĐỘNG XỬ LÝ SỰ CỐ VÀ BÁO CÁO CÔNG TÁC QUẢN LÝ SỰ CỐ

Sau khi sự cố được xử lý, cán bộ quản lý sự cố cần thực hiện báo cáo tổng kết gửi lãnh đạo đơn vị hoặc báo cáo theo yêu cầu được đưa ra trong kế hoạch quản lý sự cố của đơn vị.

Đối với các sự cố từ mức 3 trở lên, báo cáo tổng kết phải được các đơn vị gửi Cục Công nghệ thông tin - Bộ Y tế để theo dõi, cập nhật vào cơ sở dữ liệu sự cố. Báo cáo bao gồm các nội dung sau:

2. Thông báo các điểm yếu trong hệ thống thông tin và phương án xử lý để hạn chế việc xảy ra sự cố tương tự.

4. Rà soát và bổ sung, cập nhật các sự cố, nguy cơ mất an toàn thông tin có thể xảy ra.

Chương V

TRÁCH NHIỆM CỦA CÁC TỔ CHỨC, CÁ NHÂN

1. Cử cán bộ quản lý sự cố và bảo đảm cán bộ quản lý sự cố tuân thủ đúng Điều 6 của Quy định này.

3. Tiếp nhận và xử lý các thông báo sự cố theo Điều 9 của Quy định này.

5. Phối hợp, hỗ trợ các đơn vị khác trong các hoạt động ứng cứu sự cố.

a) Nội dung thông báo sự cố, thời gian tiếp nhận thông báo, thời gian gửi xác nhận;

c) Thời gian gửi thông báo sự cố và thời gian nhận được xác nhận đối với trường hợp thông báo cho đơn vị cấp trên hoặc Cục Công nghệ thông tin.

Điều 14. Trách nhiệm của Cục Công nghệ thông tin - Bộ Y tế

2. Cử đầu mối tiếp nhận, hỗ trợ các đơn vị xử lý các sự cố do các đơn vị gửi đến.

4. Xây dựng, cập nhật cơ sở dữ liệu sự cố thuộc Bộ Y tế. Chia sẻ thông tin về các phương án xử lý sự cố cho các các đơn vị trong ngành nghiên cứu, học tập.

Chương VI

TỔ CHỨC THỰC HIỆN

1. Quy trình này có hiệu lực thi hành kể từ ngày ký Quyết định ban hành.

PHỤ LỤC 01

MẪU THÔNG BÁO SỰ CỐ AN TOÀN THÔNG TIN

Tên: .................................................................................................................................

Email: ............................................................................................................................

2. Thông tin về sự cố

2.2. Thời gian xảy ra sự cố: ..../..../..../..../..... (ngày/tháng/năm/giờ/phút)

2.3. Thời gian thông báo sự cố: ..../..../..../..../.... (ngày/tháng/năm/giờ/phút)

2.5. Cách thức phát hiện sự cố: ...................................................................................

□ Lãnh đạo đơn vị xảy ra sự cố (nêu rõ cá nhân nếu có thể): ......................................

□ Gửi thư/công văn                   □ Gọi điện thoại

bằng hình thức:             □ Thông báo trực tiếp                □ Email

□ Gửi thư/công văn                   □ Gọi điện thoại

bằng hình thức:             □ Thông báo trực tiếp                □ Email

□ Gửi thư/công văn                   □ Gọi điện thoại

bằng hình thức:             □ Thông báo trực tiếp                □ Email

□ Gửi thư/công văn                   □ Gọi điện thoại

2.8. Thông tin gửi kèm: .................................................................................................

□ Có                             □ Không

.......................................................................................................................................

.......................................................................................................................................

......., ngày ..... tháng ..... năm .....
Cá nhân / đại diện tổ chức thông báo
(ký và ghi rõ họ tên)

PHỤ LỤC 02

HỒ SƠ QUẢN LÝ SỰ CỐ

1.1. Họ tên người thông báo sự cố: ................................................................................

1.3. Địa điểm xảy ra sự cố: .............................................................................................

(Ngày, tháng điền đủ 2 chữ số, năm điền đủ 4 chữ số, giờ, phút điền đủ 2 chữ số theo hệ 24 giờ)

1.6. Thời gian thông báo Cục Công nghệ thông tin - Bộ Y tế: ...../...../..../..../..... (ngày/tháng/năm/giờ/phút)

1.8. Số sự cố: ..................................................................................................................

1.10. Mức độ sự cố: .......................................................................................................

2.1. Mô tả sự cố: .............................................................................................................

2.2. Nguyên nhân sơ bộ gây ra sự cố: ...........................................................................

2.3. Nhật ký xử lý sự cố: ................................................................................................

3. Nội dung xử lý sự cố

........................................................................................................................................

........................................................................................................................................

.......................................................................................................................................

PHỤ LỤC 03

MẪU BÁO CÁO SỰ CỐ AN TOÀN THÔNG TIN

1. Thông tin về đơn vị/tổ chức

1.2. Địa chỉ: .....................................................................................................................

2.1. Chức năng của hệ thống: ........................................................................................

2.3. Các dịch vụ có trên hệ thống: ..................................................................................

3. Thông tin về sự cố và cách thức xử lý

3.2. Mức độ sự cố: ..........................................................................................................

..........................................................................................................................................

..........................................................................................................................................

3.6. Tổ chức, cá nhân tham gia xử lý sự cố: ...................................................................

..........................................................................................................................................

..........................................................................................................................................

....., ngày ...... tháng ..... năm ....
Lãnh đạo đơn vị
(đóng dấu, ký và ghi rõ họ tên)

PHỤ LỤC 04

VÍ DỤ MỘT SỐ SỰ CỐ AN TOÀN THÔNG TIN