NHS cảnh báo rủi ro dữ liệu bệnh nhân sau khi nhà cung cấp website phá sản

NHS England vừa đưa ra cảnh báo khẩn tới các phòng khám đa khoa (GP) trên toàn nước Anh sau khi một nhà cung cấp website công nghệ y tế nhỏ phá sản. Sự cố khiến hàng trăm phòng khám bị ảnh hưởng, nhiều website ngừng hoạt động hoàn toàn và đặt ra câu hỏi lớn về việc bảo vệ dữ liệu bệnh nhân khi phụ thuộc vào các nhà cung cấp bên ngoài.

Chuyện gì đã xảy ra?

Silicon Practice Digital Health Solutions — công ty thuộc sở hữu của Schappit Ltd — đã chính thức rơi vào tình trạng phá sản (administration). Theo các báo cáo, một số website của phòng khám GP đã ngừng hoạt động hoàn toàn, trong khi quản lý phòng khám lo lắng về khối lượng công việc tăng vọt và khó khăn trong việc dựng lại các kênh liên lạc thay thế.

Đáng chú ý, sự cố diễn ra chỉ vài tháng sau khi Schappit Ltd được đưa vào khung mua sắm của chính phủ hồi tháng 7 — một chi tiết làm dấy lên nghi vấn về quy trình thẩm định (due diligence) trước khi ký kết với nhà cung cấp nhỏ.

NHS England phản ứng ra sao?

Dù NHS England không trực tiếp quản lý các phòng khám GP (phần lớn hoạt động như nhà thầu độc lập), cơ quan này đã có bước đi bất thường là gửi thư trực tiếp tới các phòng khám. Giám đốc công nghệ (CTO) Kevin Humphries đã nêu rõ các ưu tiên nhằm giảm thiểu tác động:

• Bảo toàn thông tin bệnh nhân lịch sử, đặc biệt với dữ liệu chưa được chuyển sang hệ thống lâm sàng.
• Xử lý tồn đọng tư vấn trực tuyến, đảm bảo không phát sinh thêm yêu cầu mới vào hệ thống đã hỏng.
• Tìm kênh truy cập thay thế cho bệnh nhân cho tới khi có hệ thống trực tuyến mới.
• Đánh giá nghĩa vụ pháp lý trong việc báo cáo lên Văn phòng Ủy viên Thông tin (ICO) nếu "tính sẵn có, toàn vẹn, bảo mật hoặc khả năng khôi phục" dữ liệu cá nhân bị ảnh hưởng.

Các tổ chức Integrated Care Boards — đơn vị quản lý dịch vụ IT cho GP — được yêu cầu chỉ định người phụ trách kế hoạch khắc phục, liên hệ với các phòng khám bị ảnh hưởng và hỗ trợ họ xem xét kích hoạt các phương án dự phòng liên tục kinh doanh (business continuity) và khôi phục sau thảm họa.

Giải pháp mã nguồn mở từ cộng đồng

Trong bối cảnh đó, nhà vận động công nghệ y tế Marcus Baw đã công bố một mẫu website mã nguồn mở miễn phí để các phòng khám có thể tự đưa hệ thống về nội bộ. Mẫu này tuân theo chuẩn web NHS về khả năng tiếp cận và giữ nguyên giao diện quen thuộc của các trang NHS thông thường.

"Các phòng khám có thể triển khai miễn phí và giành lại quyền kiểm soát website của chính mình. Đây là mẫu website thay thế mà các phòng khám có thể dựng bằng Claude Code trên web chỉ trong một buổi chiều," Baw chia sẻ.

Bài học cho Việt Nam

Sự cố này là lời cảnh tỉnh rõ ràng về rủi ro tập trung nhà cung cấp (vendor concentration risk) trong hạ tầng số y tế. Khi hàng trăm đơn vị cùng phụ thuộc vào một nhà cung cấp nhỏ, chỉ một biến cố tài chính cũng đủ gây đứt gãy dịch vụ diện rộng.

Với các cơ sở y tế tại Việt Nam đang trong quá trình chuyển đổi số, bài học rút ra gồm:

• Yêu cầu điều khoản bàn giao dữ liệu và kế hoạch dự phòng ngay trong hợp đồng với nhà cung cấp.
• Ưu tiên giải pháp mã nguồn mở hoặc chuẩn mở để tránh bị khóa chặt vào một nhà cung cấp duy nhất.
• Sao lưu định kỳ và kiểm thử khôi phục dữ liệu bệnh nhân, vì đây là tài sản nhạy cảm nhất.
• Diễn tập kịch bản gián đoạn khi nhà cung cấp biến mất đột ngột.

Câu hỏi về việc tại sao một nhà cung cấp nhỏ lại có thể kéo theo phản ứng khẩn toàn hệ thống NHS có lẽ sẽ được đặt ra sau này. Nhưng bài học cốt lõi thì đã rõ: trong y tế số, tính liên tục của dịch vụ và an toàn dữ liệu không thể giao phó hoàn toàn cho một bên thứ ba duy nhất.