Bảo mật & An toàn Thông tin (SEC)

1. Mục đích

Tại APIS, chúng tôi hiểu rằng dữ liệu khám chữa bệnh là tài sản quan trọng của mỗi phòng khám. Vì vậy, hệ thống APIS Clinic được thiết kế theo nhiều lớp bảo vệ nhằm đảm bảo:

• Tính bảo mật (Confidentiality)
• Tính toàn vẹn (Integrity)
• Tính sẵn sàng của dữ liệu (Availability)

Đồng thời đáp ứng các yêu cầu triển khai Bệnh án điện tử (EMR) và các quy định liên thông dữ liệu của Bộ Y tế.

2. Truyền dữ liệu được mã hóa

Mọi kết nối giữa người dùng và APIS Clinic đều được mã hóa thông qua HTTPS/TLS, giúp bảo vệ dữ liệu khỏi nguy cơ bị nghe lén hoặc chỉnh sửa trong quá trình truyền tải.

Chi tiết kỹ thuật

• Giao thức HTTPS/TLS.
• Chứng chỉ số được cấp bởi Let’s Encrypt.
• Gia hạn chứng chỉ tự động.
• Toàn bộ kết nối tới hệ thống đều được mã hóa.

3. Bảo mật nhiều lớp

Hệ thống được bảo vệ theo mô hình nhiều lớp nhằm giảm thiểu nguy cơ tấn công từ Internet.

Chi tiết kỹ thuật

• Thiết bị tường lửa Kerio Control.
• Hệ thống phát hiện và ngăn chặn xâm nhập (IPS).
• Tường lửa ở cấp máy chủ (Host Firewall).
• Chỉ mở các cổng dịch vụ cần thiết.

4. Hạ tầng trung tâm dữ liệu

APIS Clinic vận hành trên hạ tầng máy chủ chuyên dụng đặt tại Viettel IDC. Hệ thống được lưu trữ trong nước nhằm đáp ứng yêu cầu lưu trú dữ liệu y tế tại Việt Nam.

Chi tiết kỹ thuật

• Trung tâm dữ liệu Viettel IDC (TP.HCM).
• Máy chủ chuyên dụng (Server-grade Hardware).
• Kiểm soát truy cập vật lý.
• Giám sát nhiệt độ và độ ẩm.
• Hệ thống phòng cháy chữa cháy.

5. Bệnh án điện tử được ký số

Các tài liệu thuộc Hồ sơ bệnh án điện tử (EMR) được ký bằng dịch vụ chữ ký số được pháp luật công nhận, đảm bảo tính xác thực và giá trị pháp lý của hồ sơ.

Chi tiết kỹ thuật

• Dịch vụ Viettel-CA Qualified Digital Signature.
• Chuẩn chữ ký số PAdES.
• Phù hợp yêu cầu triển khai Hồ sơ bệnh án điện tử theo quy định.

6. Kết nối an toàn với hệ thống quốc gia

APIS hỗ trợ kết nối trực tuyến với các hệ thống quốc gia theo quy định của Bộ Y tế. Các dữ liệu liên thông được truyền tải thông qua các kết nối được bảo mật và ký số.

Chi tiết kỹ thuật

• Kết nối Cổng Đơn thuốc Quốc gia.
• Kết nối Cổng Tiêm chủng Quốc gia.
• Sẵn sàng mở rộng tới các cổng liên thông khác.
• Kết nối vận hành theo môi trường Production.

7. Sao lưu & khôi phục dữ liệu

Dữ liệu khách hàng được sao lưu tự động hằng ngày và lưu giữ tại vị trí địa lý độc lập nhằm đảm bảo khả năng phục hồi khi có sự cố.

Chi tiết kỹ thuật

• Sao lưu tự động hằng ngày.
• Dữ liệu được mã hóa trước khi sao lưu.
• Bản sao lưu lưu tại VNG Cloud GreenNode (S3 Compatible Object Storage).
• Kho lưu trữ sao lưu tách biệt với hạ tầng chính tại Viettel IDC.
• Hỗ trợ khôi phục dữ liệu khi cần thiết.

8. Cam kết của APIS

APIS cam kết:

• Dữ liệu được lưu trữ tại Việt Nam.
• Dữ liệu được mã hóa trong quá trình truyền tải.
• Hệ thống được bảo vệ theo mô hình bảo mật nhiều lớp.
• Hồ sơ bệnh án điện tử được ký số hợp lệ.
• Dữ liệu được sao lưu tự động và lưu trữ tại vị trí độc lập.
• Hỗ trợ liên thông với các hệ thống quốc gia theo quy định.
• Liên tục cập nhật hệ thống nhằm đáp ứng các quy định mới của Bộ Y tế.

Tóm tắt năng lực bảo mật