HIPAA OCR: 725 Urraketa, 275M Erregistro
2026rako eguneratua
HHS Eskubide Zibilen Bulegoak (OCR) 725 osasun datu urraketa zenbatu zituen 2024an. Urraketa horiek 275 milioi pazienteen erregistroei eragin zieten. Kopuru hori urte bakarrean inoiz erregistratutakorik altuena da.
Osasun urraketa bakoitzeko batez besteko kostua 10,22 milioi dolarrera iritsi zen 2025ean. IBMren Datu Urraketaren Kostu Txostenak zenbakia hor kokatzen du. Kostuak isun zibilak, abokatu-gastuak, pazienteen jakinarazpenak, kreditu-jarraipena eta galdu diren konfiantza barne hartzen ditu.
2025 eta 2026 urte garrantzitsuak dira entitate estaltuen eta haien negozio-laguntzaileen. 2025eko martxoko HIPAA Segurtasun Arauen eguneratze proposatu batek 2003az geroztiko arau tekniko multzorik handiena gehituko luke.
Zer Eragin Zuen 725 Urraketa 2024an
OCR portalak 2024ko hutsegiteak lau motatan sailkatzen ditu.
Pirateria eta IT gertakariek jakinarazitako urraketen %74 eragin zuten. Ransomwarea, zerbitzari-erasoak eta posta elektronikoaren iruzurra dira mota nagusiak. Erasotzaileak orain sare osoak jomugatzen dituzte. Eraso bakar batek erregistroak osasun historia elektronikoaren sistema oso batetik aldi berean atera ditzake.
Baimenik gabeko sarbidea eta zabalkundea urraketen %18 eragin zuen. Sarbide-kontrol txarrak, barneko erabilera okerreko eta hartzaile okerre-errore guztiak hemen sartzen dira.
Hirugarrenen gertakariek 2024ko urraketen %35 osatu zuten. Hutsegitea negozio-laguntzaile batean hasi zen, ez entitate estaltuan. Change Healthcare-k (UnitedHealth Group unitate bat) bakarrik 190 milioi pazienteen erregistro baino gehiago agerian utzi zituen. Hori AEBetako osasun-datuen urraketarik handiena da erregistroan.
Euskarri eramangarrien lapurreta edo galtzea urraketen %8 eragin zuen. Ordenagailu eramangarriak, USB unitateak eta paperezko erregistroak enkriptaziorik gabe galdu edo lapurtuta.
Safe Harbor Metodoko 18 PHI Mota
HIPAAren Safe Harbor metodoak (45 CFR SS 164.514(b)) pazienteen datuen 18 mota guztiak kentzea eskatzen du. Talde gehienek zerrenda ezagutzen dute. Zati zaila detekzioa eskalan egitea da.
-
Izenak - pazienteak, familia-kideak, enplegatzaileak
-
Datu geografikoak - estatu baino txikiagoa den edozein eremu
-
Datak - sarrera, irteera, jaiotza, heriotza (urtea gera daiteke)
-
Telefono-zenbakiak
-
Fax-zenbakiak
-
Helbide elektronikoak
-
Gizarte segurantza zenbakiak
-
Osasun historia zenbakiak (formatua OSE sistemaren arabera aldatzen da)
-
Osasun planeko kide-zenbakiak
-
Kontu-zenbakiak
-
Ziurtagiri eta lizentzia-zenbakiak - mediku, DEA, estatuko
-
Ibilgailu IDak - VINak eta matrikula-zenbakiak
-
Gailu IDak - serie-zenbakiak eta kode bakarrak
-
Web URLak
-
IP helbideak
-
Datu biometrikoak - hatz-markak eta ahots-inprimatuak
-
Aurpegi osoko argazkiak eta antzeko irudiak
-
Edozein beste ID, kode edo ezaugarri bakar
-
mota harrapatzeko zailenak da. Erregistro bat paziente zehatz batekin lotzen duen edozein kode kendu behar da, eredu finkorik ez badu ere.
Klinikako erregistroetatik 18 mota guztiak ezabatzeko urratsez urrats gidarako, ikusi HIPAA Safe Harbor de-identifikazioa osasun ikerketarako.
Segurtasun Eguneratze Proposatuko Bost Arau Berri
HIPAA Segurtasun Arauen eguneratze proposatuak (2025eko martxoa) bost betebehar gehitzen ditu.
Urteko enkriptazio ikuskaritzak. Entitate estaltuen geldiunean dauden pazienteen datu guztiek AES-256 edo baliokidea erabiltzen dutela baieztatu behar dute. Gako-kudeaketak arau idatziak bete behar ditu.
Idatzizko de-identifikazio prozedurak. Ikerketan, AI entrenatzean edo analitikan erabilitako pazienteen datu guztiek urratsak idatzita behar dituzte. Politika-nota ez da nahikoa. Balioztapen frogaz osatutako erregistro teknikoak beharrezkoak dira.
Negozio-laguntzaileen segurtasun egiaztapenak. Negozio-laguntzaileek egiaztapen tekniko zehatzak gainditu behar dituzte martxan jarri aurretik. Kontratuen bidez kudeatzen zen lehen detaile teknikorik gabe.
Faktore anitzeko autentifikazioa (MFA). Pazienteen datu elektronikoetarako sarbidea duten langile guztiek MFA erabili behar dute. Sistema zaharrak ez dira salbuetsi.
Gertakariei erantzuteko probak. Urteko ariketak eta proba teknikoak beharrezkoak dira. Taldeek emaitzen erregistroak gorde behar dituzte.
Change Healthcare-ren Ikasgaiak
Change Healthcare urraketak (2024ko otsaila) arrisku sistemikoa zer den erakutsi zuen. Change Healthcare-k urtean 15.000 milioi transakzio kudeatzen zituen. Hornitzaileak, ordaintzaileak eta farmazia-bulegoak garbiketa-etxe gisa lotzen zituen.
Urraketa urruneko sarbide-kontu batekin hasi zen. Kontu horrek ez zuen MFArik. Erasotzaileak bederatzi egunez sare osoan zehar mugitu ziren. Gero ransomwarea abiarazi zuten.
Ikasgaia argia da. AEBetako osasun-transakzioen heren bat kudeatzen duen negozio-laguntzaile batek ikutzen dituen bazkide guztientzako arriskua da. Esparru zaharrak ez zen eraikia hornitzaileek hainbeste transakzio kudeatzeko.
Proposatutako arauaren MFA, sareen segmentazioa eta negozio-laguntzaileen egiaztapenak gertakari honetara itzultzen dira.
Ospitale-espezifikoko erregistro formatuetan PHI kentzeko, ikusi HIPAA MRN detekzioa eta ospitale-espezifikoko ereduak. Pazienteen datuak sarean mantentzeko zero-knowledge diseinurako, ikusi HIPAArekin bateragarria den cloud PHI eta zero-knowledge diseinua.