HHS:n kansalaisoikeusvirasto (OCR) raportoi 725 terveydenhuollon tietomurtoa vuonna 2024, jotka vaikuttivat 275 miljoonaan potilastietueeseen — korkein määrä, joka on koskaan kirjattu yhdelle vuodelle. Terveydenhuollon tietomurron keskimääräiset kustannukset nousivat 10,22 miljoonaan dollariin vuonna 2025 (IBM:n tietomurron kustannusraportti), ja siihen vaikuttivat HIPAA:n siviilivalvontarangaistukset, oikeudenkäyntikulut, potilastiedot, luottotietojen seuranta ja mainevahingot.
Yhdysvaltojen terveydenhuollon katetut toimijat ja liiketoimintakumppanit kohtaavat vuonna 2025 käänteentekevän vaatimustenmukaisuusvuoden: ehdotettu HIPAA:n tietoturvasäännön päivitys (maaliskuu 2025) luo merkittävimmät HIPAA:n tekniset vaatimukset sitten alkuperäisen tietoturvasäännön viimeistelyn vuonna 2003.
725 tietomurtoa: Mitä tapahtui vuonna 2024
OCR:n tietomurtoportaalin tiedot paljastavat epäonnistumisten kategoriat, jotka johtivat vuoden 2024 ennätykselliseen tietomurron määrään:
Hakkerointi/IT-tapaukset: 74 % ilmoitetuista tietomurroista — hallitseva kategoria. Verkkopalvelimien vaarantaminen, kiristysohjelmat ja liiketoimintasähköpostin vaarantaminen muodostavat suurimman osan. Muutos on rakenteellinen: hyökkääjät ovat siirtyneet yksittäisten työasemien kohdistamisesta verkon tasolla tapahtuviksi hyökkäyksiksi, jotka vaarantavat koko EHR-järjestelmät ja keräävät miljoonia tietueita samanaikaisesti.
Valtuuttamaton pääsy/ilmoittaminen: 18 % tietomurroista. Sisältää sisäiset uhkat, väärin konfiguroidut pääsynhallintakontrollit, jotka altistavat potilastiedot valtuuttamattomalle henkilöstölle, ja vahingossa tapahtuvan ilmoittamisen väärille vastaanottajille.
Kolmannen osapuolen/liiketoimintakumppanin tapaukset: Yhä merkittävämpi — 35 % vuoden 2024 tietomurroista alkoi liiketoimintakumppaneilta eikä katetuista toimijoilta. Change Healthcare (UnitedHealth Groupin tytäryhtiö) vaikutti yksin yli 190 miljoonaan potilaaseen — suurin Yhdysvaltojen terveysalan tietomurto historiassa.
Kannettavien medioiden varastaminen/häviäminen: 8 % tietomurroista. Kannettavat tietokoneet, USB-muistit ja paperitiedostot varastettiin tai hävisivät ilman salaus suojaa.
18 PHI-tunnistetta: HIPAA:n Safe Harbor -standardi
HIPAA:n Safe Harbor -de-identifiointimenetelmä (45 CFR §164.514(b)) vaatii kaikkien 18 määritellyn PHI-tunnisteen poistamista. Suurin osa katetuista toimijoista ja liiketoimintakumppaneista tuntee luettelon käsitteellisesti, mutta havaitsemishaaste on tekninen:
-
Nimet: Kaikki potilaiden, perheenjäsenten, työnantajien nimet
-
Maantieteelliset tiedot: Kaikki osavaltiota pienemmät jaot (katuosoite, kaupunki, piirikunta, vaalipiiri, postinumero ensimmäiset 3 numeroa, jos <20 000 asukasta)
-
Päivämäärät: Kaikki päivämäärät, jotka liittyvät suoraan potilaaseen (syntymä, sairaalaan pääsy, kotiuttaminen, kuolema) lukuun ottamatta vuotta
-
Puhelinnumerot: Kaikki puhelinnumerot
-
Faksinumerot: Kaikki faksinumerot
-
Sähköpostiosoitteet: Kaikki sähköpostiosoitteet
-
Sosiaaliturvatunnukset: Kaikki SSN:t
-
Potilastietuenumerot: Kaikki MRN-muodot (vaihtelevat EHR-järjestelmän mukaan)
-
Terveydenhuoltosuunnitelman etuuden saajien numerot: Kaikki vakuutuksen jäsen-ID:t
-
Tilinumerot: Kaikki taloudelliset tilinumerot
-
Todistus/lisenssinumerot: Lääkärin lisenssi, DEA-rekisteröinti, osavaltion lisenssinumerot
-
Ajoneuvotunnisteet: VIN:t, rekisterikilven numerot
-
Laitetunnisteet: Sarjanumerot, ainutlaatuiset laitetunnisteet
-
Verkkosivustojen URL-osoitteet: Kaikki verkkosivustojen osoitteet
-
IP-osoitteet: Kaikki IP-osoitteet
-
Biometriset tunnisteet: Sormenjäljet ja äänen jäljet
-
Koko kasvokuvia ja vertailukelpoisia kuvia
-
Mikä tahansa muu ainutlaatuinen tunnistava numero, koodi tai ominaisuus
-
tunniste — "mikä tahansa muu ainutlaatuinen tunnistava numero" — on haastavin havaitsemisvaatimus. Tämä tarkoittaa, että mikä tahansa tietokantakohtainen tunniste, joka voisi yhdistää tietueet takaisin tiettyyn potilaaseen, on havaittava ja poistettava, vaikka se ei vastaisi ennalta määriteltyä kaavaa.
Ehdotettu HIPAA:n tietoturvasäännön päivitys: Mitä muutoksia vuodelle 2025-2026
Ehdotettu HIPAA:n tietoturvasäännön päivitys, joka julkaistiin maaliskuussa 2025, vaatisi:
Vuosittaiset salausauditoinnit: Katettujen toimijoiden on suoritettava vuosittaiset tekniset auditoinnit varmistaakseen, että kaikki PHI on levossa salattu AES-256:lla tai vastaavalla, ja että salausavainten hallinta täyttää asiakirjoitetut standardit.
Dokumentoitu de-identifiointimenettely: Kaikille PHI:lle, jota käytetään tutkimuksessa, laadun parantamisessa, AI-koulutuksessa tai analytiikassa, katettujen toimijoiden on ylläpidettävä asiakirjoitettuja menettelyjä, jotka osoittavat, miten de-identifiointi saavutetaan — ei vain politiikkalausuntoa, vaan teknistä dokumentaatiota, jossa on todisteita validoinnista.
Liiketoimintakumppanin tietoturvavaatimukset: Liiketoimintakumppaneiden on nyt täytettävä erityiset tekniset tietoturvavaatimukset (aiemmin delegoitu liiketoimintakumppanisopimuksille ilman teknistä spesifikaatiota). BA:n tekniset arvioinnit tulevat pakollisiksi ennen onboardingia.
Monivaiheinen todennus: Kaikkien työntekijöiden, joilla on pääsy sähköiseen PHI:hin, on käytettävä MFA:ta. Ei poikkeuksia "perintöjärjestelmille" — ehdotettu sääntö vaatii MFA:ta riippumatta järjestelmän iästä.
Tapahtumavasteen testaus: Vuosittaiset pöytäharjoitukset ja tekninen testaus tapahtumavasteen menettelyistä. Testauksen todisteet on säilytettävä.
Change Healthcare -opetus
Change Healthcare -tietomurto (helmikuu 2024) — joka vaikutti yli 190 miljoonaan amerikkalaiseen — havainnollisti terveydenhuollon keskinäisen infrastruktuurin systeemistä riskiä. Change Healthcare käsitteli vuosittain 15 miljardia terveydenhuollon tapahtumaa clearinghouse-yrityksenä palveluntarjoajien, maksajien ja apteekkien välillä.
Tietomurto alkoi Citrixin etäyhteysvaltuuksilla ilman MFA-suojaa. Kun hyökkääjät pääsivät sisään, he liikkuivat lateraalisesti Change Healthcare:n verkossa 9 päivän ajan ennen kiristysohjelman käyttöönottoa.
Systeeminen oppi: mikä tahansa liiketoimintakumppani, jolla on verkkopääsy terveydenhuollon tapahtumatietoihin, edustaa systeemistä riskiä koko terveydenhuoltoekosysteemille, johon se on yhteydessä. HIPAA:n liiketoimintakumppanikehys ei ollut suunniteltu systeemisille infrastruktuuritoimittajille, joilla on pääsy kolmannekseen kaikista Yhdysvaltojen terveydenhuollon tapahtumista.
Katetuilla toimijoilla ja liiketoimintakumppaneilla: Change Healthcare -tietomurto vaikutti suoraan ehdotettujen HIPAA:n tietoturvasäännön vaatimusten, kuten verkkosegmentoinnin, MFA:n ja liiketoimintakumppanin teknisten arviointien, muotoiluun.
Lähteet: