HIPAA OCR: 725건 침해, 2억 7,500만 건 기록
2026년 업데이트
미국 보건복지부 민권실(HHS OCR)은 2024년에 725건의 의료 데이터 침해를 집계했습니다. 이 침해들은 2억 7,500만 건의 환자 기록에 영향을 미쳤습니다. 이는 단일 연도 기준 역대 최고치입니다.
2025년 의료 침해의 평균 비용은 $1,022만에 달했습니다. IBM의 데이터 침해 비용 보고서가 이 수치를 제시합니다. 비용에는 민사 제재, 법률 비용, 환자 고지, 신용 모니터링, 신뢰 손실이 포함됩니다.
2025년과 2026년은 적용 대상 기관과 사업 제휴자에게 중요한 해입니다. 2025년 3월에 발표된 HIPAA 보안 규정 개정안은 2003년 이후 가장 큰 규모의 기술적 규정을 추가할 예정입니다.
2024년 725건 침해의 원인
OCR 포털은 2024년 실패를 네 가지 유형으로 분류합니다.
해킹 및 IT 사고가 보고된 침해의 74%를 차지했습니다. 랜섬웨어, 서버 공격, 이메일 사기가 주요 유형입니다. 공격자들은 이제 전체 네트워크를 겨냥합니다. 단 한 번의 공격으로 전체 전자 건강 기록(EHR) 시스템의 기록을 탈취할 수 있습니다.
무단 접근 및 공개가 침해의 18%를 차지했습니다. 부실한 접근 통제, 내부자 오용, 잘못된 수신자 오류가 모두 여기에 해당합니다.
제3자 사고가 2024년 침해의 35%를 차지했습니다. 실패는 적용 대상 기관이 아닌 사업 제휴자에서 시작되었습니다. 체인지 헬스케어(유나이티드헬스 그룹 계열사) 단독으로 1억 9,000만 명 이상의 환자 기록을 노출시켰습니다. 이는 미국 역사상 최대 의료 데이터 침해입니다.
이동식 미디어 도난 또는 분실이 침해의 8%를 차지했습니다. 암호화되지 않은 상태로 도난 또는 분실된 노트북, USB 드라이브, 종이 기록이 해당됩니다.
세이프 하버의 18가지 PHI 유형
HIPAA 세이프 하버 방법(45 CFR §164.514(b))은 환자 데이터의 18가지 유형을 모두 제거할 것을 요구합니다. 목록 자체는 대부분의 팀이 알고 있습니다. 어려운 부분은 대규모에서의 탐지입니다.
- 이름 — 환자, 가족 구성원, 고용주
- 지리적 데이터 — 주보다 작은 모든 지역
- 날짜 — 입원, 퇴원, 생년, 사망일 (연도는 유지 가능)
- 전화번호
- 팩스 번호
- 이메일 주소
- 사회보장 번호
- 의료 기록 번호 (EHR 시스템마다 형식 다름)
- 건강 보험 회원 번호
- 계좌 번호
- 자격증 및 면허 번호 — 의료, DEA, 주 발급
- 차량 ID — VIN 및 번호판
- 기기 ID — 일련번호 및 고유 기기 코드
- 웹 URL
- IP 주소
- 생체 데이터 — 지문 및 음성 패턴
- 전체 얼굴 사진 및 유사 이미지
- 기타 고유 ID, 코드 또는 특성
18번 유형이 가장 탐지하기 어렵습니다. 특정 패턴이 없더라도 기록을 특정 환자와 연결하는 모든 코드는 제거되어야 합니다.
임상 기록에서 18가지 유형을 모두 제거하는 단계별 가이드는 HIPAA 세이프 하버 비식별화 가이드를 참고하세요.
보안 규정 개정안의 다섯 가지 신규 의무
제안된 HIPAA 보안 규정 개정안(2025년 3월)은 다섯 가지 의무를 추가합니다.
연간 암호화 감사. 적용 대상 기관은 저장된 모든 환자 데이터에 AES-256 이상의 암호화가 적용되었음을 확인해야 합니다. 키 관리는 문서화된 기준을 충족해야 합니다.
서면 비식별화 절차. 연구, AI 학습, 분석에 사용되는 모든 환자 데이터는 서면 절차가 필요합니다. 정책 메모는 충분하지 않습니다. 검증 증거가 포함된 기술적 기록이 요구됩니다.
사업 제휴자 보안 점검. 사업 제휴자는 운영 시작 전 특정 기술적 점검을 통과해야 합니다. 이전에는 기술적 세부 사항 없이 계약만으로 처리되었습니다.
다중 인증(MFA). 전자 환자 데이터에 접근하는 모든 직원은 MFA를 사용해야 합니다. 레거시 시스템도 면제되지 않습니다.
사고 대응 훈련. 연간 훈련과 기술적 테스트가 의무화됩니다. 팀은 결과 기록을 보관해야 합니다.
체인지 헬스케어 사건의 교훈
체인지 헬스케어 침해(2024년 2월)는 시스템적 위험이 무엇인지 보여주었습니다. 체인지 헬스케어는 연간 150억 건의 거래를 처리했습니다. 의료 제공자, 보험사, 약국을 결제 대행 기관으로 연결했습니다.
침해는 MFA가 없던 원격 접근 계정 하나에서 시작되었습니다. 공격자들은 9일 동안 네트워크를 이동했습니다. 그 후 랜섬웨어를 실행했습니다.
교훈은 명확합니다. 의료 거래에 광범위하게 접근하는 사업 제휴자는 연결된 모든 파트너에게 위험이 됩니다. 기존 프레임워크는 미국 전체 의료 거래의 3분의 1을 처리하는 제공자를 위해 설계되지 않았습니다.
개정안의 MFA, 네트워크 분리, 사업 제휴자 점검은 모두 이 사건을 교훈으로 삼고 있습니다.
병원별 기록 형식에서의 PHI 제거에 대해서는 HIPAA MRN 탐지 및 병원별 패턴을, 환자 데이터를 네트워크 밖에 두는 제로 지식 설계에 대해서는 HIPAA 준수 클라우드 PHI와 제로 지식 설계를 참고하세요.