LĨNH VỰC · Y TẾ
Giải pháp cho cơ sở y tế
X-OR Secure Cloud cho các cơ sở y tế
Hạ tầng đáp ứng an ninh mạng theo cấp độ và bảo vệ dữ liệu y tế. Mô hình Hybrid: lõi nghiệp vụ trên cloud tại Việt Nam, thiết bị và bản sao chờ tại bệnh viện.
Cấp độ yêu cầuCấp độ 3NĐ 331/2026 · từ 10.000 chủ thể dữ liệu nhạy cảm
Hạn bệnh án điện tử31/12/2026QĐ 586/QĐ-BYT · từ 01/01/2027 bỏ bệnh án giấy
Hạ tầng2 DC · Việt NamISO/IEC 27001:2022 · SLA 99,99%
01
Vì sao bệnh viện phải đạt cấp độ 3
Trụ 1 · Luật ngành y tế
Hồ sơ bệnh án điện tử
Mục I.1 Quyết định 586/QĐ-BYT
Hoàn thành trước 31/12/2026; từ 01/01/2027 không dùng bệnh án giấy.
Khoản 2 Điều 69 Luật Khám bệnh, chữa bệnh 2023; khoản 4 Điều 1 Thông tư 13/2025/TT-BYT
Bệnh án điện tử phải được bảo mật, tuân thủ an ninh mạng và bảo vệ dữ liệu.
Trụ 2 · Dữ liệu
Dữ liệu sức khỏe là dữ liệu nhạy cảm
Điều 4 Nghị định 356/2025/NĐ-CP
Sức khỏe, sinh trắc học, di truyền thuộc dữ liệu nhạy cảm.
Khoản 7, 8 Điều 2; Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025
Phải có sự đồng ý; bên xử lý (phần mềm, hạ tầng) cùng chịu trách nhiệm.
Trụ 3 · An ninh mạng
Từ 10.000 dữ liệu cá nhân là cấp độ 3
Khoản 2 Điều 13 Nghị định 331/2026/NĐ-CP
Dịch vụ trực tuyến xử lý dữ liệu nhạy cảm từ 10.000 chủ thể.
Khoản 2, 3 Điều 8; khoản 2 Điều 18; điểm a khoản 1 Điều 31 Nghị định 331/2026/NĐ-CP
Áp cấp cao nhất, cấm tách hệ thống; chủ quản phê duyệt, người đứng đầu chịu trách nhiệm.
Chế tài: ba mức trần, mỗi mức cho một loại vi phạm
Mức tối đa cho tổ chức; cá nhân bằng 1/2 (khoản 6 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025)
5%doanh thu năm trước
Khi nào: Vi phạm quy định chuyển dữ liệu cá nhân ra nước ngoài.
Ví dụ ở bệnh viện: Đưa dữ liệu bệnh nhân ra hệ thống ở nước ngoài mà không lập, nộp hồ sơ đánh giá tác động.
Khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025; điểm b khoản 4 Điều 7 Nghị định 330/2026/NĐ-CP
3 tỷđồng
Khi nào: Mọi vi phạm khác về dữ liệu cá nhân: đây là trần chung.
Ví dụ ở bệnh viện: Xử lý dữ liệu sức khỏe khi chưa có sự đồng ý; để lộ dữ liệu; không áp dụng biện pháp bảo mật.
Khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025; điểm c khoản 4 Điều 7 Nghị định 330/2026/NĐ-CP
10 lầnkhoản thu
Khi nào: Mua, bán dữ liệu cá nhân trái phép.
Ví dụ ở bệnh viện: Bán hoặc trao đổi danh sách bệnh nhân cho bên quảng cáo, bảo hiểm.
Khoản 3 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025; điểm a khoản 4 Điều 7 Nghị định 330/2026/NĐ-CP
Bị buộc tạm dừng xử lý dữ liệuĐình chỉ
Điểm b khoản 3 Điều 55: buộc dừng xử lý dữ liệu đến khi nộp đủ hồ sơ đánh giá tác động
Khoản 2 Điều 4: đình chỉ hoạt động, tước quyền sử dụng giấy phép từ 01 đến 24 tháng
Thường gặp ở bệnh viện
Khoản 1 Điều 24: không lập, không thẩm định, phê duyệt hồ sơ đề xuất cấp độ: 40–60 triệu đồng
Khoản 2 Điều 62: cung cấp dữ liệu người bệnh khi chưa có yêu cầu bằng văn bản: 70–100 triệu đồng
Điều 69: không mã hóa, không phân quyền truy cập dữ liệu trên điện toán đám mây: 50–70 triệu đồng
Căn cứ: Nghị định 330/2026/NĐ-CP
19/08/2026
Nghị định 330/2026/NĐ-CP, Nghị định 331/2026/NĐ-CP có hiệu lực
31/12/2026
Hạn hoàn thành bệnh án điện tử (Quyết định 586/QĐ-BYT)
01/01/2027
Bệnh viện không dùng bệnh án giấy
02
Kiến trúc mạng bệnh viện: hiện hữu, cấp độ 3 và mô hình Hybrid
On-Premisetoàn bộ tại bệnh việnHybridchạy ở cả bệnh viện và cloudOn-CloudX-OR Secure Cloud tại Việt NamZ1vùng hiện hữuZ2bổ sung cho cấp độ 3 (B1–B6)
Private · kênh riêng hoặc VPN mã hóaPublic · InternetLAN · mạng nội bộ bệnh viện
L1
mã kênh, xem bảng dưới sơ đồL1 · PUBLIC · 2 ISP
2 × 500 Mbps · Anti-DDoS
2 × 500 Mbps · Anti-DDoS
L3 · EIP
L2 · PRIVATE · 2 tunnel
400 Mbps · IPsec
400 Mbps · IPsec
L4
X-OR Secure Cloud · VPC2 DC · Nam Thăng Long / Cầu Giấy
Internet vào qua 3 Elastic IP, chống DDoS + WAF (L3) · Bệnh viện nối qua 2 tunnel Private (L2)On-Cloud: SIEM/SOC, WAF, NGFW, DBF, PAM, LB, KMS, rà quét, S3, Z3B, Z10Hybrid, phần trên cloud: HIS/EMR, LIS, PACS, CSDL chính, API, AD/SSOINTERNET · ISP
R1
ISP 1
ISP 1
R2
ISP 2
ISP 2
FW-01
Active
Active
FW-02
Standby
Standby
CORE-01
HA
HA
CORE-02
HA
HA
FW-INT-01
IPS · AV
IPS · AV
FW-INT-02
IPS · AV
IPS · AV
Chính sách liên vùngChỉ mở nguồn, đích, dịch vụ được duyệt; lưu lượng đi qua đúng điểm kiểm soát.
PC KHOA / PHÒNG
Bác sĩ, điều dưỡng
Bác sĩ, điều dưỡng
PC HÀNH CHÍNH
Kế toán, nhân sự, tài sản
Kế toán, nhân sự, tài sản
THIẾT BỊ Y TẾ / IoMT
Chẩn đoán hình ảnh, XN
Chẩn đoán hình ảnh, XN
CAMERA IP / CCTV
Switch PoE, VLAN riêng
Switch PoE, VLAN riêng
THIẾT BỊ CHẤM CÔNG
VLAN riêng
VLAN riêng
WI-FI NỘI BỘ / KHÁCH
SSID tách biệt, qua FW nội bộ
SSID tách biệt, qua FW nội bộ
Trunk có phân VLANL4: uplink 10 GbE, truy cập 1 GbE*. Core không định tuyến vòng firewall.
DMZ / CỔNG DỊCH VỤ
Reverse proxy · chỉ nhận từ WAF (L3)
Reverse proxy · chỉ nhận từ WAF (L3)
VPN + MFA / BASTION
VPN, MFA tại chỗ · PAM trên cloud
VPN, MFA tại chỗ · PAM trên cloud
LB · HA
Load Balancer
Load Balancer
HISCloud · lõiTại chỗ · app chờ
PACSCloud · ảnh lạnhTại chỗ · ảnh nóng
LISCloud · lõiTại chỗ · IoMT
EMRCloud · CSDLTại chỗ · replica
KẾ TOÁN
Sổ sách, báo cáo
Sổ sách, báo cáo
NHÂN SỰ
Chấm công
Chấm công
TÀI SẢN
Quản lý tài sản
Quản lý tài sản
VĂN BẢN
Điều hành
Điều hành
DB Y TẾ
Chính trên cloud
Chính trên cloud
DB NỘI BỘ
Trên cloud
Trên cloud
DBF × 2
Cloud + tại chỗ
Cloud + tại chỗ
REPLICA CHỜ
Tại chỗ, sau DBF
Tại chỗ, sau DBF
BASTION
PAM trên cloud
PAM trên cloud
TÀI KHOẢN
AD/SSO đồng bộ
AD/SSO đồng bộ
NAC
Tại chỗ
Tại chỗ
THIẾT BỊ
Quản lý tại chỗ
Quản lý tại chỗ
NAS-DATA-01
Active, dữ liệu
Active, dữ liệu
NAS-DATA-02
Passive, SHA
Passive, SHA
NAS-CCTV
Surveillance Station
Surveillance Station
NAS / S3
Chỗ + cloud
Chỗ + cloud
SIEM + SOC 24/7
Log lưu tối thiểu 03 tháng
Log lưu tối thiểu 03 tháng
EDR, CHỐNG MÃ ĐỘC
Agent tại chỗ · gửi về SIEM
Agent tại chỗ · gửi về SIEM
S3 BẤT BIẾN
DC tách biệt, mã hóa
DC tách biệt, mã hóa
KIỂM THỬ KHÔI PHỤC
Theo RPO / RTO
Theo RPO / RTO
NTP
Relay tại chỗ
Relay tại chỗ
BẢN VÁ
Máy chủ tập trung
Máy chủ tập trung
KMS
Khóa mã hóa
Khóa mã hóa
EMAIL SECURITY
Lọc thư
Lọc thư
LỌC DNS
Tên miền độc hại
Tên miền độc hại
HIỆU NĂNG
CPU, RAM, thiết bị
CPU, RAM, thiết bị
DLP
Mọi máy trạm
Mọi máy trạm
Router biên · HAB1
FW biên · NGFW · HAB1
Core switch · MLAG
FW nội bộ · NGFW · HA
Z1Mạng nội bộ / truy cập
Mỗi nhóm một VLAN; liên vùng qua điểm kiểm soát.
Z9Mạng không dâyB6
Z2DMZ / truy cập từ xaB1
Web công khai chỉ đi qua WAF trên cloud; không công bố trực tiếp CSDL hoặc NAS
Z3AỨng dụng y tế
Hybrid: lõi ứng dụng trên cloud sau Load Balancer; ứng dụng chờ và middleware tại chỗ
Z3BỨng dụng nội bộ
Phân quyền theo bộ phận, nghiệp vụ; chạy trên cloud
Z4Cơ sở dữ liệuB2
Mã hóa TDE, khóa ở KMS; chỉ app kết nối
Z5Quản trịB3
Bastion, tài khoản, thiết bị, NAC
Z6Khu lưu trữB4
Ba vai trò độc lập: dữ liệu nghiệp vụ, ghi hình CCTV, sao lưu
Z7Giám sát ATTTB3
Tách khỏi vùng quản trị
Z8Bản sao độc lậpB4
Ngoài địa điểm, 3-2-1
Z10Dịch vụ nền tảng an ninhB5
Đồng bộ thời gian, bản vá, khóa mã hóa, thư điện tử, tên miền, hiệu năng, chống thất thoát dữ liệu
HIS, EMR, LIS, PACS: phần nào trên cloud, phần nào tại bệnh viện
HIS / EMR
Bệnh viện · Bệnh ánOn-Cloud · X-OR Secure Cloud
- Máy chủ ứng dụng HIS/EMR (HA) sau Load Balancer (Z3A)
- CSDL y tế chính (Z4): mã hóa TDE, DBF, khóa ở KMS
On-Premise · tại bệnh viện
- Máy chủ ứng dụng HIS/EMR chờ (kèm cache đọc): khi mất kết nối cloud chạy cùng replica để tiếp tục tiếp nhận, y lệnh, đơn thuốc
- Replica CSDL y tế chờ (sau DBF): làm CSDL chính khi mất kết nối cloud
LIS
Xét nghiệmOn-Cloud · X-OR Secure Cloud
- Máy chủ ứng dụng LIS/RIS (Z3A)
On-Premise · tại bệnh viện
- Middleware LIS và thiết bị y tế (IoMT): nối máy xét nghiệm, chẩn đoán hình ảnh
PACS
Ảnh y khoaOn-Cloud · X-OR Secure Cloud
- Cổng và cache ảnh PACS (Z3A)
- Object 10T: lưu lạnh ảnh cũ
On-Premise · tại bệnh viện
- NAS PACS ảnh nóng 10 TB (Z6): ảnh gần đây
Kênh truyền và kết nối
MãL1
Kết nốiInternet ISP – Router R1/R2
LoạiPublic
Công nghệHai ISP (chính + dự phòng) vào R1/R2; chống DDoS của nhà mạng; không công bố web trực tiếp
Băng thông≥ 500 Mbps mỗi đường*
Lưu lượng chínhMang 2 tunnel L2, VPN + MFA truy cập từ xa, Internet nội bộ
MãL2
Kết nốiFW biên – X-OR Secure Cloud (VPC)
LoạiPrivate
Công nghệ2 tunnel Site-to-Site VPN IPsec qua 2 ISP (active/standby), mã hóa. Nâng cấp: kênh riêng leased line/MPLS
Băng thông400 Mbps (2B)
Lưu lượng chínhHIS/EMR, LIS, PACS; đồng bộ CSDL; backup S3; log SIEM; WAF tới reverse proxy tại chỗ
MãL3
Kết nốiInternet – Elastic IP trên cloud
LoạiPublic
Công nghệ3 Elastic IP qua chống DDoS + WAF; mọi dịch vụ web công khai, kể cả dịch vụ đặt tại chỗ
Băng thôngDùng chung 400 Mbps với L2
Lưu lượng chínhCổng người bệnh, tra cứu kết quả, API liên thông
MãL4
Kết nốiLAN: Z1, Z9 – Core – FW nội bộ
LoạiLAN
Công nghệTrunk VLAN; core stack/MLAG; Wi-Fi (Z9) qua FW nội bộ
Băng thông10 GbE uplink, 1 GbE truy cập*
Lưu lượng chínhMáy trạm, thiết bị y tế, camera, Wi-Fi tới các vùng
| Mã | Kết nối | Loại | Công nghệ | Băng thông | Lưu lượng chính |
|---|---|---|---|---|---|
| L1 | Internet ISP – Router R1/R2 | Public | Hai ISP (chính + dự phòng) vào R1/R2; chống DDoS của nhà mạng; không công bố web trực tiếp | ≥ 500 Mbps mỗi đường* | Mang 2 tunnel L2, VPN + MFA truy cập từ xa, Internet nội bộ |
| L2 | FW biên – X-OR Secure Cloud (VPC) | Private | 2 tunnel Site-to-Site VPN IPsec qua 2 ISP (active/standby), mã hóa. Nâng cấp: kênh riêng leased line/MPLS | 400 Mbps (2B) | HIS/EMR, LIS, PACS; đồng bộ CSDL; backup S3; log SIEM; WAF tới reverse proxy tại chỗ |
| L3 | Internet – Elastic IP trên cloud | Public | 3 Elastic IP qua chống DDoS + WAF; mọi dịch vụ web công khai, kể cả dịch vụ đặt tại chỗ | Dùng chung 400 Mbps với L2 | Cổng người bệnh, tra cứu kết quả, API liên thông |
| L4 | LAN: Z1, Z9 – Core – FW nội bộ | LAN | Trunk VLAN; core stack/MLAG; Wi-Fi (Z9) qua FW nội bộ | 10 GbE uplink, 1 GbE truy cập* | Máy trạm, thiết bị y tế, camera, Wi-Fi tới các vùng |
* Giả định, cần khảo sát. Băng thông 400 Mbps trong nước là băng thông phía cloud đã tính ở 2B, dùng chung cho L2 và L3; đường Internet của bệnh viện (L1) phải lớn hơn mức này. Kênh riêng leased line/MPLS và băng thông quốc tế chưa tính giá.
B1
Biên / DMZ
Router và FW biên dự phòng nóng, 2 ISP; NGFW có IPS và chống mã độc; chống DDoS cả hai phía; WAF cho mọi dịch vụ web công khai.
Vị trí: R1/R2, FW biên tại chỗ; WAF, chống DDoS, Network FW trên cloud; chống DDoS cho L1 do nhà mạng.
TCVN 14423:2026 · 5.12.2.2
B2
Bảo vệ cơ sở dữ liệu
DBF cho mọi luồng tới CSDL, kể cả replica; mã hóa CSDL và volume, khóa quản lý vòng đời ở KMS.
Vị trí: DBF trên cloud trước CSDL chính + DBF tại chỗ trước replica chờ.
TCVN 14423:2026 · 5.12.2.2, 5.4.2.4
B3
Giám sát ATTT riêng
SIEM lưu tối thiểu 03 tháng; EDR gửi về SIEM; NAC kiểm soát thiết bị đầu cuối; cổng quản trị riêng.
Vị trí: SIEM, SOC trên cloud; agent EDR, DLP và NAC tại chỗ.
TCVN 14423:2026 · 5.8, 5.10.2.4, 5.12.2.2
B4
Bản sao độc lập
3-2-1, tự động, mã hóa, bất biến; lưu ở hạ tầng tách biệt môi trường vận hành; kiểm thử khôi phục theo RPO/RTO.
Vị trí: NAS tại chỗ + S3 bất biến ở DC khác DC chạy HIS, tài khoản riêng.
TCVN 14423:2026 · 5.11.2
B5
Dịch vụ nền tảng an ninh
Máy chủ thời gian; bản vá tập trung; an ninh thư điện tử; lọc tên miền; giám sát hiệu năng; DLP cho mọi máy trạm xử lý dữ liệu người bệnh.
Vị trí: Z10 trên cloud; relay NTP và agent tại chỗ.
TCVN 14423:2026 · 5.7.2.2, 5.8.2.1, 5.9.2, 5.12.2.2
B6
Không dây và truy cập từ xa
Vùng Wi-Fi riêng qua FW nội bộ; VPN + MFA; giới hạn dải địa chỉ được quản trị từ xa; 2 tunnel L2 dự phòng.
Vị trí: Z9 tại chỗ; L2 qua 2 ISP.
TCVN 14423:2026 · 5.12.2.2b, 5.12.2.5
Bổ sung để đạt cấp độ 3: Router R2 và ISP thứ hai; Load Balancer; NGFW có IPS, chống mã độc; web công khai chỉ qua WAF (L3); chống DDoS cho L1; DBF trước replica; vùng Wi-Fi riêng (Z9); 2 tunnel L2; Z10 dịch vụ nền tảng. Hiện trạng theo sơ đồ đầu vào, cần khảo sát xác nhận trước triển khai; topo không thay thế hồ sơ, cấu hình, kiểm thử và đánh giá cấp độ.
03
Dịch vụ và chính sách giá
VND/tháng · chưa gồm 10% VAT · QĐ 001/2026/QĐ XOR
Gói 2 · Nâng caoKhuyến nghị
X-OR Secure Cloud, gói cho 01 bệnh viện
Nâng cấp từ cấp độ 2 lên cấp độ 3 theo TCVN 14423:2026; kế thừa mạng và thiết bị hiện hữu, chuyển lõi nghiệp vụ sang Hybrid.
On-Cloud
2A · Dịch vụ an toàn thông tin
Dịch vụSIEM – giám sát ATTT
vCPU4
RAM16
SSD1.100
Giải pháp15.000.000
Thành tiền21.370.000
Dịch vụWAF – tường lửa web
vCPU2
RAM4
SSD150
Giải pháp6.300.000
Thành tiền7.525.000
Dịch vụEDR – phát hiện, phản ứng
vCPU4
RAM16
SSD150
Giải pháp8.000.000
Thành tiền10.779.000
Dịch vụDLP – 10 endpoint
vCPU2
RAM4
SSD150
Giải pháp10.000.000
Thành tiền11.225.000
Dịch vụDBF – tường lửa CSDL
vCPU2
RAM4
SSD150
Giải pháp17.000.000
Thành tiền18.225.000
Dịch vụSOC – giám sát ATTT 24/7
vCPU4
RAM12
SSD120
Giải pháp6.300.000
Thành tiền8.517.600
Dịch vụRà quét lỗ hổng bảo mật
vCPU4
RAM12
SSD120
Giải pháp7.500.000
Thành tiền9.717.600
Dịch vụNetwork firewall
vCPU4
RAM12
SSD120
Giải pháp7.500.000
Thành tiền9.717.600
Dịch vụPAM – truy cập đặc quyền
vCPU8
RAM16
SSD650
Giải pháp5.000.000
Thành tiền10.089.000
Dịch vụVPC (1)
vCPU–
RAM–
SSD–
Giải pháp–
Thành tiền400.000
Dịch vụElastic IP (3 địa chỉ)
vCPU–
RAM–
SSD–
Giải pháp–
Thành tiền300.000
Dịch vụSecure Data – backup 3-2-1
vCPU–
RAM–
SSD10.000
Giải pháp–
Thành tiền8.700.000
Dịch vụTổng 2A
vCPU34
RAM96
SSD12.710
Giải pháp
Thành tiền116.565.800
| Dịch vụ | vCPU | RAM | SSD | Giải pháp | Thành tiền |
|---|---|---|---|---|---|
| SIEM – giám sát ATTT | 4 | 16 | 1.100 | 15.000.000 | 21.370.000 |
| WAF – tường lửa web | 2 | 4 | 150 | 6.300.000 | 7.525.000 |
| EDR – phát hiện, phản ứng | 4 | 16 | 150 | 8.000.000 | 10.779.000 |
| DLP – 10 endpoint | 2 | 4 | 150 | 10.000.000 | 11.225.000 |
| DBF – tường lửa CSDL | 2 | 4 | 150 | 17.000.000 | 18.225.000 |
| SOC – giám sát ATTT 24/7 | 4 | 12 | 120 | 6.300.000 | 8.517.600 |
| Rà quét lỗ hổng bảo mật | 4 | 12 | 120 | 7.500.000 | 9.717.600 |
| Network firewall | 4 | 12 | 120 | 7.500.000 | 9.717.600 |
| PAM – truy cập đặc quyền | 8 | 16 | 650 | 5.000.000 | 10.089.000 |
| VPC (1) | – | – | – | – | 400.000 |
| Elastic IP (3 địa chỉ) | – | – | – | – | 300.000 |
| Secure Data – backup 3-2-1 | – | – | 10.000 | – | 8.700.000 |
| Tổng 2A | 34 | 96 | 12.710 | 116.565.800 |
Agent EDR, DLP cài trên máy trạm tại chỗ; console và xử lý trên cloud.
On-Cloud
2B · Ứng dụng bệnh viện (Hybrid)
Tài nguyên ×2Hạng mục (mỗi máy)HIS/EMR – máy chủ ứng dụng (HA)
SL2
vCPU16
RAM64
SSD600
Thành tiền22.232.000
Hạng mục (mỗi máy)LIS/RIS – máy chủ ứng dụng
SL1
vCPU8
RAM32
SSD400
Thành tiền5.936.000
Hạng mục (mỗi máy)PACS – cổng và cache ảnh
SL1
vCPU8
RAM32
SSD400
Thành tiền5.936.000
Hạng mục (mỗi máy)CSDL y tế chính (Z4)
SL1
vCPU16
RAM128
SSD2.000
Thành tiền23.576.000
Hạng mục (mỗi máy)Tích hợp, API liên thông
SL1
vCPU4
RAM16
SSD200
Thành tiền2.968.000
Hạng mục (mỗi máy)AD / SSO
SL1
vCPU4
RAM8
SSD160
Thành tiền1.920.800
Hạng mục (mỗi máy)Ứng dụng nội bộ Z3B
SL1
vCPU8
RAM32
SSD600
Thành tiền6.692.000
Hạng mục (mỗi máy)Windows Server · 56 core
SL–
vCPU–
RAM–
SSD–
Thành tiền6.720.000
Hạng mục (mỗi máy)Backup SSD · 30% (4.960 GB)
SL–
vCPU–
RAM–
SSD–
Thành tiền5.624.640
Hạng mục (mỗi máy)Object 10T – PACS lưu lạnh
SL–
vCPU–
RAM–
SSD10T
Thành tiền8.700.000
Hạng mục (mỗi máy)Băng thông trong nước 400 Mbps
SL–
vCPU–
RAM–
SSD–
Thành tiền2.000.000
Hạng mục (mỗi máy)Tổng 2B
SL
vCPU80
RAM376
SSD4.960
Thành tiền92.305.440
| Hạng mục (mỗi máy) | SL | vCPU | RAM | SSD | Thành tiền |
|---|---|---|---|---|---|
| HIS/EMR – máy chủ ứng dụng (HA) | 2 | 16 | 64 | 600 | 22.232.000 |
| LIS/RIS – máy chủ ứng dụng | 1 | 8 | 32 | 400 | 5.936.000 |
| PACS – cổng và cache ảnh | 1 | 8 | 32 | 400 | 5.936.000 |
| CSDL y tế chính (Z4) | 1 | 16 | 128 | 2.000 | 23.576.000 |
| Tích hợp, API liên thông | 1 | 4 | 16 | 200 | 2.968.000 |
| AD / SSO | 1 | 4 | 8 | 160 | 1.920.800 |
| Ứng dụng nội bộ Z3B | 1 | 8 | 32 | 600 | 6.692.000 |
| Windows Server · 56 core | – | – | – | – | 6.720.000 |
| Backup SSD · 30% (4.960 GB) | – | – | – | – | 5.624.640 |
| Object 10T – PACS lưu lạnh | – | – | – | 10T | 8.700.000 |
| Băng thông trong nước 400 Mbps | – | – | – | – | 2.000.000 |
| Tổng 2B | 80 | 376 | 4.960 | 92.305.440 |
Giả định đã nhân đôi: vCPU, RAM, SSD mỗi máy; Object từ 5T lên 10T; băng thông từ 200 lên 400 Mbps. Chốt sau khảo sát.
On-Cloud
2D · Bổ sung để đạt cấp độ 3
MớiHạng mụcLoad Balancer HA (2 node)
vCPU4
RAM8
SSD100
Giải pháp–
Thành tiền1.694.000
Hạng mụcNTP – máy chủ thời gian
vCPU2
RAM2
SSD40
Giải pháp–
Thành tiền585.200
Hạng mụcMáy chủ bản vá tập trung (gồm Windows 4 core)
vCPU4
RAM8
SSD500
Giải pháp–
Thành tiền3.686.000
Hạng mụcKMS – quản lý khóa (2 node)
vCPU4
RAM8
SSD100
Giải phápbáo giá riêng
Thành tiền1.694.000
Hạng mụcEmail security gateway
vCPU4
RAM8
SSD200
Giải phápbáo giá riêng
Thành tiền2.072.000
Hạng mụcLọc tên miền DNS
vCPU2
RAM4
SSD50
Giải phápbáo giá riêng
Thành tiền847.000
Hạng mụcGiám sát hiệu năng (NMS)
vCPU4
RAM8
SSD200
Giải pháp–
Thành tiền2.072.000
Hạng mụcBackup SSD · 30% (1.190 GB)
vCPU–
RAM–
SSD–
Giải pháp–
Thành tiền1.349.460
Hạng mụcDBF instance 2 (chạy tại chỗ, trước replica)
vCPU–
RAM–
SSD–
Giải pháp17.000.000*
Thành tiền17.000.000
Hạng mụcTổng 2D
vCPU24
RAM46
SSD1.190
Giải pháp
Thành tiền30.999.660
| Hạng mục | vCPU | RAM | SSD | Giải pháp | Thành tiền |
|---|---|---|---|---|---|
| Load Balancer HA (2 node) | 4 | 8 | 100 | – | 1.694.000 |
| NTP – máy chủ thời gian | 2 | 2 | 40 | – | 585.200 |
| Máy chủ bản vá tập trung (gồm Windows 4 core) | 4 | 8 | 500 | – | 3.686.000 |
| KMS – quản lý khóa (2 node) | 4 | 8 | 100 | báo giá riêng | 1.694.000 |
| Email security gateway | 4 | 8 | 200 | báo giá riêng | 2.072.000 |
| Lọc tên miền DNS | 2 | 4 | 50 | báo giá riêng | 847.000 |
| Giám sát hiệu năng (NMS) | 4 | 8 | 200 | – | 2.072.000 |
| Backup SSD · 30% (1.190 GB) | – | – | – | – | 1.349.460 |
| DBF instance 2 (chạy tại chỗ, trước replica) | – | – | – | 17.000.000* | 17.000.000 |
| Tổng 2D | 24 | 46 | 1.190 | 30.999.660 |
Tài nguyên tính theo đơn giá QĐ 001/2026. * DBF instance 2 giả định cùng đơn giá giải pháp DBF ở 2A, chạy trên hạ tầng tại chỗ (2C).
Báo giá riêng, chưa tính vào tổng
- DLP mở rộng mọi máy trạm
- NAC (nếu bệnh viện chưa có)
- Kiểm thử xâm nhập ngoài + trong, 1 lần/năm
- Bản quyền KMS, email security, lọc DNS
- Chống DDoS L1 và ISP thứ hai (nhà mạng)
- Kênh riêng leased line (tuỳ chọn)
On-Premise
2C · Tại chỗ, tại bệnh viện
giả định, không tính vào giá cloudHạng mục tại chỗReplica CSDL y tế (chờ, đồng bộ từ cloud)
Tài nguyên giả định16 vCPU · 128 GB · 2.000 GB SSD
Vai trò trong mô hình HybridLàm CSDL chính cùng máy chủ ứng dụng chờ khi mất kết nối cloud
Hạng mục tại chỗMáy chủ ứng dụng HIS/EMR chờ (kèm cache đọc)
Tài nguyên giả định16 vCPU · 64 GB · 600 GB SSD
Vai trò trong mô hình HybridKhi mất kết nối cloud: chạy cùng replica để tiếp tục tiếp nhận, y lệnh, đơn thuốc
Hạng mục tại chỗMiddleware LIS và thiết bị y tế (IoMT)
Tài nguyên giả định4 vCPU · 16 GB · 200 GB SSD
Vai trò trong mô hình HybridNối máy xét nghiệm, chẩn đoán hình ảnh
Hạng mục tại chỗNAS PACS ảnh nóng (Z6)
Tài nguyên giả định10 TB
Vai trò trong mô hình HybridẢnh gần đây; ảnh cũ lưu lạnh lên Object cloud
Hạng mục tại chỗRouter biên R2 + đường ISP thứ hai
Tài nguyên giả địnhThiết bị định tuyến · ≥ 500 Mbps
Vai trò trong mô hình HybridDự phòng nóng; mang tunnel L2 thứ hai
Hạng mục tại chỗDBF instance 2
Tài nguyên giả định2 vCPU · 4 GB · 150 GB SSD
Vai trò trong mô hình HybridBảo vệ replica khi lên làm CSDL chính
Hạng mục tại chỗVùng Wi-Fi riêng (Z9)
Tài nguyên giả địnhCổng trên FW nội bộ, SSID/VLAN
Vai trò trong mô hình HybridTách mạng không dây khỏi Z1
Hạng mục tại chỗPhòng máy chủ đạt Phụ lục A.3
Tài nguyên giả địnhCổng điện tử, camera, chữa cháy, UPS
Vai trò trong mô hình HybridNơi đặt core, FW, replica, NAS
Hạng mục tại chỗHiện hữu, giữ nguyên
Tài nguyên giả địnhMạng lõi, FW, NAS, thiết bị y tế
Vai trò trong mô hình HybridMạng truy cập Z1
| Hạng mục tại chỗ | Tài nguyên giả định | Vai trò trong mô hình Hybrid |
|---|---|---|
| Replica CSDL y tế (chờ, đồng bộ từ cloud) | 16 vCPU · 128 GB · 2.000 GB SSD | Làm CSDL chính cùng máy chủ ứng dụng chờ khi mất kết nối cloud |
| Máy chủ ứng dụng HIS/EMR chờ (kèm cache đọc) | 16 vCPU · 64 GB · 600 GB SSD | Khi mất kết nối cloud: chạy cùng replica để tiếp tục tiếp nhận, y lệnh, đơn thuốc |
| Middleware LIS và thiết bị y tế (IoMT) | 4 vCPU · 16 GB · 200 GB SSD | Nối máy xét nghiệm, chẩn đoán hình ảnh |
| NAS PACS ảnh nóng (Z6) | 10 TB | Ảnh gần đây; ảnh cũ lưu lạnh lên Object cloud |
| Router biên R2 + đường ISP thứ hai | Thiết bị định tuyến · ≥ 500 Mbps | Dự phòng nóng; mang tunnel L2 thứ hai |
| DBF instance 2 | 2 vCPU · 4 GB · 150 GB SSD | Bảo vệ replica khi lên làm CSDL chính |
| Vùng Wi-Fi riêng (Z9) | Cổng trên FW nội bộ, SSID/VLAN | Tách mạng không dây khỏi Z1 |
| Phòng máy chủ đạt Phụ lục A.3 | Cổng điện tử, camera, chữa cháy, UPS | Nơi đặt core, FW, replica, NAS |
| Hiện hữu, giữ nguyên | Mạng lõi, FW, NAS, thiết bị y tế | Mạng truy cập Z1 |
Gói 2 trên cloud · 2A + 2B + 2D
239.870.900 VNDmỗi tháng · giá niêm yết, chưa chiết khấu
VAT 10%23.987.090 VNDmỗi tháng
Tổng thanh toán263.857.990 VNDmỗi tháng, đã gồm VAT; chưa gồm hạng mục báo giá riêng
Gói 1 · Cơ bản
X-OR Secure Data Object Storage
Lưu trữ, sao lưu bất biến 3-2-1, mã hóa, chốt chặn ransomware; hạ tầng tại Việt Nam.
100 GB100.000
200 GB195.000
500 GB475.000
1T945.000
2T1.840.000
5T4.400.000
10T8.700.000
Trên 10 TBliên hệ
Gói 3 · Hệ thống lớn
X-OR Stack Cloud On-Premise
Triển khai toàn bộ hạ tầng tại bệnh viện (On-premise).
Báo giá theo dự ánLiên hệ báo giá04
Đối chiếu TCVN 14423:2026 · cấp độ 3
Mục 5 và Phụ lục A.3
Kiến trúc đáp ứng5 nhómđủ giải pháp kỹ thuật trong sơ đồ
Kiến trúc + hồ sơ6 nhómcó giải pháp; cần quy định, cấu hình, rà soát
Hồ sơ, quy trình6 nhómbệnh viện xây dựng; X-OR hỗ trợ
Cần khảo sát1 nhómphòng máy tại bệnh viện
Mục5.1
NhómQuản lý rủi ro
Yêu cầu chínhXác định, đánh giá, xử lý rủi ro; rà soát 01 lần/năm
Giải pháp trong kiến trúcĐầu vào từ danh mục tài sản, rà quét lỗ hổng, SIEM
Trạng tháiHồ sơ, quy trình
Mục5.2
NhómTài sản phần cứng
Yêu cầu chínhDanh mục; phát hiện thiết bị lạ 06 tháng/lần; DHCP logging
Giải pháp trong kiến trúcNAC (Z5); log DHCP về SIEM
Trạng tháiKiến trúc + hồ sơ
Mục5.3
NhómTài sản phần mềm
Yêu cầu chínhDanh mục, danh sách được phép, xử lý phần mềm trái phép
Giải pháp trong kiến trúcEDR kiểm soát cài đặt, thực thi
Trạng tháiKiến trúc + hồ sơ
Mục5.4
NhómTài sản thông tin
Yêu cầu chínhPhân loại; mã hóa lưu trữ và truyền; tách dữ liệu nhạy cảm; luồng dữ liệu; chữ ký số
Giải pháp trong kiến trúcIPsec L2, TDE + KMS; tách Z3A/Z3B và DB y tế/nội bộ
Trạng tháiKiến trúc + hồ sơ
Mục5.5
NhómCấu hình an toàn
Yêu cầu chínhCấu hình chuẩn; khóa phiên 15 phút, quản trị 05 phút
Giải pháp trong kiến trúcChính sách tập trung qua AD; phiên quản trị qua PAM
Trạng tháiKiến trúc + hồ sơ
Mục5.6
NhómTài khoản, truy cập
Yêu cầu chínhQuản lý tập trung; MFA cho quản trị và truy cập ngoài; rà soát 06 tháng
Giải pháp trong kiến trúcAD/SSO, PAM, VPN + MFA
Trạng tháiKiến trúc + hồ sơ
Mục5.7
NhómLỗ hổng, bản vá
Yêu cầu chínhRà quét 06 tháng/lần; máy chủ bản vá tập trung
Giải pháp trong kiến trúcRà quét lỗ hổng (2A); bản vá tập trung (Z10)
Trạng tháiKiến trúc đáp ứng
Mục5.8
NhómNhật ký
Yêu cầu chínhSIEM; máy chủ thời gian; lưu tối thiểu 03 tháng
Giải pháp trong kiến trúcSIEM + SOC 24/7; NTP (Z10)
Trạng tháiKiến trúc đáp ứng
Mục5.9
NhómWeb, thư điện tử
Yêu cầu chínhAn ninh thư điện tử; lọc tên miền
Giải pháp trong kiến trúcEmail security, lọc DNS (Z10)
Trạng tháiKiến trúc đáp ứng
Mục5.10
NhómMã độc
Yêu cầu chínhChống mã độc thời gian thực; EDR kết nối SIEM
Giải pháp trong kiến trúcEDR về SIEM; NGFW chống mã độc
Trạng tháiKiến trúc đáp ứng
Mục5.11
NhómSao lưu
Yêu cầu chính3-2-1, tự động, mã hóa, hạ tầng tách biệt
Giải pháp trong kiến trúcNAS + S3 bất biến ở DC khác
Trạng tháiKiến trúc đáp ứng
Mục5.12
NhómHạ tầng mạng
Yêu cầu chínhDự phòng nóng, NGFW IPS, DBF, NAC, WAF, chống DDoS, giám sát; đủ vùng mạng; nghiệm thu độc lập
Giải pháp trong kiến trúcR1/R2, FW HA, LB, DBF × 2, NAC, WAF, chống DDoS; Z1–Z10
Trạng tháiKiến trúc + hồ sơ
Mục5.13
NhómNhân sự
Yêu cầu chính03 bộ phận vận hành, quản trị, an ninh mạng độc lập; đào tạo 01 lần/năm
Giải pháp trong kiến trúcSOC 24/7 hỗ trợ giám sát
Trạng tháiHồ sơ, quy trình
Mục5.14
NhómNhà cung cấp
Yêu cầu chínhDanh sách; văn bản phân định trách nhiệm
Giải pháp trong kiến trúcMa trận trách nhiệm X-OR và bệnh viện trong hợp đồng
Trạng tháiHồ sơ, quy trình
Mục5.15
NhómỨng phó sự cố
Yêu cầu chínhLực lượng, quy trình, đầu mối, diễn tập
Giải pháp trong kiến trúcSOC 24/7 phối hợp xử lý
Trạng tháiHồ sơ, quy trình
Mục5.16
NhómPhát triển ứng dụng
Yêu cầu chínhQuy trình an toàn; HIS thuê khoán có mã nguồn hoặc chứng chỉ độc lập
Giải pháp trong kiến trúcKiểm thử ứng dụng trước vận hành
Trạng tháiHồ sơ, quy trình
Mục5.17
NhómKiểm thử xâm nhập
Yêu cầu chínhTừ ngoài và từ trong, tối thiểu 01 lần/năm
Giải pháp trong kiến trúcDịch vụ kiểm thử xâm nhập (báo giá riêng)
Trạng tháiHồ sơ, quy trình
MụcA.3
NhómAn toàn vật lý
Yêu cầu chínhPhòng máy: cổng điện tử, camera 03 tháng, chữa cháy, UPS, nguồn dự phòng
Giải pháp trong kiến trúcDC X-OR ISO/IEC 27001:2022; phòng máy bệnh viện
Trạng tháiCần khảo sát
| Mục | Nhóm | Yêu cầu chính | Giải pháp trong kiến trúc | Trạng thái |
|---|---|---|---|---|
| 5.1 | Quản lý rủi ro | Xác định, đánh giá, xử lý rủi ro; rà soát 01 lần/năm | Đầu vào từ danh mục tài sản, rà quét lỗ hổng, SIEM | Hồ sơ, quy trình |
| 5.2 | Tài sản phần cứng | Danh mục; phát hiện thiết bị lạ 06 tháng/lần; DHCP logging | NAC (Z5); log DHCP về SIEM | Kiến trúc + hồ sơ |
| 5.3 | Tài sản phần mềm | Danh mục, danh sách được phép, xử lý phần mềm trái phép | EDR kiểm soát cài đặt, thực thi | Kiến trúc + hồ sơ |
| 5.4 | Tài sản thông tin | Phân loại; mã hóa lưu trữ và truyền; tách dữ liệu nhạy cảm; luồng dữ liệu; chữ ký số | IPsec L2, TDE + KMS; tách Z3A/Z3B và DB y tế/nội bộ | Kiến trúc + hồ sơ |
| 5.5 | Cấu hình an toàn | Cấu hình chuẩn; khóa phiên 15 phút, quản trị 05 phút | Chính sách tập trung qua AD; phiên quản trị qua PAM | Kiến trúc + hồ sơ |
| 5.6 | Tài khoản, truy cập | Quản lý tập trung; MFA cho quản trị và truy cập ngoài; rà soát 06 tháng | AD/SSO, PAM, VPN + MFA | Kiến trúc + hồ sơ |
| 5.7 | Lỗ hổng, bản vá | Rà quét 06 tháng/lần; máy chủ bản vá tập trung | Rà quét lỗ hổng (2A); bản vá tập trung (Z10) | Kiến trúc đáp ứng |
| 5.8 | Nhật ký | SIEM; máy chủ thời gian; lưu tối thiểu 03 tháng | SIEM + SOC 24/7; NTP (Z10) | Kiến trúc đáp ứng |
| 5.9 | Web, thư điện tử | An ninh thư điện tử; lọc tên miền | Email security, lọc DNS (Z10) | Kiến trúc đáp ứng |
| 5.10 | Mã độc | Chống mã độc thời gian thực; EDR kết nối SIEM | EDR về SIEM; NGFW chống mã độc | Kiến trúc đáp ứng |
| 5.11 | Sao lưu | 3-2-1, tự động, mã hóa, hạ tầng tách biệt | NAS + S3 bất biến ở DC khác | Kiến trúc đáp ứng |
| 5.12 | Hạ tầng mạng | Dự phòng nóng, NGFW IPS, DBF, NAC, WAF, chống DDoS, giám sát; đủ vùng mạng; nghiệm thu độc lập | R1/R2, FW HA, LB, DBF × 2, NAC, WAF, chống DDoS; Z1–Z10 | Kiến trúc + hồ sơ |
| 5.13 | Nhân sự | 03 bộ phận vận hành, quản trị, an ninh mạng độc lập; đào tạo 01 lần/năm | SOC 24/7 hỗ trợ giám sát | Hồ sơ, quy trình |
| 5.14 | Nhà cung cấp | Danh sách; văn bản phân định trách nhiệm | Ma trận trách nhiệm X-OR và bệnh viện trong hợp đồng | Hồ sơ, quy trình |
| 5.15 | Ứng phó sự cố | Lực lượng, quy trình, đầu mối, diễn tập | SOC 24/7 phối hợp xử lý | Hồ sơ, quy trình |
| 5.16 | Phát triển ứng dụng | Quy trình an toàn; HIS thuê khoán có mã nguồn hoặc chứng chỉ độc lập | Kiểm thử ứng dụng trước vận hành | Hồ sơ, quy trình |
| 5.17 | Kiểm thử xâm nhập | Từ ngoài và từ trong, tối thiểu 01 lần/năm | Dịch vụ kiểm thử xâm nhập (báo giá riêng) | Hồ sơ, quy trình |
| A.3 | An toàn vật lý | Phòng máy: cổng điện tử, camera 03 tháng, chữa cháy, UPS, nguồn dự phòng | DC X-OR ISO/IEC 27001:2022; phòng máy bệnh viện | Cần khảo sát |
Kết luận: sau phần bổ sung (B1–B6, 2D), kiến trúc đã có đủ giải pháp kỹ thuật cho các yêu cầu Mục 5 TCVN 14423:2026 và dùng được cho hồ sơ đề xuất cấp độ 3. Để được phê duyệt cấp độ 3, bệnh viện còn cần: bộ quy định, quy trình (5.1, 5.13–5.16), kiểm thử xâm nhập (5.17), nghiệm thu có đơn vị độc lập (5.12.2.3) và phòng máy đạt Phụ lục A.3. Phần đặt tại bệnh viện cũng phải đạt cấp độ 3, vì không được tách hệ thống để hạ cấp.
Đưa bệnh viện của bạn đạt cấp độ 3
Liên hệ X-OR để khảo sát hiện trạng, lập phương án Hybrid và báo giá theo quy mô bệnh viện.
X-OR Cloud · 2 DC Nam Thăng Long, Cầu Giấy · ISO/IEC 27001:2022 · SLA 99,99%
TCVN 14423:2026 · Cấp độ 3 · Đơn giá QĐ 001/2026/QĐ XOR, hiệu lực 01/02/2026
Cập nhật 04/11/2026