HIPAA OCR: 725 pažeidimai, 275 mln. įrašų
Atnaujinta 2026 m.
HHS Pilietinių teisių biuras (OCR) 2024 m. suskaičiavo 725 sveikatos duomenų pažeidimus. Tie pažeidimai palietė 275 milijonų pacientų įrašus. Tas skaičius yra aukščiausias kada nors užfiksuotas per vienerius metus.
Vidutinė sveikatos pažeidimo kaina 2025 m. pasiekė 10,22 mln. USD. IBM duomenų pažeidimo kainos ataskaita pateikia šį skaičių. Kaina apima civilines baudas, teisines išlaidas, pranešimus pacientams, kredito stebėjimą ir prarastą pasitikėjimą.
2025 ir 2026 m. yra svarbūs metai apdraustajai subjektams ir jų verslo partneriams. 2025 m. kovo mėn. siūlomas HIPAA saugumo taisyklės atnaujinimas pridėtų didžiausią techninių taisyklių rinkinį nuo 2003 m.
Kas sukėlė 725 pažeidimus 2024 m.
OCR portalas grupuoja 2024 m. nesėkmes į keturis tipus.
Įsilaužimas ir IT incidentai sukėlė 74% pranešimų apie pažeidimus. Išpirkos reikalaujančios programos, serverių atakos ir el. pašto sukčiavimas yra populiariausi tipai. Užpuolikai dabar taikosi į visus tinklus. Viena ataka gali paimti įrašus iš viso EHR sistemos.
Neleistina prieiga ir atskleidimas sukėlė 18% pažeidimų. Prasti prieigos valdikliai, vidiniai piktnaudžiavimai ir klaidingo gavėjo klaidos -- visa tai patenka čia.
Trečiųjų šalių incidentai sudarė 35% 2024 m. pažeidimų. Nesėkmė prasidėjo verslo partneryje, o ne apdraustuose subjektuose. Vien tik Change Healthcare (UnitedHealth Group padalinys) atskleidė daugiau nei 190 milijonų pacientų įrašų. Tai yra didžiausias JAV sveikatos duomenų pažeidimas istorijoje.
Nešiojamų laikmenų vagystė arba praradimas sukėlė 8% pažeidimų. Nešiojamieji kompiuteriai, USB įrenginiai ir popieriniai įrašai, pamesti arba pavogti be šifravimo.
18 PHI tipų pagal "Safe Harbor"
HIPAA "Safe Harbor" metodas (45 CFR §164.514(b)) reikalauja pašalinti visus 18 pacientų duomenų tipų. Dauguma komandų žino sąrašą. Sunkiausia dalis yra aptikimas dideliu mastu.
- Vardai -- pacientai, šeimos nariai, darbdaviai
- Geografiniai duomenys -- bet kuri sritis, mažesnė nei valstija
- Datos -- priėmimas, išrašymas, gimimas, mirtis (metai gali likti)
- Telefono numeriai
- Fakso numeriai
- El. pašto adresai
- Socialinio draudimo numeriai
- Medicininių įrašų numeriai (formatas skiriasi pagal EHR sistemą)
- Sveikatos plano narių numeriai
- Sąskaitos numeriai
- Pažymėjimų ir licencijų numeriai -- medicininis, DEA, valstijos
- Transporto priemonių ID -- VIN ir numerio ženklai
- Prietaisų ID -- serijos numeriai ir unikalūs prietaisų kodai
- Interneto URL adresai
- IP adresai
- Biometriniai duomenys -- pirštų atspaudai ir balso atspaudai
- Viso veido nuotraukos ir panašūs vaizdai
- Bet koks kitas unikalus ID, kodas arba požymis
18 tipas yra sunkiausiai aptinkamas. Bet koks kodas, siejantis įrašą su konkrečiu pacientu, turi būti pašalintas -- net be nustatyto šablono.
Norėdami gauti žingsnis po žingsnio vadovą, kaip išvalyti visus 18 tipų iš klinikinių įrašų, žiūrėkite HIPAA Safe Harbor de-identifikavimas sveikatos priežiūros tyrimams.
Penki nauji reikalavimai siūlomame saugumo atnaujinime
Siūlomas HIPAA saugumo taisyklės atnaujinimas (2025 m. kovas) prideda penkis įpareigojimus.
Metiniai šifravimo auditai. Apdrausti subjektai turi patvirtinti, kad visi ramybės būsenos pacientų duomenys naudoja AES-256 arba lygiavertį. Raktų valdymas turi atitikti raštinius standartus.
Rašytinės de-identifikavimo procedūros. Bet kokie pacientų duomenys, naudojami tyrimams, DI mokymui ar analizei, reikalauja rašytinių žingsnių. Politikos pastabos nepakanka. Reikalingi techniniai įrašai su patvirtinimo įrodymais.
Verslo partnerių saugumo patikrinimai. Verslo partneriai turi praeiti konkrečius techninius patikrinimus prieš pradedant veikti. Anksčiau sutartys tvarkė tai be techninių detalių.
Daugiafaktoris autentifikavimas (MFA). Visi darbuotojai, turintys prieigą prie elektroninių pacientų duomenų, turi naudoti MFA. Senesnės sistemos nėra išimtys.
Incidentų reagavimo testavimas. Metiniai pratimai ir techniniai testai yra privalomi. Komandos turi saugoti rezultatų įrašus.
Pamokos iš Change Healthcare
Change Healthcare pažeidimas (2024 m. vasaris) parodė, kaip atrodo sisteminė rizika. Change Healthcare per metus apdorojo 15 milijardų sandorių. Ji sujungė teikėjus, mokėtojus ir vaistines kaip tarpuskaitos organizacija.
Pažeidimas prasidėjo su viena nuotolinės prieigos paskyra. Ta paskyra neturėjo MFA. Užpuolikai judėjo per tinklą devynias dienas. Tada paleido išpirkos reikalaujančias programas.
Pamoka aiški. Verslo partneris su plačia prieiga prie sveikatos sandorių kelia riziką kiekvienam partneriui, kurį jis liečia. Senasis sistema nebuvo sukurta teikėjams, apdorojančiems trečdalį visų JAV sveikatos sandorių.
Siūlomo reglamento MFA, tinklo segmentavimas ir verslo partnerių patikrinimai visi atsekini iki šio įvykio.