Thiết bị y tế kết nối có bề mặt tấn công riêng, kéo dài từ phần sụn (firmware) đến máy chủ đám mây và giao diện trao đổi dữ liệu. Rủi ro ấy khác với sự cố ở hệ thống đăng ký, cơ sở dữ liệu bệnh án hoặc mạng văn phòng của bệnh viện. Mỹ bắt buộc hồ sơ an ninh mạng đối với một nhóm thiết bị từ năm 2023. Tại Đài Loan, cơ quan quản lý dùng hướng dẫn hành chính và bộ mẫu để chuẩn hóa hồ sơ của nhà sản xuất.

An ninh của thiết bị khác với an ninh hệ thống bệnh viện

Máy tạo nhịp tim, hệ thống xét nghiệm glucose, phần mềm đo nồng độ oxy trong máu và hệ thống điện tâm đồ đám mây đều chạy phần mềm. Khi kết nối mạng, thiết bị còn trao đổi dữ liệu với máy chủ, ứng dụng hoặc hệ thống của cơ sở y tế. Hướng dẫn Đài Loan xác định an ninh mạng thiết bị nhằm ngăn truy cập, sửa đổi, sử dụng sai, từ chối dịch vụ hoặc chuyển dữ liệu trái phép. Phạm vi bảo vệ bao trùm các giai đoạn thiết kế, thử nghiệm và quản lý sau lưu hành.

Hạ tầng công nghệ thông tin của bệnh viện bao gồm tài khoản nhân viên, hệ thống đăng ký, bệnh án điện tử, máy chủ và mạng nội bộ. Một cuộc xâm nhập vào máy chủ quản lý danh tính vẫn gây đình trệ khám chữa bệnh dù phần sụn của thiết bị không bị sửa đổi. Ngược lại, lỗ hổng nằm trong thiết bị vẫn tồn tại khi mạng văn phòng được bảo vệ tốt. Đánh giá rủi ro cần tách hai lớp này trước khi xem xét điểm nối giữa chúng.

Màn hình theo dõi y tế kết nối cạnh giường bệnh trong bệnh viện (ảnh minh họa)

SBOM giúp truy vết từng thành phần phần mềm

Danh mục thành phần phần mềm (software bill of materials, SBOM) ghi tên, nguồn, phiên bản và bản dựng của từng thành phần trong thiết bị. Danh mục bao gồm phần mềm thương mại, mã nguồn mở và thành phần có sẵn do bên thứ ba cung cấp. Khi một lỗ hổng mới được công bố, nhà sản xuất và cơ sở y tế đối chiếu SBOM để xác định sản phẩm chịu ảnh hưởng. Hồ sơ này cũng giúp theo dõi thời điểm nhà cung cấp chấm dứt hỗ trợ một thành phần.

Cục Quản lý Thực phẩm và Dược phẩm Mỹ (FDA) cho biết yêu cầu pháp lý bắt đầu áp dụng cho hồ sơ nộp từ ngày 29/3/2023. Hồ sơ phải có kế hoạch quản lý lỗ hổng, quy trình cung cấp bản vá sau lưu hành và SBOM. FDA gọi nhóm này là cyber device (thiết bị chứa phần mềm, kết nối Internet và có đặc tính kỹ thuật dễ bị khai thác qua tấn công mạng). Yêu cầu không tự động mở rộng sang mọi thiết bị y tế.

Trang hướng dẫn hiện hành của FDA ghi phiên bản tháng 2/2026, bao quát thiết kế, ghi nhãn và tài liệu trong hồ sơ trước khi lưu hành. Bản này thay thế hướng dẫn ban hành tháng 6/2025, nên bản phân tích năm 2023 chỉ còn giá trị lịch sử. Từ ngày 1/10/2023, hồ sơ 510(k) qua eSTAR thiếu nội dung an ninh mạng sẽ bị tạm dừng ở bước kiểm tra kỹ thuật. Mốc này kết thúc thời gian chuyển tiếp mà FDA dành cho doanh nghiệp chuẩn bị hồ sơ.

Màn hình máy tính hiển thị mã nguồn và tài liệu kiểm tra an ninh mạng (ảnh minh họa)

Đài Loan chuẩn hóa hồ sơ bằng hướng dẫn và năm mẫu

Cục Quản lý Thực phẩm và Dược phẩm Đài Loan (TFDA) phụ trách đăng ký và an toàn thiết bị y tế tại Đài Loan. TFDA công bố hướng dẫn an ninh mạng dành cho nhà sản xuất vào tháng 5/2021 và chấm dứt áp dụng bản ngày 18/11/2019. Toàn văn xác định đây là hướng dẫn hành chính cho thiết kế, phát triển, đăng ký và quản lý sản phẩm sau lưu hành. Tài liệu đề cập mô hình hóa mối đe dọa (threat modeling), kiểm thử, ma trận truy xuất, SBOM và kế hoạch xử lý lỗ hổng.

Ngày 6/12/2021, TFDA đăng bộ năm mẫu và cập nhật trang tài liệu ngày 10/6/2022. Bộ này có một mẫu chung và bốn mẫu theo loại sản phẩm. Hai mẫu riêng dành cho bộ phát xung của máy tạo nhịp cấy ghép và hệ thống xét nghiệm glucose. Hai mẫu còn lại dành cho phần mềm đo nồng độ oxy trong máu và hệ thống quản lý điện tâm đồ đám mây. Mỗi nhóm còn có biểu mẫu công bố thông tin dành cho doanh nghiệp.

Năm mẫu tạo một cấu trúc tham khảo, không hình thành danh mục khép kín cho mọi thiết bị kết nối. Mẫu dành cho hệ thống xét nghiệm glucose nêu rõ tài liệu không có tính bắt buộc pháp lý và doanh nghiệp được dùng định dạng khác. Chuyên viên thẩm định có thể yêu cầu thêm tài liệu theo kiến trúc phần mềm và đặc điểm kỹ thuật của sản phẩm. Các tài liệu Đài Loan đã kiểm tra không nêu cơ chế tạm dừng hồ sơ được luật hóa giống quy trình của FDA. So sánh hai thị trường cần phân biệt nghĩa vụ theo luật Mỹ với hướng dẫn hành chính và yêu cầu thẩm định tại Đài Loan.

Sự cố bệnh viện không chứng minh phần sụn thiết bị bị xâm nhập

Bệnh viện Mackay Memorial xác nhận bị tin tặc tấn công ngày 9/2/2025. Bệnh viện đã báo nền tảng chia sẻ và phân tích thông tin an ninh mạng y tế H-ISAC, cảnh sát và cơ quan điều tra. Bệnh viện cũng cho biết chuyên gia của Bộ Y tế và Phúc lợi Đài Loan đã hỗ trợ tại chỗ. Đây là cơ quan phụ trách chính sách y tế và phúc lợi tại Đài Loan. Bộ này thông báo hơn 500 máy tính ngừng hoạt động, dữ liệu bệnh nhân tạm thời không mở được và chuyên gia an ninh mạng đã vào hỗ trợ.

Ngày 4/3/2025, Bộ Y tế và Phúc lợi xác nhận mã độc Crazy Hunter liên quan vụ tấn công Changhua Christian Hospital. Cơ quan này xếp chuỗi sự cố tại Mackay và Changhua vào nhóm tấn công có hệ thống. Thông cáo ngày 15/6/2026 của Văn phòng Công tố quận Đài Bắc nêu Crazy Hunters đã lấy và công khai rao bán dữ liệu của hai bệnh viện. Đây là cáo buộc ở giai đoạn truy tố, chưa phải phán quyết có hiệu lực.

The Reporter kiểm tra mẫu trong gói 32,5 GB được quảng cáo chứa 16,6 triệu dòng dữ liệu của Mackay. Mẫu có dữ liệu gắn với bốn cơ sở, nhưng một số trường thông tin không khớp. Với gói gần 10 GB gắn nhãn Changhua Christian Hospital, tòa soạn cộng được khoảng 4,28 triệu dòng từ nhiều bảng dữ liệu. Hai con số không đại diện cho số bệnh nhân đã loại trùng và chưa được cơ quan chức năng xác nhận.

Nguồn công khai mô tả các vụ trên như xâm nhập hệ thống nội bộ, máy chủ, đăng ký và dữ liệu bệnh án. Chưa có bằng chứng công khai cho thấy phần sụn của một thiết bị y tế cụ thể là cửa ngõ tấn công. Các sự cố vẫn cho thấy thiết bị kết nối hoạt động trong một môi trường có nhiều điểm phụ thuộc. Ngày 15/8/2025, cơ quan phụ trách an ninh mạng thuộc Bộ Phát triển số Đài Loan công bố bốn biện pháp cho bệnh viện. Các biện pháp gồm diễn tập, đào tạo, hướng dẫn cơ sở và tăng cường kiểm tra.

Máy chủ và thiết bị mạng trong phòng máy của bệnh viện (ảnh minh họa)

Từ hồ sơ trước lưu hành đến bảo trì suốt vòng đời

Đối với đơn vị mua sắm tại bệnh viện, SBOM chỉ là điểm xuất phát của đánh giá. Hồ sơ còn cần thời hạn hỗ trợ, đầu mối tiếp nhận báo cáo lỗ hổng, quy trình phát hành bản vá và trách nhiệm của nhà cung cấp. Danh mục tài sản giúp bệnh viện xác định nhanh thiết bị liên quan khi một thành phần có lỗ hổng mới. Phân đoạn mạng tiếp tục cần thiết vì thiết bị thường trao đổi dữ liệu với các hệ thống khác trong cơ sở y tế.

Yêu cầu của Mỹ buộc nhà sản xuất cyber device duy trì quy trình ứng phó sau khi sản phẩm được phép lưu hành. Hướng dẫn TFDA nêu rằng bản vá định kỳ cho rủi ro đã kiểm soát không cần nộp đơn, nhưng doanh nghiệp phải lưu hồ sơ chi tiết. Với rủi ro chưa kiểm soát, tài liệu khuyến nghị nhà sản xuất xử lý sớm và đánh giá biện pháp giảm thiểu. Năng lực bảo trì dài hạn vì thế quan trọng ngang với bộ hồ sơ tại thời điểm đăng ký.

Phiên bản phần mềm, thời hạn hỗ trợ và điểm liên hệ an ninh mạng cho thấy khả năng duy trì sản phẩm sau bán hàng. Thiếu một trong các dữ liệu này, bệnh viện khó đối chiếu cảnh báo lỗ hổng với thiết bị đang sử dụng. Với thiết bị cấy ghép hoặc dùng trong điều trị, thay đổi phần mềm phải theo quy trình của nhà sản xuất và cơ sở y tế. Phân tích an ninh mạng không thay thế đánh giá an toàn và hiệu năng của thiết bị.

Nhân viên y tế xem hồ sơ kỹ thuật của thiết bị trước khi mua sắm (ảnh minh họa)

Phạm vi áp dụng đối với độc giả Việt Nam

Hướng dẫn và bộ mẫu của TFDA áp dụng cho hồ sơ và hoạt động quản lý tại Đài Loan. Với người Việt đang sinh sống tại Đài Loan, gián đoạn đăng ký hoặc bệnh án điện tử không đồng nghĩa thiết bị đang dùng đã bị xâm nhập. Doanh nghiệp Việt Nam đưa sản phẩm vào Đài Loan hoặc Mỹ phải theo yêu cầu của từng thị trường đích. Không có cơ sở để dùng bộ mẫu TFDA như bằng chứng rằng Việt Nam áp dụng cùng một cơ chế.

Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy văn bản chính thức của cơ quan chức năng Việt Nam đưa ra số liệu so sánh cho trường hợp này. Các nguồn đã kiểm tra cũng chưa cung cấp dữ liệu đối chiếu về sự cố an ninh mạng trên thiết bị y tế tại Việt Nam. Khoảng trống này chưa đủ để kết luận rằng quy định hoặc dữ liệu tương ứng không tồn tại. Do đó, mức độ tương đồng giữa cơ chế của Việt Nam và Đài Loan chưa thể xác định.