HIPAA OCR: 725 adatvédelmi incidens, 275 millió rekord
Frissítve 2026-ra
A HHS Polgári Jogok Hivatala (OCR) 2024-ben 725 egészségügyi adatvédelmi incidenst rögzített. Ezek az incidensek 275 millió páciens adatát érintették. Ez az egyetlen évben valaha rögzített legmagasabb szám.
Az egészségügyi adatvédelmi incidensek átlagos költsége 2025-re 10,22 millió dollárra emelkedett az IBM Adatvédelmi Incidens Költségjelentése szerint. A költség magában foglalja a polgári bírságokat, jogi díjakat, páciensértesítési költségeket, hitelfigyelési kiadásokat és a bizalomvesztést.
2025 és 2026 kulcsfontosságú évek a fedezett szervezetek és üzleti partnereik számára. A 2025 márciusában javasolt HIPAA biztonsági szabály-frissítés a 2003 óta eltelt időszak legtöbb technikai követelményét adná hozzá a jogszabályhoz.
Mi okozta a 725 incidenst 2024-ben
Az OCR portálja a 2024-es hibákat négy típusba sorolja.
Hackelési és informatikai incidensek okozták a bejelentett incidensek 74%-át. A zsarolóvírusok, szerveres támadások és e-mail-alapú csalás a leggyakoribb típusok. A támadók ma már egész hálózatokat vesznek célba. Egy támadás egyszerre kihúzhatja az összes rekordot egy teljes elektronikus egészségügyi nyilvántartó rendszerből.
Jogosulatlan hozzáférés és nyilvánosságra hozatal okozta az incidensek 18%-át. Ide tartoznak a rossz hozzáférési kontrollok, belső visszaélések és a tévesen megcímzett dokumentumok.
Harmadik feles incidensek tették ki a 2024-es incidensek 35%-át. A hiba egy üzleti partnernél keletkezett, nem a fedezett szervezetnél. A Change Healthcare (a UnitedHealth Group egysége) egyedül több mint 190 millió páciens adatát tette ki. Ez az USA-ban valaha rögzített legnagyobb egészségügyi adatvédelmi incidens.
Hordozható adathordozók ellopása vagy elvesztése okozta az incidensek 8%-át. Titkosítás nélkül elveszett vagy ellopott laptopok, USB-meghajtók és papíralapú nyilvántartások.
A 18 PHI-típus a Safe Harbor módszer szerint
A HIPAA Safe Harbor módszere (45 CFR §164.514(b)) a páciensadatok mind a 18 típusának eltávolítását követeli meg. A legtöbb csapat ismeri a listát. A nehézség a nagy léptékű észlelés.
- Nevek – páciensek, családtagok, munkáltatók
- Földrajzi adatok – bármely egy államnál kisebb terület
- Dátumok – felvétel, elbocsátás, születés, halál (az év megtartható)
- Telefonszámok
- Faxszámok
- E-mail-címek
- Társadalombiztosítási számok
- Orvosi nyilvántartási számok (formátuma EHR-rendszerenként változik)
- Egészségügyi terv tagsági számai
- Számlaszámok
- Igazolvány- és engedélyszámok – orvosi, DEA, állami
- Jármű-azonosítók – alvázszámok és rendszámok
- Eszközazonosítók – sorozatszámok és egyedi eszközkódok
- Webcímek
- IP-címek
- Biometrikus adatok – ujjlenyomatok és hangminták
- Teljes arclenyomatok és hasonló képek
- Bármely egyéb egyedi azonosító, kód vagy jellemző
A 18. típus a legnehezebb észlelni. Minden kódot, amely egy rekordot egy adott pácienshez köt, el kell távolítani – még rögzített minta nélkül is.
A mind a 18 típus klinikai nyilvántartásokból való eltávolításának lépésről lépésre bemutatott útmutatójáért lásd: HIPAA Safe Harbor de-azonosítás egészségügyi kutatáshoz.
A javasolt biztonsági frissítés öt új szabálya
A 2025 márciusában javasolt HIPAA Biztonsági Szabály-frissítés öt kötelezettséget vezet be.
Éves titkosítási auditok. A fedezett szervezeteknek meg kell erősíteniük, hogy az összes nyugalmi állapotban lévő páciensadat AES-256 vagy azzal egyenértékű titkosítást használ. A kulcskezelésnek írott szabványoknak kell megfelelnie.
Írásos de-azonosítási eljárások. Minden olyan páciensadat, amelyet kutatásban, mesterséges intelligencia betanításában vagy elemzésben használnak, írásos lépéseket igényel. Egy irányelvfeljegyzés nem elegendő. Érvényesítési bizonyítékokkal alátámasztott technikai dokumentáció szükséges.
Üzleti partner biztonsági ellenőrzések. Az üzleti partnereknek meghatározott technikai ellenőrzéseken kell átesniük, mielőtt élesbe állnak. Eddig a szerződések technikai részletek nélkül intézték el ezt.
Többfaktoros hitelesítés (MFA). Az elektronikus páciensadatokhoz hozzáféréssel rendelkező összes dolgozónak MFA-t kell használnia. Az örökölt rendszerek sem mentesülnek ez alól.
Incidenskezelési tesztelés. Éves szimulációk és technikai tesztek szükségesek. A csapatoknak nyilvántartást kell vezetniük az eredményekről.
Tanulságok a Change Healthcare esetéből
A Change Healthcare-incidens (2024. február) megmutatta, milyen a rendszerszintű kockázat. A Change Healthcare évente 15 milliárd tranzakciót kezelt. Elszámolóházként kötötte össze a szolgáltatókat, biztosítókat és gyógyszerészeket.
Az incidens egyetlen távelérési fiókkal kezdődött, amelynek nem volt MFA-védelme. A támadók kilenc napon keresztül mozogtak a hálózaton, majd zsarolóvírust indítottak.
A tanulság egyértelmű: egy széles körű egészségügyi tranzakció-hozzáféréssel rendelkező üzleti partner kockázatot jelent minden üzleti partnerére nézve. A régi keretrendszer nem volt felkészítve egy olyan szolgáltató kezelésére, amely az összes amerikai egészségügyi tranzakció egyharmadát dolgozza fel.
A javasolt szabály MFA-, hálózatszegmentációs és üzleti partneres ellenőrzési követelményei mind ebből az esetből erednek.
A kórházspecifikus nyilvántartásformátumokból való PHI-eltávolításhoz lásd: HIPAA MRN-észlelés és kórházspecifikus minták. A páciensadatokat hálózaton kívül tartó nullaismeret-alapú tervekről lásd: HIPAA-megfelelő felhőalapú PHI és nullaismeret-alapú tervezés.