Các cơ quan thuộc Bộ Y tế: Chỉ nên tạo một tài khoản để truy cập dữ liệu

Theo đó, Cục Công nghệ thông tin đề nghị các đơn vị trực thuộc Bộ Y tế thực hiện các biện pháp quản lý việc truy cập dữ liệu sau đây để bảo vệ dữ liệu:

- Chỉ tạo tài khoản truy cập và gán quyền truy cập cho các nhóm, cá nhân được phép truy cập vào dữ liệu theo quy định của đơn vị và của pháp luật;

- Ngừng ngay lập tức tài khoản truy cập đối với nhóm, cá nhân không còn được phép truy cập vào dữ liệu;

- Xây dựng cơ chế kiểm soát việc truy cập vật lý và trực tuyến đối với dữ liệu theo Điểm a, Điểm đ, Mục 1; Điểm a, Điểm b, Điểm c, Điểm đ Mục 2, Phần III tại quyết định 4495/QĐ-BYT ngày 30/10/2015.

Ngoài ra, đối với các hệ thống thông tin khai thác dữ liệu:

- Xây dựng cơ chế kiểm soát truy cập vào hệ thống dựa trên vai trò (Role-based Access Control);

- Áp dụng biện pháp xác thực hai yếu tố khi truy cập vào dữ liệu;

- Áp dụng các biện pháp xác thực, mã hóa, chữ ký số khi gửi và nhận dữ liệu;

- Thực hiện quản lý tài khoản truy cập của người sử dụng theo quy định tại Điều 13, Chương II tại quyết định 4159/QĐ-BYT ngày 13/10/2014;

- Cấu hình hệ thống thông tin được chỉ được cài đặt, thay đổi khi được cho phép bằng văn bản của đơn vị;

- Triển khai cách thức lưu lại lịch sử truy cập vào dữ liệu;

- Thực hiện khóa dữ liệu ngay khi phát hiện có truy cập trái phép;

- Thực hiện các biện pháp bảo vệ cơ sở dữ liệu khi triển khai trên mạng nội bộ và Internet theo Điều 5, Chương II tại quyết định 4159/QĐ-BYT ngày 13/10/2014;

- Triển khai hệ thống giám sát truy cập vào hệ thống thông tin để phát hiện các hành vi bất thường khi truy cập, khai thác dữ liệu.

Đỗ Loan