HIPAA OCR: 725 اختراقًا و275 مليون سجل
محدَّث لعام 2026
رصد مكتب حقوق المدنيين التابع لوزارة الصحة والخدمات الإنسانية الأمريكية (HHS/OCR) 725 اختراقًا للبيانات الصحية في 2024. وقد طالت هذه الاختراقات 275 مليون سجل مريض، وهو أعلى رقم إجمالي يُسجَّل في عام واحد.
بلغ متوسط تكلفة كل اختراق صحي 10.22 مليون دولار في 2025، وفق تقرير IBM لتكلفة اختراق البيانات. وتشمل هذه التكلفة الغرامات المدنية والرسوم القانونية وإخطار المرضى ورصد الائتمان والثقة المفقودة.
تُعدُّ سنتا 2025 و2026 مفصليتَين للجهات المشمولة وشركائها في الأعمال. فقد اقترح تحديث قاعدة أمن HIPAA الصادر في مارس 2025 أكبر مجموعة من الضوابط التقنية منذ عام 2003.
أسباب الاختراقات الـ725 في 2024
تُصنِّف بوابة مكتب OCR إخفاقات 2024 في أربعة أنواع.
الاختراق واختراق تقنية المعلومات أفضى إلى 74% من الاختراقات المُبلَّغ عنها. وتتصدر القائمة برامج الفدية وهجمات الخوادم واحتيال البريد الإلكتروني. بات المهاجمون يستهدفون الشبكات بأكملها؛ فهجوم واحد قادر على استخراج سجلات من نظام سجلات صحية إلكترونية بأكمله.
الوصول غير المصرح به والإفصاح أفضى إلى 18% من الاختراقات، وتشمل ضوابط الوصول الرديئة وإساءة الاستخدام الداخلي وأخطاء إرسال البريد لغير المعنيين.
حوادث الأطراف الثالثة شكَّلت 35% من اختراقات 2024، بدأت عند شريك أعمال لا عند الجهة المشمولة ذاتها. فـChange Healthcare (إحدى وحدات UnitedHealth Group) وحدها كشفت عن أكثر من 190 مليون سجل مريض، وهو أكبر اختراق للبيانات الصحية في الولايات المتحدة.
سرقة الوسائط المحمولة أو ضياعها أفضت إلى 8% من الاختراقات، وتشمل الحواسيب المحمولة ومحركات USB والسجلات الورقية المسروقة أو المفقودة دون تشفير.
أنواع البيانات الصحية المحمية الـ18 وفق الملاذ الآمن
تستلزم طريقة الملاذ الآمن بموجب HIPAA [45 CFR §164.514(b)] حذف جميع أنواع البيانات الصحية للمرضى الثمانية عشر. معظم الفرق تحفظ القائمة؛ الصعوبة تكمن في الكشف على نطاق واسع.
- الأسماء — المرضى وأفراد الأسرة وأصحاب العمل
- البيانات الجغرافية — أي منطقة أصغر من مستوى الولاية
- التواريخ — الدخول والخروج والميلاد والوفاة (يمكن الإبقاء على السنة)
- أرقام الهاتف
- أرقام الفاكس
- عناوين البريد الإلكتروني
- أرقام الضمان الاجتماعي
- أرقام السجلات الطبية (يتفاوت التنسيق بحسب نظام السجلات الإلكترونية)
- أرقام عضوية الخطة الصحية
- أرقام الحسابات
- أرقام الشهادات والتراخيص — طبية، DEA، ولائية
- معرِّفات المركبات — أرقام التعريف وألواح السيارات
- معرِّفات الأجهزة — الأرقام التسلسلية والرموز الفريدة للأجهزة
- عناوين URL
- عناوين IP
- البيانات البيومترية — بصمات الأصابع وبصمات الصوت
- الصور الكاملة للوجه والصور المماثلة
- أي معرِّف أو رمز أو سمة فريدة أخرى
النوع الثامن عشر هو الأصعب كشفًا؛ إذ يجب حذف أي رمز يربط سجلًا بمريض بعينه حتى وإن لم يكن له نمط محدد.
للاطلاع على دليل خطوة بخطوة لتنقية جميع الأنواع الثمانية عشر من السجلات السريرية، راجع إخفاء هوية HIPAA وفق الملاذ الآمن للبحث الصحي.
خمسة قواعد جديدة في التحديث الأمني المقترح
يضيف التحديث المقترح لقاعدة أمن HIPAA (مارس 2025) خمسة التزامات جديدة.
عمليات تدقيق سنوية للتشفير. يجب على الجهات المشمولة التأكيد على أن جميع بيانات المرضى الساكنة مُشفَّرة بمعيار AES-256 أو ما يعادله، مع وجود معايير مكتوبة لإدارة المفاتيح.
إجراءات مكتوبة لإخفاء الهوية. تستلزم أي بيانات مرضى تُستخدم في البحث أو تدريب الذكاء الاصطناعي أو التحليلات خطوات موثَّقة مع إثبات تحقق تقني.
فحوصات أمنية لشركاء الأعمال. يجب على شركاء الأعمال اجتياز فحوصات تقنية محددة قبل الانطلاق؛ إذ كانت العقود تُعالج هذا الأمر سابقًا دون تفاصيل تقنية.
المصادقة متعددة العوامل (MFA). يجب على جميع الموظفين الذين يصلون إلى البيانات الإلكترونية للمرضى استخدام MFA دون استثناء للأنظمة القديمة.
اختبار الاستجابة للحوادث. تُشترط تدريبات سنوية واختبارات تقنية مع الاحتفاظ بسجلات النتائج.
دروس من اختراق Change Healthcare
كشف اختراق Change Healthcare (فبراير 2024) عن معنى المخاطر النظامية. كانت Change Healthcare تُعالج 15 مليار معاملة سنويًا، وتربط مقدِّمي الخدمات ودافعي الفواتير والصيدليات بصفتها جهة تسوية.
بدأ الاختراق من حساب وصول عن بُعد واحد بلا MFA. تحرَّك المهاجمون عبر الشبكة لتسعة أيام ثم أطلقوا برامج الفدية.
الدرس واضح: شريك أعمال واسع الوصول إلى معاملات الرعاية الصحية يُشكِّل خطرًا على كل شريك يتعامل معه. الإطار القديم لم يُصمَّم لموفِّري خدمات يُعالجون ثلث معاملات الرعاية الصحية الأمريكية.
ترتبط MFA وتجزئة الشبكة وفحوصات شركاء الأعمال في التحديث المقترح بهذا الحدث مباشرةً.
للاطلاع على إزالة البيانات الشخصية المحمية من تنسيقات السجلات الخاصة بالمستشفيات، راجع كشف أرقام السجلات الطبية وأنماط المستشفيات المحددة. للاطلاع على تصميم الخزانة الصفرية المعرفة الذي يُبقي بيانات المرضى خارج الشبكة، راجع الخزانة الصفرية المعرفة وBHI المتوافقة مع HIPAA في السحابة.