HIPAA OCR: 725 Tietomurtoa, 275 Miljoonaa Tietuetta
Päivitetty vuodelle 2026
HHS:n Office for Civil Rights (OCR) kirjasi 725 terveydenhuollon tietomurtoa vuonna 2024. Nämä murrot koskivat 275 miljoonaa potilastietuetta. Tämä kokonaismäärä on korkein koskaan yksittäisenä vuotena kirjattu.
Keskimääräinen kustannus per terveydenhuollon tietomurto nousi 10,22 miljoonaan dollariin vuonna 2025. IBM:n Cost of a Data Breach -raportti esittää tämän luvun. Kustannukset kattavat siviilisakot, oikeuskulut, potilasilmoitukset, luotonvalvonnan ja menetetyn luottamuksen.
Vuodet 2025 ja 2026 ovat keskeisiä vuosia katettujen yksiköiden ja niiden liikekumppaneiden kannalta. Maaliskuussa 2025 esitetty HIPAA-turvallisuussäännön päivitysehdotus lisäisi suurimman joukon teknisiä sääntöjä sitten vuoden 2003.
Mikä Aiheutti 725 Tietomurtoa Vuonna 2024
OCR:n portaali ryhmittelee vuoden 2024 epäonnistumiset neljään tyyppiin.
Hakkerointi ja tietotekniikkahäiriöt aiheuttivat 74 % raportoiduista murroista. Kiristysohjelmat, palvelinhyökkäykset ja sähköpostihuijaukset ovat yleisimmät tyypit. Hyökkääjät tähtäävät nyt kokonaisiin verkkoihin. Yksi hyökkäys voi vetää tietueita koko potilastietojärjestelmästä kerralla.
Luvaton pääsy ja tietojen paljastaminen aiheutti 18 % murroista. Huonot käyttöoikeuskontrollit, sisäinen väärinkäyttö ja väärälle vastaanottajalle lähettäminen kuuluvat kaikki tähän kategoriaan.
Kolmansien osapuolten tapahtumat muodostivat 35 % vuoden 2024 murroista. Vika alkoi liikekumppanista — ei katetusta yksiköstä. Change Healthcare (UnitedHealth Groupin yksikkö) yksin paljasti yli 190 miljoonaa potilastietuetta. Se on Yhdysvaltojen suurin terveystietojen tietomurto koskaan.
Kannettavan median varkaus tai häviäminen aiheutti 8 % murroista. Kannettavat tietokoneet, USB-laitteet ja paperiasiakirjat, jotka katosivat tai varastettiin ilman salausta.
18 PHI-Tyyppiä Safe Harbor -menetelmässä
HIPAA:n Safe Harbor -menetelmä (45 CFR §164.514(b)) vaatii kaikkien 18 potilastiedon tyypin poistamista. Useimmat tiimit tuntevat listan. Vaikea osa on havaitseminen laajassa mittakaavassa.
- Nimet — potilaat, perheenjäsenet, työnantajat
- Maantieteelliset tiedot — mikä tahansa alue pienempi kuin osavaltio
- Päivämäärät — sisäänotto, uloskirjautuminen, syntymä, kuolema (vuosi voi jäädä)
- Puhelinnumerot
- Faksinumerot
- Sähköpostiosoitteet
- Sosiaaliturvatunnukset
- Potilasrekisterinumerot (muoto vaihtelee potilastietojärjestelmän mukaan)
- Terveyssuunnitelman jäsennumerot
- Tilinumerot
- Todistus- ja lisenssitunnukset — lääketieteelliset, DEA, osavaltio
- Ajoneuvotunnukset — VIN-numerot ja rekisterikilvet
- Laitetunnukset — sarjanumerot ja yksilölliset laitekoodit
- Verkko-osoitteet
- IP-osoitteet
- Biometriset tiedot — sormenjäljet ja äänimerkit
- Kasvokuvat ja vastaavat kuvat
- Mikä tahansa muu yksilöllinen tunnus, koodi tai piirre
Tyyppi 18 on vaikein havaita. Kaikki koodit, jotka yhdistävät tietueen tiettyyn potilaaseen, on poistettava — vaikka niillä ei olisi vakiomuotoa.
Vaiheittaisesta oppaasta kaikkien 18 tyypin poistamiseksi kliinisistä tietueista, katso HIPAA Safe Harbor -tunnistaminen terveydenhuollon tutkimuksessa.
Viisi Uutta Sääntöä Ehdotetussa Tietoturvapäivityksessä
Ehdotettu HIPAA-turvallisuussäännön päivitys (maaliskuu 2025) lisää viisi velvollisuutta.
Vuosittaiset salausauditoinnit. Katettujen yksiköiden on vahvistettava, että kaikki lepotilassa olevat potilastiedot käyttävät AES-256-salausta tai vastaavaa. Avainhallinnan on täytettävä kirjalliset standardit.
Kirjalliset tunnistamismenetttelyt. Kaikki tutkimuksessa, tekoälykoulutuksessa tai analytiikassa käytetyt potilastiedot vaativat kirjalliset vaiheet. Käytäntömuistio ei riitä. Vaaditaan tekniset tietueet validoinnin todisteella.
Liikekumppaneiden tietoturkatarkistukset. Liikekumppanien on läpäistävä erityiset tekniset tarkistukset ennen käyttöönottoa. Aiemmin sopimukset hoitivat tämän ilman teknisiä yksityiskohtia.
Monivaiheinen todennus (MFA). Kaiken potilastietoihin pääsyn omaavan henkilöstön on käytettävä MFA:ta. Vanhat järjestelmät eivät ole vapautettuja.
Häiriövastaustestaus. Vuosittaiset harjoitukset ja tekniset testit ovat pakollisia. Tiimien on säilytettävä tulosten tietueet.
Opetukset Change Healthcare -tapauksesta
Change Healthcare -tietomurto (helmikuu 2024) osoitti, miltä systeeminen riski näyttää. Change Healthcare käsitteli 15 miljardia tapahtumaa vuodessa. Se yhdisti palveluntarjoajat, maksajat ja apteekit selvityskeskuksena.
Murto alkoi yhdestä etäkäyttötililtä. Kyseisellä tilillä ei ollut MFA:ta. Hyökkääjät liikkuivat verkossa yhdeksän päivää. Sitten he käynnistivät kiristysohjelman.
Opetus on selvä. Liikekumppani, jolla on laaja pääsy terveystransaktioihin, on riski jokaiselle sen yhteistyökumppanille. Vanha kehys ei ollut rakennettu palveluntarjoajille, jotka käsittelevät kolmannesta kaikista Yhdysvaltojen terveystransaktioista.
Ehdotetun säännön MFA, verkkosegmentointi ja liikekumppanien tarkistukset liittyvät kaikki tähän tapahtumaan.
PHI:n poistamiseksi sairaalakohtaisista tietuemuodoista, katso HIPAA MRN -havaitseminen ja sairaalakohtaiset mallit. Nollatietoa-suunnittelusta, joka pitää potilastiedot verkon ulkopuolella, katso HIPAA-yhteensopiva pilvi-PHI ja nollatietoa-suunnittelu.