HIPAA OCR: 725 de breșe, 275 de milioane de înregistrări
Actualizat pentru 2026
Biroul pentru Drepturi Civile (OCR) al HHS a înregistrat 725 de breșe de date medicale în 2024. Aceste breșe au afectat 275 de milioane de înregistrări ale pacienților — cel mai ridicat total înregistrat vreodată într-un singur an.
Costul mediu al unei breșe medicale a ajuns la 10,22 milioane de dolari în 2025, conform Raportului IBM privind costul breșelor de date. Costul acoperă amenzile civile, onorariile juridice, notificările pacienților, monitorizarea creditului și pierderea încrederii.
2025 și 2026 sunt ani esențiali pentru entitățile acoperite și partenerii lor de afaceri. O actualizare propusă a Regulii de Securitate HIPAA din martie 2025 ar adăuga cel mai extins set de cerințe tehnice de la adoptarea regulii originale în 2003.
Ce a cauzat cele 725 de breșe din 2024
Portalul OCR grupează eșecurile din 2024 în patru categorii.
Atacuri informatice și incidente IT au cauzat 74% din breșele raportate. Ransomware, atacuri asupra serverelor și frauda prin email sunt tipurile principale. Atacatorii vizează acum rețele întregi. Un singur atac poate extrage înregistrări dintr-un întreg sistem EHR.
Accesul neautorizat și divulgarea au cauzat 18% din breșe. Controale de acces deficitare, utilizarea abuzivă de către angajați și erorile de destinatar sunt incluse aici.
Incidentele cu terți au reprezentat 35% din breșele din 2024. Eșecul a pornit de la un partener de afaceri, nu de la entitatea acoperită. Change Healthcare (o unitate a UnitedHealth Group) a expus singură peste 190 de milioane de înregistrări ale pacienților — cea mai mare breșă de date medicale din SUA înregistrată vreodată.
Furtul sau pierderea suporturilor portabile a cauzat 8% din breșe. Laptopuri, stick-uri USB și înregistrări pe hârtie pierdute sau furate fără criptare.
Cele 18 tipuri de PHI conform metodei Safe Harbor
Metoda Safe Harbor din HIPAA (45 CFR §164.514(b)) impune eliminarea celor 18 tipuri de date ale pacienților. Cele mai multe echipe cunosc lista. Dificultatea constă în detectarea la scară.
- Nume — pacienți, membri ai familiei, angajatori
- Date geografice — orice zonă mai mică decât un stat
- Date calendaristice — internare, externare, naștere, deces (anul poate rămâne)
- Numere de telefon
- Numere de fax
- Adrese de email
- Numere de securitate socială
- Numere de dosar medical (formatul variază în funcție de sistemul EHR)
- Numerele de membru al planului de sănătate
- Numere de cont
- Numerele de certificate și licențe — medicale, DEA, de stat
- Identificatori de vehicule — VIN-uri și numere de înmatriculare
- Identificatori de dispozitive — numere de serie și coduri unice de dispozitive
- URL-uri web
- Adrese IP
- Date biometrice — amprente și impresii vocale
- Fotografii ale feței și imagini similare
- Orice alt ID, cod sau caracteristică unică
Tipul 18 este cel mai dificil de detectat. Orice cod care leagă o înregistrare de un anumit pacient trebuie eliminat — chiar și fără un format prestabilit.
Pentru un ghid pas cu pas privind eliminarea tuturor celor 18 tipuri din înregistrările clinice, consultați De-identificarea Safe Harbor HIPAA pentru cercetarea medicală.
Cinci noi reguli în actualizarea propusă a regulii de securitate
Actualizarea propusă a Regulii de Securitate HIPAA (martie 2025) adaugă cinci obligații.
Audituri anuale de criptare. Entitățile acoperite trebuie să confirme că toate datele pacienților stocate utilizează AES-256 sau echivalent. Gestionarea cheilor trebuie să respecte standarde scrise.
Proceduri scrise de de-identificare. Orice date ale pacienților utilizate în cercetare, antrenarea IA sau analize necesită pași documentați. O notă de politică nu este suficientă. Sunt necesare înregistrări tehnice cu dovezi de validare.
Verificări de securitate pentru partenerii de afaceri. Partenerii de afaceri trebuie să treacă verificări tehnice specifice înainte de a deveni operaționali. Contractele obișnuiau să gestioneze acest lucru fără detalii tehnice.
Autentificare multifactor (MFA). Tot personalul cu acces la datele electronice ale pacienților trebuie să utilizeze MFA. Sistemele moștenite nu sunt exceptate.
Testarea răspunsului la incidente. Sunt necesare simulări anuale și teste tehnice, iar echipele trebuie să păstreze înregistrări ale rezultatelor.
Lecțiile din breșa Change Healthcare
Breșa Change Healthcare (februarie 2024) a demonstrat cum arată riscul sistemic. Change Healthcare procesa 15 miliarde de tranzacții pe an. Conecta furnizorii, plătitorii și farmaciile ca un centru de compensare.
Breșa a început cu un singur cont de acces la distanță. Acel cont nu avea MFA. Atacatorii s-au deplasat prin rețea timp de nouă zile, după care au lansat ransomware.
Lecția este clară. Un partener de afaceri cu acces extins la tranzacțiile medicale reprezintă un risc pentru fiecare partener cu care lucrează. Cadrul vechi nu a fost conceput pentru furnizori care procesează o treime din toate tranzacțiile medicale din SUA.
Cerințele de MFA, segmentare a rețelei și verificare a partenerilor de afaceri din regula propusă au toate originea în acest eveniment.
Pentru eliminarea PHI din formatele de înregistrări specifice spitalelor, consultați Detectarea MRN HIPAA și tipare specifice spitalelor. Pentru design zero-knowledge care menține datele pacienților în afara rețelei, consultați PHI în cloud conform HIPAA și design zero-knowledge.