HIPAA OCR: 725 उल्लंघन, 27.5 करोड़ रिकॉर्ड
2026 के लिए अपडेट किया गया
HHS Office for Civil Rights (OCR) ने 2024 में 725 स्वास्थ्य सेवा डेटा उल्लंघन गिने। उन उल्लंघनों ने 27.5 करोड़ रोगी रिकॉर्ड को प्रभावित किया। यह कुल एक ही वर्ष में दर्ज अब तक का सर्वाधिक है।
स्वास्थ्य सेवा उल्लंघन की औसत लागत 2025 में $10.22 मिलियन तक पहुंच गई। IBM की Cost of a Data Breach Report इस आंकड़े को वहां रखती है। लागत में नागरिक जुर्माना, कानूनी शुल्क, रोगी नोटिस, क्रेडिट निगरानी और खोया हुआ विश्वास शामिल है।
2025 और 2026 कवर किए गए संस्थाओं और उनके व्यावसायिक सहयोगियों के लिए महत्वपूर्ण वर्ष हैं। मार्च 2025 का प्रस्तावित HIPAA सुरक्षा नियम अपडेट 2003 के बाद से सबसे बड़े तकनीकी नियमों का सेट जोड़ेगा।
2024 में 725 उल्लंघनों के कारण
OCR पोर्टल 2024 की विफलताओं को चार प्रकारों में वर्गीकृत करता है।
हैकिंग और IT घटनाओं ने 74% रिपोर्ट किए गए उल्लंघन किए। रैनसमवेयर, सर्वर हमले और ईमेल धोखाधड़ी शीर्ष प्रकार हैं। हमलावर अब पूरे नेटवर्क को लक्षित करते हैं। एक हमला एक बार में पूरे EHR सिस्टम से रिकॉर्ड निकाल सकता है।
अनधिकृत पहुंच और प्रकटीकरण ने 18% उल्लंघन किए। खराब पहुंच नियंत्रण, आंतरिक दुरुपयोग और गलत प्राप्तकर्ता त्रुटियां सभी यहां आती हैं।
तृतीय-पक्ष घटनाओं ने 2024 के 35% उल्लंघन बनाए। विफलता एक व्यावसायिक सहयोगी पर शुरू हुई — कवर किए गए संस्था पर नहीं। Change Healthcare (UnitedHealth Group की एक इकाई) ने अकेले 19 करोड़ से अधिक रोगी रिकॉर्ड उजागर किए। यह रिकॉर्ड पर सबसे बड़ा अमेरिकी स्वास्थ्य डेटा उल्लंघन है।
पोर्टेबल मीडिया की चोरी या हानि ने 8% उल्लंघन किए। एन्क्रिप्शन के बिना खोए या चोरी हुए लैपटॉप, USB ड्राइव और पेपर रिकॉर्ड।
Safe Harbor के अंतर्गत 18 PHI प्रकार
HIPAA की Safe Harbor विधि (45 CFR §164.514(b)) के लिए रोगी डेटा के सभी 18 प्रकारों को हटाना आवश्यक है। अधिकांश टीमें सूची जानती हैं। कठिन हिस्सा बड़े पैमाने पर पहचान है।
- नाम — रोगी, परिवार के सदस्य, नियोक्ता
- भौगोलिक डेटा — किसी राज्य से छोटा कोई भी क्षेत्र
- तारीखें — प्रवेश, छुट्टी, जन्म, मृत्यु (वर्ष रह सकता है)
- फोन नंबर
- फैक्स नंबर
- ईमेल पते
- सामाजिक सुरक्षा नंबर
- मेडिकल रिकॉर्ड नंबर (EHR सिस्टम के अनुसार प्रारूप भिन्न)
- स्वास्थ्य योजना सदस्य नंबर
- खाता नंबर
- प्रमाणपत्र और लाइसेंस नंबर — चिकित्सा, DEA, राज्य
- वाहन ID — VIN और प्लेट नंबर
- डिवाइस ID — सीरियल नंबर और अनन्य डिवाइस कोड
- वेब URL
- IP पते
- बायोमेट्रिक डेटा — फिंगरप्रिंट और आवाज प्रिंट
- पूर्ण-चेहरे की तस्वीरें और समान छवियां
- कोई भी अन्य अनन्य ID, कोड या विशेषता
प्रकार 18 पकड़ना सबसे कठिन है। कोई भी कोड जो किसी रिकॉर्ड को एक विशिष्ट रोगी से जोड़ता है, हटाया जाना चाहिए — बिना किसी निर्धारित पैटर्न के भी।
नैदानिक रिकॉर्ड से सभी 18 प्रकारों को हटाने के चरण-दर-चरण गाइड के लिए, HIPAA Safe Harbor de-identification for healthcare research देखें।
प्रस्तावित सुरक्षा अपडेट में पांच नए नियम
प्रस्तावित HIPAA सुरक्षा नियम अपडेट (मार्च 2025) पांच कर्तव्य जोड़ता है।
वार्षिक एन्क्रिप्शन ऑडिट। कवर किए गए संस्थाओं को पुष्टि करनी होगी कि विश्राम पर सभी रोगी डेटा AES-256 या समकक्ष का उपयोग करता है। कुंजी प्रबंधन को लिखित मानकों को पूरा करना होगा।
लिखित de-identification प्रक्रियाएं। अनुसंधान, AI प्रशिक्षण या विश्लेषण में उपयोग किए गए किसी भी रोगी डेटा के लिए लिखित चरण आवश्यक हैं। एक नीति नोट पर्याप्त नहीं है। सत्यापन के प्रमाण के साथ तकनीकी रिकॉर्ड आवश्यक हैं।
व्यावसायिक सहयोगी सुरक्षा जांच। व्यावसायिक सहयोगियों को लाइव होने से पहले विशिष्ट तकनीकी जांच पास करनी होगी। अनुबंध बिना किसी तकनीकी विवरण के इसे संभालते थे।
बहु-कारक प्रमाणीकरण (MFA)। इलेक्ट्रॉनिक रोगी डेटा तक पहुंच वाले सभी कर्मचारियों को MFA का उपयोग करना होगा। विरासत सिस्टम छूट नहीं हैं।
घटना प्रतिक्रिया परीक्षण। वार्षिक अभ्यास और तकनीकी परीक्षण आवश्यक हैं। टीमों को परिणामों के रिकॉर्ड रखने होंगे।
Change Healthcare से सबक
Change Healthcare उल्लंघन (फरवरी 2024) ने दिखाया कि प्रणालीगत जोखिम कैसा दिखता है। Change Healthcare प्रति वर्ष 1,500 करोड़ लेनदेन संभालता था। यह एक clearinghouse के रूप में प्रदाताओं, भुगतानकर्ताओं और फार्मेसियों को जोड़ता था।
उल्लंघन एक रिमोट एक्सेस अकाउंट से शुरू हुआ। उस अकाउंट में MFA नहीं था। हमलावर नौ दिनों तक नेटवर्क में घूमते रहे। फिर उन्होंने रैनसमवेयर लॉन्च किया।
सबक स्पष्ट है। स्वास्थ्य लेनदेन तक व्यापक पहुंच वाला व्यावसायिक सहयोगी उन सभी भागीदारों के लिए जोखिम है जिन्हें वह छूता है। पुराना ढांचा सभी अमेरिकी स्वास्थ्य लेनदेन के एक तिहाई को संभालने वाले प्रदाताओं के लिए नहीं बना था।
प्रस्तावित नियम का MFA, नेटवर्क विभाजन और व्यावसायिक सहयोगी जांच सभी इस घटना से जुड़े हैं।
अस्पताल-विशिष्ट रिकॉर्ड प्रारूपों से PHI हटाने के लिए, HIPAA MRN detection and hospital-specific patterns देखें। रोगी डेटा को नेटवर्क से दूर रखने वाले zero-knowledge डिजाइन के लिए, HIPAA-compliant cloud PHI and zero-knowledge design देखें।