Số 467Quản lý Rủi ro

WannaCry và NHS (Anh, 2017): cảnh báo và bản vá đã có, nhưng không ai kiểm tra việc thực hiện

Ngày 12/5/2017, mã độc tống tiền WannaCry lan khắp thế giới và ảnh hưởng ít nhất 81 trong 236 quỹ bệnh viện ở Anh cùng hàng trăm phòng khám. Văn Phòng Kiểm toán Quốc gia (NAO) cho biết các tổ chức đã được cảnh báo phải bỏ phần mềm lỗi thời từ năm 2014 và được yêu cầu vá hệ thống từ tháng 3–4/2017, nhưng trước sự cố, Bộ Y tế không có cơ chế chính thức để kiểm tra việc tuân thủ. Bài học về giám sát thực thi biện pháp ứng phó rủi ro.

Nguyễn Thu Hà, PMP

25/08/2026

3 phút đọc 0

Bình luận0

Bối cảnh thực tế

Hệ thống y tế công NHS ở Anh gồm hàng trăm quỹ bệnh viện và hàng nghìn phòng khám, mỗi đơn vị tự quản lý hệ thống IT của mình, trong khi Bộ Y tế và các cơ quan trung ương đưa ra hướng dẫn.

Theo báo cáo điều tra của NAO (10/2017):

Ngày 12/5/2017, WannaCry ảnh hưởng ít nhất 81 trong 236 quỹ bệnh viện ở Anh, cùng 603 tổ chức chăm sóc ban đầu và tổ chức NHS khác, trong đó có 595 phòng khám bác sĩ gia đình; Bộ Y tế và NHS England không nắm được toàn bộ mức độ gián đoạn.
Hàng nghìn cuộc hẹn và ca mổ bị huỷ; một số nơi phải chuyển bệnh nhân cấp cứu sang bệnh viện khác.
Năm 2014, Bộ Y tế và Văn phòng Nội các đã yêu cầu các quỹ có kế hoạch rời bỏ phần mềm cũ như Windows XP trước tháng 4/2015.
Tháng 3 và 4/2017, NHS Digital phát cảnh báo khẩn yêu cầu các tổ chức vá hệ thống.
Trước ngày 12/5/2017, Bộ Y tế không có cơ chế chính thức để kiểm tra các tổ chức địa phương đã làm theo hướng dẫn hay chưa. Kế hoạch ứng phó sự cố quốc gia cũng chưa được diễn tập ở cấp địa phương.

Phân tích nguyên nhân theo chuẩn PMP

Rủi ro được nhận diện, biện pháp được ban hành, nhưng không ai theo dõi
Quy trình Implement Risk Responses và Monitor Risks đòi hỏi có người chịu trách nhiệm (risk owner) và bằng chứng thực hiện. Ban hành hướng dẫn mà không kiểm tra thì rủi ro vẫn nguyên như cũ.
Quản trị phân tán không có chỉ số chung
Mỗi quỹ tự quyết ưu tiên ngân sách IT. Không có chỉ số tuân thủ chung (ví dụ tỷ lệ máy đã vá), cơ quan trung ương không thể nhìn thấy rủi ro hệ thống.
Nợ kỹ thuật trở thành rủi ro an ninh
Phần mềm hết hỗ trợ và thiết bị y tế chạy hệ điều hành cũ là nợ kỹ thuật tích tụ. Khi có lỗ hổng bị khai thác hàng loạt, nợ kỹ thuật biến thành sự cố vận hành.
Kế hoạch ứng phó chưa được thử

WannaCry và NHS (Anh, 2017): cảnh báo và bản vá đã có, nhưng không ai kiểm tra việc thực hiện

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Rủi ro được nhận diện, biện pháp được ban hành, nhưng không ai theo dõi

Quản trị phân tán không có chỉ số chung

Nợ kỹ thuật trở thành rủi ro an ninh

Kế hoạch ứng phó chưa được thử

Lẽ ra PM nên làm gì

Bước 1: Gắn mỗi biện pháp ứng phó rủi ro với người chịu trách nhiệm và hạn hoàn thành

Bước 2: Đo lường tuân thủ và leo thang theo ngưỡng

Bước 3: Diễn tập ứng phó sự cố định kỳ ở cả cấp trung ương và địa phương

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Nếu là lãnh đạo IT của một quỹ bệnh viện năm 2016 với ngân sách hạn chế và nhiều thiết bị y tế chạy hệ điều hành cũ, bạn ưu tiên gì?

Tình huống này hữu ích với bạn?

Bình luận (0)