HIPAA OCR: 725 povreda, 275 miliona dosijea
Azurirano za 2026.
HHS Kancelarija za gradjanska prava (OCR) je u 2024. godini zabelezila 725 povreda zdravstvenih podataka. Te povrede pogodile su 275 miliona pacijentskih dosijea. Taj ukupan broj je najveci koji je ikada zabelezan u jednoj godini.
Prosecni trosak po povredi u zdravstvu dostigao je 10,22 miliona dolara u 2025. Izvestaj IBM-a o trosku povrede podataka daje taj broj. Trosak obuhvata gradjananske kazne, pravne naknade, obavestenja pacijentima, kreditni nadzor i izgubljeno poverenje.
- i 2026. su kljucne godine za pokrivene entitete i njihove poslovne saradnike. Predlozeno azuriranje HIPAA sigurnosnog pravila iz marta 2025. dodalo bi najveci skup tehnickih pravila od 2003.
Sta je uzrokovalo 725 povreda u 2024.
OCR portal grupiše propuste iz 2024. u cetiri tipa.
Hakovanje i IT incidenti uzrokovali su 74% prijavljenih povreda. Ransomware, napadi na servere i prevara putem elektronske poste su najcesci tipovi. Napadaci sada ciljaju cele mreze. Jedan napad moze izvuci dosijee iz celog EHR sistema odjednom.
Neovlasceni pristup i otkrivanje uzrokovali su 18% povreda. Los kontrola pristupa, zloupotreba od strane unutrasnjih lica i greske pri slanju pogresnom primaocu - sve to spada ovde.
Incidenti trecih strana cinili su 35% povreda u 2024. Propust je zapoceo kod poslovnog saradnika -- ne kod pokrivenog entiteta. Sama kompanija Change Healthcare (jedinica UnitedHealth Group) izlozila je vise od 190 miliona pacijentskih dosijea. To je najveca povreda zdravstvenih podataka u SAD ikada.
Kradja ili gubitak prenosivih medija uzrokovali su 8% povreda. Laptopovi, USB diskovi i papirni dosijei izgubljeni ili ukradeni bez enkripcije.
18 tipova PHI prema Safe Harbor metodi
HIPAA Safe Harbor metoda (45 CFR odeljak 164.514(b)) zahteva uklanjanje svih 18 tipova pacijentskih podataka. Vecina timova zna tu listu. Teski deo je otkrivanje u velikom obimu.
- Imena -- pacijenata, clanova porodice, poslodavaca
- Geografski podaci -- bilo koje podrucje manje od drzave
- Datumi -- prijema, otpusta, rodjenja, smrti (godina moze ostati)
- Telefonski brojevi
- Faks brojevi
- E-mail adrese
- Brojevi socijalnog osiguranja
- Brojevi medicinskih dosijea (format varira po EHR sistemu)
- Brojevi clanova zdravstvenih planova
- Brojevi racuna
- Sertifikati i licencni brojevi -- medicinski, DEA, drzavni
- Identifikatori vozila -- VIN i registarski brojevi
- Identifikatori uredjaja -- serijski brojevi i jedinstveni kodovi uredjaja
- Web URL adrese
- IP adrese
- Biometrijski podaci -- otisci prstiju i glasovni otisci
- Fotografije celog lica i slicne slike
- Bilo koji drugi jedinstveni identifikator, kod ili karakteristika
Tip 18 je najtezi za pronalazenje. Svaki kod koji vezuje dosijer za specificnog pacijenta mora biti uklonjen -- cak i bez utvrdjenog obrasca.
Za vodic korak po korak o uklanjanju svih 18 tipova iz klinickih dosijea, pogledajte HIPAA Safe Harbor de-identifikacija za istrazivanje u zdravstvu.
Pet novih pravila u predlozenom azuriranju bezbednosnih propisa
Predlozeno azuriranje HIPAA sigurnosnog pravila (mart 2025.) dodaje pet obaveza.
Godisnje provere enkripcije. Pokriveni entiteti moraju potvrditi da svi pacijentski podaci u mirovanju koriste AES-256 ili ekvivalent. Upravljanje kljucevima mora ispunjavati pisane standarde.
Pisane procedure de-identifikacije. Svaki pacijentski podatak koji se koristi u istrazivanju, treniranju vestacke inteligencije ili analitici zahteva pisane korake. Napomena o politici nije dovoljna. Potrebni su tehnicka dokumentacija sa dokazima validacije.
Bezbednosne provere poslovnih saradnika. Poslovni saradnici moraju proci specificne tehnicke provere pre nego sto pocnu sa radom. Ugovori su to ranije resavali bez tehnickih detalja.
Visestruka autentifikacija (MFA). Svi zaposleni sa pristupom elektronskim pacijentskim podacima moraju koristiti MFA. Stari sistemi nisu izuzeti.
Testiranje odgovora na incidente. Potrebne su godisnje vezbe i tehnicka testiranja. Timovi moraju cuvati zapise o rezultatima.
Lekcije iz povrede Change Healthcare
Povreda Change Healthcare (februar 2024.) pokazala je kako izgleda sistemski rizik. Change Healthcare je obradjivao 15 milijardi transakcija godisnje. Povezivao je pruzaoce usluga, osiguravace i apoteke kao klirinsku kucu.
Povreda je zapocela jednim nalogom za daljinski pristup. Taj nalog nije imao MFA. Napadaci su se kretali kroz mrezu devet dana. Potom su pokrenuli ransomware.
Lekcija je jasna. Poslovni saradnik sa sirokim pristupom zdravstvenim transakcijama predstavlja rizik za sve partnere koje dodiruje. Stari okvir nije bio izradjen za pruzaoce koji obradjuju trecinu svih americkih zdravstvenih transakcija.
MFA, segmentacija mreze i provere poslovnih saradnika prema predlozenom pravilu -- sve to prati ovaj dogadjaj.
Za uklanjanje PHI iz bolnickih formata specificnih za odredjenu bolnicu, pogledajte HIPAA MRN otkrivanje i obrasci specificni za bolnicu. Za dizajn nultog znanja koji cuva pacijentske podatke van mreze, pogledajte HIPAA cloud PHI i dizajn nultog znanja.