HIPAA OCR: 725 пробива, 275 млн. досиета
Актуализирано за 2026 г.
Отделът за граждански права на HHS (OCR) е регистрирал 725 пробива в здравните данни през 2024 г. Тези пробиви са засегнали 275 милиона пациентски досиета. Тази цифра е най-висока, регистрирана за една година.
Средната цена на пробив в здравеопазването достига $10,22 млн. през 2025 г. Докладът на IBM за разходите при пробив на данни потвърждава тази цифра. Разходите включват граждански глоби, правни такси, уведомяване на пациенти, кредитен мониторинг и загуба на доверие.
2025 и 2026 г. са ключови години за субектите, обхванати от закона, и техните бизнес партньори. Предложената актуализация на Правилото за сигурност по HIPAA от март 2025 г. ще добави най-мащабния набор от технически правила от 2003 г. насам.
Какво е причинило 725-те пробива през 2024 г.
Порталът на OCR групира неизправностите от 2024 г. в четири типа.
Хакерски атаки и ИТ инциденти са причинили 74% от докладваните пробиви. Рансъмуер, атаки срещу сървъри и имейл измами са водещите видове. Атакуващите вече се насочват към цели мрежи. Една атака може да извлече досиета от цяла система за електронни здравни данни наведнъж.
Неразрешен достъп и разкриване са причинили 18% от пробивите. Тук влизат лош контрол на достъпа, злоупотреба от страна на служители и изпращане до грешен получател.
Инциденти при трети страни съставляват 35% от пробивите за 2024 г. Неизправността е започнала от бизнес партньор, не от субекта, обхванат от закона. Change Healthcare (подразделение на UnitedHealth Group) само по себе си е изложило над 190 милиона пациентски досиета. Това е най-голямото известно нарушение на здравни данни в САЩ.
Кражба или загуба на преносими носители са причинили 8% от пробивите. Лаптопи, USB устройства и хартиени документи, изгубени или откраднати без криптиране.
18-те типа PHI по метода Safe Harbor
Методът Safe Harbor по HIPAA (45 CFR §164.514(b)) изисква премахване на всичките 18 типа пациентски данни. Повечето екипи познават списъка. Трудната част е засичането в мащаб.
- Имена — пациенти, членове на семейството, работодатели
- Географски данни — всяка зона, по-малка от щат
- Дати — прием, изписване, раждане, смърт (годината може да остане)
- Телефонни номера
- Факс номера
- Имейл адреси
- Номера на социалното осигуряване
- Номера на медицинските досиета (форматът варира по EHR система)
- Номера на членове на здравни планове
- Номера на сметки
- Номера на сертификати и лицензи — медицински, DEA, щатски
- Идентификатори на превозни средства — VIN номера и номера на регистрационни табели
- Идентификатори на устройства — серийни номера и уникални кодове на устройства
- Уеб URL адреси
- IP адреси
- Биометрични данни — пръстови отпечатъци и гласови разпечатки
- Снимки на цяло лице и подобни изображения
- Всеки друг уникален идентификатор, код или характеристика
Тип 18 е най-труден за засичане. Всеки код, свързващ запис с конкретен пациент, трябва да бъде премахнат — дори без установен шаблон.
За ръководство стъпка по стъпка за изчистване на всичките 18 типа от клинични записи вижте HIPAA Safe Harbor деидентификация за здравни изследвания.
Пет нови правила в предложената актуализация на сигурността
Предложената актуализация на Правилото за сигурност по HIPAA (март 2025 г.) добавя пет задължения.
Годишни одити на криптирането. Субектите трябва да потвърдят, че всички пациентски данни в покой използват AES-256 или равностойно. Управлението на ключове трябва да отговаря на писмени стандарти.
Писмени процедури за деидентификация. Всички пациентски данни, използвани за изследвания, обучение на ИИ или анализи, изискват писмени стъпки. Бележка за политика не е достатъчна. Изискват се технически записи с доказателства за валидиране.
Проверки на сигурността на бизнес партньорите. Бизнес партньорите трябва да преминат конкретни технически проверки преди да влязат в действие. Преди договорите уреждаха това без технически подробности.
Многофакторна автентификация (MFA). Всички служители с достъп до електронни пациентски данни трябва да използват MFA. Наследствените системи не са освободени.
Тестване на реакцията при инциденти. Изискват се годишни учения и технически тестове. Екипите трябва да съхраняват записи от резултатите.
Поуки от Change Healthcare
Пробивът в Change Healthcare (февруари 2024 г.) показа как изглежда системният риск. Change Healthcare е обработвала 15 милиарда транзакции годишно. Тя е свързвала доставчици, платители и аптеки като клирингова централа.
Пробивът е започнал с един акаунт за отдалечен достъп. Този акаунт не е имал MFA. Атакуващите са се придвижвали из мрежата девет дни. След това са стартирали рансъмуера.
Поуката е ясна. Бизнес партньор с широк достъп до здравни транзакции е риск за всеки партньор, с когото работи. Старата рамка не е проектирана за доставчици, обработващи третина от всички здравни транзакции в САЩ.
MFA, сегментирането на мрежата и проверките на бизнес партньорите в предложеното правило — всичко се свежда до този инцидент.
За премахване на PHI от болнично-специфични формати на записи вижте HIPAA засичане на MRN и болнично-специфични шаблони. За проектиране с нулево знание, при което пациентски данни не постъпват в мрежата, вижте HIPAA-съвместим облачен PHI и проектиране с нулево знание.