HIPAA OCR: 725 הפרות, 275 מיליון רשומות
עודכן לשנת 2026
משרד האזרחים לזכויות (OCR) של HHS מנה 725 הפרות נתוני בריאות ב-2024. הפרות אלו פגעו ב-275 מיליון רשומות מטופלים. סכום זה הוא הגבוה ביותר שנרשם אי פעם בשנה אחת.
העלות הממוצעת להפרת בריאות הגיעה ל-$10.22 מיליון ב-2025. דוח IBM לעלות הפרת נתונים מציב את המספר שם. העלות כוללת קנסות אזרחיים, שכר טרחת עורכי דין, הודעות לחולים, ניטור אשראי ואובדן אמון.
2025 ו-2026 הן שנים מפתח עבור גופים מכוסים ושותפי עסקים שלהם. עדכון מוצע לכלל האבטחה של HIPAA ממרץ 2025 יוסיף את הסדרה הגדולה ביותר של כללים טכניים מאז 2003.
מה גרם ל-725 הפרות ב-2024
פורטל ה-OCR מקטלג כשלי 2024 לארבעה סוגים.
פריצות ותקריות IT גרמו ל-74% מההפרות המדווחות. תוכנות כופר, מתקפות שרתים והונאת דוא"ל הם הסוגים המובילים. תוקפים כעת מכוונים לרשתות שלמות. מתקפה אחת יכולה למשוך רשומות מכל מערכת EHR בבת אחת.
גישה בלתי מורשית וחשיפה גרמו ל-18% מההפרות. בקרת גישה לקויה, שימוש לרעה על ידי פנימיים ושגיאות שליחה לנמענים שגויים — כולם נכללים כאן.
תקריות צד שלישי היוו 35% מהפרות 2024. הכשל התחיל אצל שותף עסקי — לא אצל הגוף המכוסה. Change Healthcare (יחידה של UnitedHealth Group) לבדה חשפה מעל 190 מיליון רשומות מטופלים. זוהי ההפרה הגדולה ביותר של נתוני בריאות בארה"ב שנרשמה.
גניבה או אובדן של מדיה ניידת גרמו ל-8% מההפרות. מחשבים ניידים, כוננים USB ורשומות נייר שנאבדו או נגנבו ללא הצפנה.
18 סוגי PHI תחת Safe Harbor
שיטת Safe Harbor של HIPAA (45 CFR §164.514(b)) דורשת הסרה של 18 סוגי נתוני מטופלים. רוב הצוותים מכירים את הרשימה. הקושי הוא בזיהוי בקנה מידה.
- שמות — מטופלים, בני משפחה, מעסיקים
- נתונים גיאוגרפיים — כל אזור קטן ממדינה
- תאריכים — קבלה, שחרור, לידה, פטירה (שנה עשויה להישאר)
- מספרי טלפון
- מספרי פקס
- כתובות דוא"ל
- מספרי ביטוח לאומי
- מספרי רשומות רפואיות (הפורמט משתנה לפי מערכת EHR)
- מספרי חברות בתוכניות בריאות
- מספרי חשבון
- מספרי תעודה ורישיון — רפואי, DEA, מדינתי
- מזהי רכב — מספרי VIN ולוחיות רישוי
- מזהי מכשיר — מספרי סידורי וקודי מכשיר ייחודיים
- כתובות URL
- כתובות IP
- נתונים ביומטריים — טביעות אצבע ומדפסות קול
- תצלומי פנים מלאים ותמונות דומות
- כל מזהה, קוד או מאפיין ייחודי אחר
סוג 18 הוא הקשה ביותר ללכידה. כל קוד שמחבר רשומה למטופל ספציפי חייב להיעלם — גם ללא תבנית קבועה.
למדריך שלב אחר שלב לניקוי כל 18 הסוגים מרשומות קליניות, ראו HIPAA Safe Harbor לביטול זיהוי למחקר בבריאות.
חמישה כללים חדשים בעדכון האבטחה המוצע
עדכון כלל האבטחה המוצע של HIPAA (מרץ 2025) מוסיף חמש חובות.
ביקורות הצפנה שנתיות. גופים מכוסים חייבים לאשר שכל נתוני מטופלים במנוחה משתמשים ב-AES-256 או שווה. ניהול מפתחות חייב לעמוד בסטנדרטים כתובים.
נהלי ביטול זיהוי כתובים. כל נתוני מטופלים המשמשים למחקר, אימון AI או אנליטיקה דורשים שלבים כתובים. הערה מדיניות אינה מספיקה. נדרשים רשומות טכניות עם הוכחת אימות.
בדיקות אבטחה לשותפי עסקים. שותפי עסקים חייבים לעבור בדיקות טכניות ספציפיות לפני הפעלה. חוזים נהגו לטפל בכך ללא פירוט טכני.
אימות רב-גורמי (MFA). כל הצוות עם גישה לנתוני מטופל אלקטרוניים חייב להשתמש ב-MFA. מערכות מורשת אינן פטורות.
בדיקת תגובה לאירועים. נדרשות תרגילים ובדיקות טכניות שנתיות. צוותים חייבים לשמור רישומים של התוצאות.
לקחים מ-Change Healthcare
הפרת Change Healthcare (פברואר 2024) הדגימה כיצד נראה סיכון מערכתי. Change Healthcare טיפלה ב-15 מיליארד עסקאות בשנה. היא חיברה ספקים, משלמים ובתי מרקחת כסליקה.
ההפרה התחילה עם חשבון גישה מרוחקת אחד. לחשבון זה לא היה MFA. התוקפים נעו ברחבי הרשת במשך תשעה ימים. לאחר מכן הפעילו תוכנת כופר.
הלקח ברור. שותף עסקי עם גישה רחבה לעסקאות בריאות מהווה סיכון לכל שותף שהוא נוגע בו. המסגרת הישנה לא נבנתה עבור ספקים המטפלים בשליש מכל עסקאות הבריאות האמריקאיות.
ה-MFA, פילוח הרשת ובדיקות שותפי העסקים של הכלל המוצע — כולם מקורם באירוע זה.
להסרת PHI מפורמטי רשומות ספציפיים לבית חולים, ראו זיהוי HIPAA MRN ותבניות ספציפיות לבית חולים. לעיצוב אפס-ידע ששומר נתוני מטופלים מחוץ לרשת, ראו PHI ענן תואם HIPAA ועיצוב אפס-ידע.