בעיית פרצות הנתונים בתחום הבריאות
עודכן ל-2026: 725 פרצות נתונים בתחום הבריאות ב-2024 חשפו 275 מיליון רשומות (HHS OCR). המספר הזה עולה על כלל אוכלוסיית ארצות הברית.
העלות גבוהה. פרצה בתחום הבריאות עולה בממוצע 10.22 מיליון דולר. זו העלות הגבוהה ביותר מכל תעשייה – חמש עשרה שנים רצופות (IBM Cost of Data Breach 2025). מחצית מכלל הפרצות בתחום הבריאות מתחילות אצל ספק או שותף עסקי (HHS OCR 2024). האיום אינו פנימי בלבד.
המספרים האלה שינו את התנהגות מנהלי בתי החולים. במערכות בריאות גדולות, מנהל אבטחת המידע (CISO) לא יאשר כלים בענן לעבודה עם PHI. הסיכון גבוה מדי.
זה יוצר קונפליקט אמיתי עבור צוותים קליניים. הם צריכים להסיר נתוני מטופלים מהערות. העבודה נחוצה למחקר, לדוחות איכות ולמערכי נתונים לאימון. הם צריכים כלים שעובדים היטב בקנה מידה גדול. הכלים בענן חסומים. והפער גדל.
מדוע כלי PHI בענן נחסמים
HHS Civil Rights הגבירה את האכיפה. עדכון 2024 לכלל האבטחה של HIPAA היה השינוי המשמעותי הראשון מאז 2013. הוא הוסיף דרישות חדשות וברורות:
- הצפנה בהעברה ובמנוחה לכל ה-PHI האלקטרוני
- הסכמי שותף עסקי (BAA) עם כל ספק צד שלישי
- רשומות ניתוח סיכונים לכל בחירת ספק
- תוכניות תגובה לאירועים
כשבית חולים בוחן כלי הסרת זיהוי בענן, צוות האבטחה חייב להראות שלושה דברים. אחד: הספק אינו יכול לראות את ה-PHI. שניים: ה-BAA מתאים לשימוש המדויק. שלושה: פרצה אצל הספק לא תחשוף רשומות מטופלים.
מחצית מפרצות הבריאות כבר מתחילות אצל ספקים. לכן צוותי סיכונים לרוב אינם יכולים לאשר כלי PHI בענן. זה נכון בלי קשר לחוזק הטענות האבטחתיות של הספק.
גם עם BAA חתום, עמדת ה-CISO היא לרוב זהה: BAA מחלק אשמה אחרי פרצה. הוא אינו מונע אותה. אין לנו צורך בעוד ספקים בשרשרת. סקירת האבטחה שלנו מסבירה כיצד עיבוד מקומי חותך את השרשרת הזו.
בעיית הדיוק
החסימה של הענן הייתה חשובה פחות אילו כלים פשוטים יותר היו יכולים לבצע את העבודה. מחקרים מראים שהם לא יכולים.
מחקר מ-2025 מצא שכלי LLM כלליים מחמיצים יותר ממחצית ה-PHI הקליני בהערות טקסט חופשי (arXiv:2509.14464). HIPAA Safe Harbor דורש הסרה של 18 סוגי מזהים. הערות קליניות מסתירות את המזהים האלה בראשי תיבות, במונחים מקומיים ובמילים משפות אחרות.
כלים רגילים מחמיצים מקרים כמו אלה:
- "Pt. J.D., DOB 4/12/67" – שם מקוצר ופורמט תאריך
- "Dx: HCC f/u, appt at UCSF MC" – שם בית חולים בתוך קיצור קליני
- "Seen by Dr. Smith in ED #3, Room 12B" – שם נותן שירות עם מספר חדר
- פורמטים של MRN (7-8 ספרות, משתנים בין אתרים) המתערבבים עם מספרים אחרים
מערך נתונים מחקרי שנבנה על הערות עם שיעור החמצה של 50%+ אינו עומד בכללי HIPAA. הוא יוצר בעיות מול IRB. הוא מסכן בפעולת אכיפה אם הפער ייחשף לאחר פרסום מאמר. דף הציות שלנו מכסה גם את תקן Safe Harbor וגם את Expert Determination.
פער הכלים
צוותי אינפורמטיקה קלינית ניצבים מול פער אמיתי. לכל אפשרות יש מגבלה חמורה.
שירותי ענן מסחריים עובדים היטב. אבל הם דורשים שליחת נתוני בריאות מוגנים לספק חיצוני. רוב מערכות בתי החולים הגדולות חוסמות זאת.
כלים בקוד פתוח (כגון Presidio ו-MIST) רצים באתר. אבל הם דורשים הגדרה כבדה ותחזוקה שוטפת. לעיתים קרובות הם נופלים מדיוק HIPAA ללא עבודה מותאמת נוספת. ראו את המילון שלנו להגדרות בשפה פשוטה של מונחי מפתח.
הסרת זיהוי ידנית בשיטת Expert Determination דורשת סטטיסטיקאי מוסמך. הסטטיסטיקאי חייב להראות שסיכון הזיהוי מחדש קטן מאוד. זה מתאים לקבוצות קטנות של רשומות. זה לא מתאים ל-50,000+ רשומות.
שיטות היברידיות משלבות כלים אוטומטיים עם סקירה ידנית של פריטים מסומנים. זה עוזר בנפח. אבל זה לא פותר את בעיית הדיוק בחלק האוטומטי.
הצורך ברור. צוותים קליניים צריכים דיוק ברמת הענן – NLP, regex ומודלי טרנספורמר – בעוד שהמסמכים עצמם נשארים על חומרה מקומית. בהתאם לכללי הרשת, הדבר משמעותו או כלי מובנה ללא כל קריאה חיצונית (anonym.plus), או כלי שקורא קבצים במחשב המקומי בעוד הזיהוי רץ על API אחד של ספק, מתארח באיחוד האירופי ונמצא ברשימת היתרים (אפליקציית שולחן העבודה של anonym.legal, להלן).
התגובה הרגולטורית של 2024
725 פרצות ב-2024 הביאו לתגובה רגולטורית חזקה.
HHS Civil Rights הוציאה יותר מ-120 פעולות אכיפה של HIPAA באותה שנה. הקנסות הגיעו לרמות שיא. העדכון המוצע לכלל האבטחה של HIPAA ממרץ 2025 מוסיף דרישות חדשות:
- ביקורות הצפנה שנתיות
- כניסה רב-גורמית לכל המערכות המטפלות ב-PHI אלקטרוני
- חובות גילוי בנושא סייבר
- כללי פיקוח מחמירים יותר על ספקים
עבור גופים מכוסים, עלויות הציות ממשיכות לעלות. הקנסות עולים. וכך גם העבודה להוכחת ציות באמצעות רשומות. שאלות נפוצות שלנו מכסות שאלות נפוצות על הכללים האלה.
HIPAA קובעת תקנים ברורים להסרת זיהוי. Safe Harbor מסיר את כל 18 סוגי המזהים. Expert Determination דורש הוכחה לסיכון נמוך לזיהוי מחדש. כלי שמחמיץ יותר ממחצית ה-PHI לא עומד באף אחד מהתקנים.
מה נדרש מהסרת זיהוי מקומית
כלי מקומי חייב להשתוות לאיכות הזיהוי של שירותי ענן. לשם כך נדרשות ארבע שכבות.
שכבה 1 – regex עם תבניות קליניות. מזהים מובנים – MRN, SSN, NPI, מספרי DEA – מתאימים היטב ל-regex. ספרייה קלינית טובה מכסה את פורמטי ה-MRN בשימוש במערכות בריאות שונות. הם משתנים מאוד מאתר לאתר.
שכבה 2 – זיהוי ישויות בשם. הערות קליניות מסתירות PHI בטקסט רגיל. שמות רופאים מופיעים במשפטים סיפוריים. שמות מטופלים מופיעים בפורמטים רבים. מיקומים עולים בהיסטוריה הרפואית. מודלי NLP שאומנו על טקסט קליני יכולים למצוא את כל אלה.
שכבה 3 – שפות מרובות. מערכת הבריאות בארצות הברית משרתת מטופלים הדוברים שפות רבות. PHI יכול להופיע בשפת האם של המטופל בתוך הערה מתורגמת. ספרדית, סינית, ערבית, וייטנאמית וטגלוג כולן מופיעות ברשומות מטופלים אמריקאיות. הזיהוי חייב לכסות את כולן.
שכבה 4 – ניקוד הקשר. מספר בן שבע ספרות הוא MRN בהערה אחת ומינון תרופה באחרת. ניקוד הקשר מפחית תוצאות חיוביות שגויות. זה אומר פחות סימוני סקירה ותוצאות ביקורת נקיות יותר.
עיבוד אצווה בקנה מידה גדול
מערכי נתונים מחקריים הם גדולים. פרויקט בן חמש שנים במרכז רפואי אקדמי אחד עשוי להכיל 500,000 הערות טקסט חופשי. כדי להתמודד עם נפח כזה, הכלי צריך:
- הרצות מקבילות על מסמכים רבים בו-זמנית
- תמיכה ב-DOCX, PDF, טקסט רגיל וייצוא EHR
- מעקב התקדמות ויומני שגיאות לפריטים שנכשלו
- מסלול ביקורת המראה מה עובד ומתי
- פלט ZIP להעברה קלה לשותפי מחקר
סקירה ידנית אינה מתרחבת ברמה הזו. כלי ענן חסומים. הדרך היחידה קדימה היא עיבוד מקומי מדויק עם תמיכה חזקה באצוות.
זרימת עבודה מהחיים
בית חולים אזורי רוצה מערך נתוני EHR ללא זיהוי למחקר משותף עם שותף אוניברסיטאי. ה-CISO חסם עיבוד ענן של נתוני מטופלים לאחר מספרי הפרצות של 2024.
הנה זרימת העבודה עם כלי שמעדיף עיבוד מקומי:
- ייצוא. מערכת ה-EHR מייצאת 50,000 הערות קליניות כמסמכי DOCX לתיקייה מקומית מאובטחת.
- עיבוד. אפליקציית שולחן העבודה מריצה 10 אצוות של 5,000 מסמכים במהלך הלילה על תחנות עבודה מקומיות.
- סקירה. צוות האינפורמטיקה הקלינית בודק מדגם מול כללי HIPAA Safe Harbor.
- תיעוד. יומן העיבוד מתעד כל פריט שטופל, את שיטת הזיהוי ששימשה וחותמת זמן. זהו מסלול הביקורת עבור IRB.
- העברה. הפלט ללא זיהוי נארז ונשלח לאוניברסיטה בערוץ מאובטח.
ה-CISO מאשר כי אף נתון של מטופל אינו עוזב את רשת בית החולים. ה-IRB מאשר כי השיטה עומדת בכללי התיעוד של Safe Harbor. האוניברסיטה מקבלת נתונים התואמים את הסכם השימוש בנתונים שלה. ראו את מקרי הבוחן שלנו לדוגמאות אמיתיות נוספות.
מתי לגישה הזו יש מגבלות
הסרת זיהוי מקומית ומדויקת של PHI עונה בבת אחת על התנגדות ה-CISO לענן ועל התנגדות הדיוק – אבל הסרת זיהוי היא תהליך הסתברותי, והמחקר עצמו המראה שכלי ענן מחמיצים מחצית מה-PHI הוא אזהרה החלה על כל כלי, כולל זה.
אין גלאי שתופס 100% מה-PHI הקליני. הערות מסתירות מזהים בראשי תיבות, בשגיאות כתיב, בנרטיב טקסט חופשי ובשפות אחרות. צינור מקומי רב-שכבתי תופס הרבה יותר מ-LLM כללי, אך החמצות שיוריות הן בלתי נמנעות. בפרסום מחקרי, סקירת מדגם אנושית מול Safe Harbor היא הבקרה שהופכת את מערך הנתונים לניתן להגנה – היא חלק מהשיטה, לא פורמליות.
עמידה ב-Safe Harbor היא קביעה, לא פלט של כלי. Safe Harbor דורש הסרה של כל 18 סוגי המזהים והיעדר ידיעה ממשית שהשאר יכול לזהות מחדש. כלי מסיר מזהים; אישור שהתקן התקיים – או הזמנת Expert Determination – נשאר באחריות הגוף המכוסה וה-IRB שלכם.
סיכון הזיהוי מחדש שורד הסרת מזהים. אבחנות נדירות, אוכלוסיות קטנות, תאריכים ומזהים מעין-מזהים יכולים לזהות מטופל מחדש גם לאחר הסרת 18 הסוגים. עבור מערכי נתונים בסיכון גבוה, Expert Determination עם ניתוח סיכונים סטטיסטי הוא התקן המתאים, לא Safe Harbor בלבד.
פריסה מקומית מעבירה את נטל התחזוקה אליכם. מודלים לא מקוונים הם תצלום מצב. שמירה על עדכניות של תבניות הזיהוי, מודלי השפה ופורמטי ה-MRN היא כעת משימת הצוות שלכם, וכלי מקומי מיושן עלול לרדת מתחת לדיוק שאימתתם בהתקנה. בצעו אימות מחדש מעת לעת במקום להניח שהביצועים של היום הראשון נשמרים.
אפליקציית שולחן העבודה של anonym.legal מספקת הסרת זיהוי PHI באיכות ענן. היא משתמשת בזיהוי תלת-שכבתי: Presidio NLP, regex וטרנספורמרים של XLM-RoBERTa. היא מותקנת ורצה מקומית, אך הזיהוי עצמו רץ על השרתים של anonym.legal – האפליקציה אינה כוללת מודלי זיהוי ודורשת חיבור לאינטרנט; רשימת ההיתרים שלה מצמצמת את החיבור ל-anonym.legal בלבד. כל 18 מזהי HIPAA Safe Harbor נתמכים. ריצות אצווה מטפלות ב-1–5,000 מסמכים בכל פעם.
מקורות
- HHS OCR Healthcare Breach Statistics 2024 — VERIFIED-EXTERNAL
- IBM Cost of a Data Breach Report 2025 — VERIFIED-EXTERNAL
- arXiv:2509.14464 — LLM De-Identification Survey (2025) — VERIFIED-EXTERNAL
- DeepStrike: Healthcare Data Breaches 2025 Statistics — VERIFIED-EXTERNAL
- IntuitionLabs: Open-Source PHI De-Identification Tools — VERIFIED-EXTERNAL