HIPAA OCR：725件の侵害、2億7500万件のレコード
2026年更新版
HHS市民権局（OCR）は、2024年に725件のヘルスケアデータ侵害を記録しました。これらの侵害は2億7500万件の患者レコードに影響を与えました。単年での記録としては過去最高の数字です。
2025年におけるヘルスケア侵害の平均コストは1,022万ドルに達しました。この数字はIBM Cost of a Data Breach Reportによるものです。民事罰金、法的費用、患者への通知、信用監視、レピュテーション損害が含まれます。
2025年と2026年は、対象事業者とビジネスアソシエイトにとって重要な年です。2025年3月に提案されたHIPAAセキュリティルールの改定案は、2003年以来最大の技術要件をもたらすものです。
2024年に725件の侵害を引き起こした原因
OCRポータルは2024年の侵害を4つのカテゴリに分類しています。
ハッキングおよびITインシデントは報告された侵害の74%を占めました。ランサムウェア、サーバー攻撃、メール詐欺が主なタイプです。攻撃者はネットワーク全体を標的にするようになっています。1回の攻撃でEHRシステムから数百万件のレコードを一度に抽出できます。
不正アクセスと開示は侵害の18%を占めました。不十分なアクセス制御、内部不正、誤った受信者への送信がこれに含まれます。
サードパーティ・ビジネスアソシエイトのインシデントは2024年の侵害の35%を占めました。侵害は対象事業者ではなく、ビジネスアソシエイトで発生しました。Change Healthcare（UnitedHealth Groupの子会社）だけで1億9000万人以上の患者データが露出しました。これは米国医療データ史上最大の侵害です。
可搬型メディアの盗難または紛失は侵害の8%を占めました。ノートパソコン、USBドライブ、紙の記録が暗号化なしで紛失・盗難にあいました。
セーフハーバー基準による18種類のPHI識別子
HIPAAのセーフハーバー方式（45 CFR §164.514(b)）では、18種類すべての保護医療情報（PHI）の削除が必要です。多くの組織はこのリストを知っています。課題は大規模な自動検出にあります。
- 氏名 — 患者、家族、雇用主
- 地理的データ — 州より小さいすべての地域区分
- 日付 — 入院、退院、生年月日、死亡日（年のみ残可）
- 電話番号
- ファックス番号
- メールアドレス
- 社会保障番号
- 医療記録番号（EHRシステムによって形式が異なる）
- 医療保険受益者番号
- 口座番号
- 証明書・ライセンス番号 — 医師免許、DEA番号、州ライセンス
- 車両識別情報 — VINおよびナンバープレート
- 機器識別情報 — シリアル番号と固有デバイスID
- WebのURL
- IPアドレス
- 生体識別情報 — 指紋と声紋
- 顔全体の写真および類似画像
- その他の固有識別番号、コード、または特徴
第18カテゴリが最も検出困難です。特定の患者にレコードを結びつけるコードはすべて削除する必要があります。定義済みのパターンがなくても同様です。
臨床記録から18種類すべてを削除する実践的なガイドについては、ヘルスケア研究のためのHIPAAセーフハーバー非識別化をご覧ください。
改定案における5つの新要件
提案されたHIPAAセキュリティルール改定案（2025年3月）は5つの義務を追加します。
年次暗号化監査。 対象事業者は、静止中のすべてのPHIがAES-256または同等の暗号化を使用していることを確認する必要があります。鍵管理は文書化された基準を満たす必要があります。
非識別化手順の文書化。 研究、AIトレーニング、または分析に使用するPHIには書面による手順が必要です。ポリシー宣言だけでは不十分です。検証証拠を含む技術文書が求められます。
ビジネスアソシエイトのセキュリティ評価。 ビジネスアソシエイトはオンボーディング前に特定の技術要件を満たす必要があります。以前は契約書が技術的詳細なしにこれを処理していました。
多要素認証（MFA）。 電子PHIにアクセスするすべてのスタッフはMFAを使用する必要があります。レガシーシステムも例外ではありません。
インシデント対応テスト。 年次演習と技術テストが必要です。チームは結果の記録を保持する必要があります。
Change Healthcareからの教訓
Change Healthcareの侵害（2024年2月）は、システミックリスクの実態を示しました。Change Healthcareは年間150億件のトランザクションを処理していました。プロバイダー、支払者、薬局間のクリアリングハウスとして機能していました。
侵害は1つのリモートアクセスアカウントから始まりました。そのアカウントにはMFAがありませんでした。攻撃者はネットワーク内を9日間移動しました。その後、ランサムウェアを展開しました。
教訓は明確です。医療トランザクションへの広範なアクセスを持つビジネスアソシエイトは、接続するすべての組織にとってのシステミックリスクです。既存の枠組みは、米国の全医療トランザクションの3分の1を処理するインフラプロバイダーのために設計されていませんでした。
提案されたルールのMFA、ネットワークセグメンテーション、ビジネスアソシエイト評価の要件はすべて、この侵害に直接起因しています。
病院固有の記録形式からのPHI削除については、HIPAAのMRN検出と病院固有パターンをご覧ください。患者データをネットワークから完全に分離するゼロ知識アーキテクチャについては、HIPAAに準拠したクラウドPHIとゼロ知識設計をご覧ください。