Mỹ đề xuất quy định mới để bảo vệ dữ liệu y tế

Văn phòng Quyền Công dân (OCR) – cơ quan trực thuộc HHS – công bố đề xuất này sau hàng loạt sự cố nghiêm trọng, bao gồm vụ rò rỉ thông tin cá nhân của hơn 100 triệu bệnh nhân UnitedHealth vào đầu năm nay.

Nội dung đề xuất

Theo báo cáo, quy định mới yêu cầu các tổ chức y tế bắt buộc triển khai xác thực đa yếu tố (MFA) trong hầu hết các trường hợp để tăng cường kiểm soát truy cập vào hệ thống. Đồng thời, phân đoạn mạng là một biện pháp quan trọng giúp giảm thiểu nguy cơ lây lan tấn công từ một hệ thống sang các phần còn lại, đảm bảo sự an toàn của toàn bộ mạng lưới. Đề xuất cũng nhấn mạnh tầm quan trọng của việc mã hóa dữ liệu, nhằm đảm bảo thông tin nếu bị đánh cắp sẽ không thể sử dụng được. Ngoài ra, các tổ chức y tế cần thực hiện phân tích rủi ro định kỳ để phát hiện sớm lỗ hổng bảo mật và lưu trữ tài liệu tuân thủ để phục vụ cho các đợt kiểm tra và đánh giá.

Ảnh: Amelia Holowaty Krales / The Verge

Những biện pháp này nằm trong chiến lược an ninh mạng toàn diện do chính quyền Biden đề xuất, với mục tiêu cập nhật và nâng cao các tiêu chuẩn của Luật Bảo Mật và Khả Năng Chuyển Đổi Bảo Hiểm Y Tế (HIPAA), lần gần nhất được điều chỉnh vào năm 2013.

Bà Anne Neuberger, Phó Cố vấn An ninh Quốc gia Mỹ, dự đoán việc triển khai các quy định này sẽ tiêu tốn khoảng 9 tỷ USD trong năm đầu tiên và 6 tỷ USD mỗi năm từ năm thứ hai đến năm thứ năm. Chi phí này bao gồm việc đầu tư công nghệ, nhân lực và các quy trình quản lý nhằm đáp ứng yêu cầu của quy định mới.

Dự thảo sẽ được công bố trên Federal Register vào ngày 6 tháng 1, khởi đầu cho giai đoạn 60 ngày nhận ý kiến công chúng. Sau thời gian này, các quy định cuối cùng sẽ được hoàn thiện và dự kiến có hiệu lực từ cuối năm 2024 hoặc đầu năm 2025.

Ý nghĩa đề xuất

Các quy định an ninh mạng mới được kỳ vọng sẽ củng cố khả năng bảo vệ dữ liệu y tế và giảm thiểu rủi ro từ các cuộc tấn công mạng. Tuy nhiên, với chi phí lớn và các yêu cầu kỹ thuật phức tạp, việc triển khai có thể gây khó khăn cho nhiều tổ chức y tế, đặc biệt là các cơ sở nhỏ lẻ. Giai đoạn nhận ý kiến công chúng sẽ là cơ hội để các bên liên quan đóng góp ý kiến và điều chỉnh quy định nhằm đảm bảo tính khả thi khi áp dụng trên thực tế.