HIPAA OCR: 725 нарушений, 275 млн записей
Обновлено в 2026 году
Управление по гражданским правам HHS (OCR) зафиксировало 725 нарушений в сфере медицинских данных в 2024 году. Эти нарушения затронули 275 миллионов записей пациентов — самое высокое значение, когда-либо зафиксированное за один год.
Средние расходы на одно нарушение в здравоохранении достигли $10,22 млн в 2025 году — такую цифру называет отчёт IBM о стоимости утечки данных. Расходы включают гражданские штрафы, юридические издержки, уведомление пациентов, кредитный мониторинг и потерю репутации.
2025 и 2026 годы являются ключевыми для подпадающих под действие закона организаций и их деловых партнёров. Предложенное обновление правил безопасности HIPAA от марта 2025 года добавит самый крупный пакет технических требований с 2003 года.
Причины 725 нарушений в 2024 году
Портал OCR группирует сбои 2024 года по четырём типам.
Взломы и ИТ-инциденты стали причиной 74% зафиксированных нарушений. Программы-вымогатели, атаки на серверы и фишинг электронной почты — наиболее распространённые типы. Злоумышленники теперь нацеливаются на целые сети. Одна атака может извлечь данные из всей системы электронных медицинских карт.
Несанкционированный доступ и разглашение стали причиной 18% нарушений. Сюда входят ненадлежащий контроль доступа, злоупотребление инсайдеров и ошибочная отправка данных.
Инциденты у третьих сторон составили 35% нарушений 2024 года. Первопричина находилась у делового партнёра, а не у непосредственно подпадающей под закон организации. Только компания Change Healthcare (подразделение UnitedHealth Group) раскрыла данные более 190 миллионов пациентов — крупнейшее нарушение медицинских данных в истории США.
Кража или утеря переносных носителей стала причиной 8% нарушений. Ноутбуки, USB-накопители и бумажные документы были утеряны или похищены без шифрования.
18 типов защищённой медицинской информации по методу безопасной гавани
Метод безопасной гавани HIPAA (45 CFR §164.514(b)) требует удаления всех 18 типов данных пациентов. Большинство специалистов знают этот список. Сложность заключается в его реализации в промышленном масштабе.
- Имена — пациентов, членов семьи, работодателей
- Географические данные — любая территория меньше штата
- Даты — поступления, выписки, рождения, смерти (год может остаться)
- Номера телефонов
- Номера факсов
- Адреса электронной почты
- Номера социального страхования
- Номера медицинских карт (формат зависит от системы ЭМК)
- Номера членов страхового плана
- Номера счетов
- Номера сертификатов и лицензий — медицинских, DEA, государственных
- Идентификаторы транспортных средств — VIN и номерные знаки
- Идентификаторы устройств — серийные номера и уникальные коды устройств
- Веб-адреса
- IP-адреса
- Биометрические данные — отпечатки пальцев и образцы голоса
- Фотографии лица в полный размер и аналогичные изображения
- Любой другой уникальный идентификатор, код или признак
Тип 18 труднее всего поддаётся обнаружению. Необходимо удалять любой код, связывающий запись с конкретным пациентом, — даже при отсутствии установленного шаблона.
Пошаговое руководство по удалению всех 18 типов из клинических записей см. в статье деидентификация по методу безопасной гавани HIPAA для медицинских исследований.
Пять новых требований в предложенном обновлении правил безопасности
Предложенное обновление правил безопасности HIPAA (март 2025 года) вводит пять обязательств.
Ежегодные аудиты шифрования. Организации должны подтверждать, что все данные пациентов в состоянии покоя шифруются с использованием AES-256 или аналога. Управление ключами должно соответствовать письменным стандартам.
Письменные процедуры деидентификации. Любые данные пациентов, используемые в исследованиях, обучении ИИ или аналитике, требуют письменно зафиксированных процедур. Одной записи в политике недостаточно — необходимы технические документы с доказательствами валидации.
Проверки безопасности деловых партнёров. Деловые партнёры должны пройти конкретные технические проверки перед началом работы. Ранее договоры регулировали это без технической конкретики.
Многофакторная аутентификация (MFA). Все сотрудники с доступом к электронным данным пациентов обязаны использовать MFA. Устаревшие системы исключений не получают.
Тестирование реагирования на инциденты. Ежегодные учения и технические проверки обязательны. Их результаты должны документироваться.
Уроки Change Healthcare
Нарушение безопасности в Change Healthcare (февраль 2024 года) продемонстрировало системный характер рисков. Change Healthcare обрабатывала 15 миллиардов транзакций в год. Она связывала поставщиков услуг, плательщиков и аптеки как клиринговый центр.
Нарушение началось с одной учётной записи удалённого доступа — без MFA. Злоумышленники перемещались по сети девять дней, после чего запустили программу-вымогатель.
Вывод однозначен: деловой партнёр с широким доступом к медицинским транзакциям несёт угрозу для каждой организации-партнёра. Прежняя система не была рассчитана на провайдеров, обрабатывающих треть всех медицинских транзакций в США.
Требования предложенных правил о MFA, сегментации сети и проверке деловых партнёров — прямое следствие этого инцидента.
Об удалении защищённой медицинской информации из специфичных для больниц форматов записей читайте в статье обнаружение MRN по HIPAA и паттерны конкретных больниц. О проектировании с нулевым разглашением, исключающем попадание данных пациентов в сеть, — в статье HIPAA-совместимое облако, защищённая медицинская информация и нулевое разглашение.