HIPAA OCR: 725 intrång, 275 miljoner journaler
Uppdaterat för 2026
HHS Office for Civil Rights (OCR) registrerade 725 sjukvårdsdataintrång 2024. Dessa intrång drabbade 275 miljoner patientjournaler. Det totala antalet är det högsta som registrerats under ett enskilt år.
Genomsnittskostnaden per sjukvårdsintrång nådde 10,22 miljoner dollar 2025. IBM:s Cost of a Data Breach Report anger det beloppet. Kostnaden täcker civilrättsliga böter, juridiska avgifter, patientnotifieringar, kreditövervakning och förlorat förtroende.
2025 och 2026 är avgörande år för täckta enheter och deras affärspartner. Ett förslag till uppdatering av HIPAA Security Rule från mars 2025 skulle lägga till den mest omfattande uppsättningen tekniska regler sedan 2003.
Vad orsakade 725 intrång 2024
OCR-portalen grupperar 2024 års misslyckanden i fyra typer.
Hackning och IT-incidenter orsakade 74 % av de rapporterade intrången. Utpressningsprogram, serverattacker och e-postbedrägerier är de vanligaste typerna. Angripare riktar nu in sig på hela nätverk. En attack kan dra ut uppgifter från ett helt journalsystem på en gång.
Obehörig åtkomst och utlämnande orsakade 18 % av intrången. Bristande åtkomstkontroller, insidermissbruk och felaktiga mottagare räknas alla hit.
Tredjepartsincidenter stod för 35 % av 2024 års intrång. Felet uppstod hos en affärspartner — inte hos den täckta enheten. Change Healthcare (en del av UnitedHealth Group) exponerade ensamt över 190 miljoner patientjournaler. Det är det största sjukvårdsdataintrånget i USA:s historia.
Stöld eller förlust av bärbara medier orsakade 8 % av intrången. Bärbara datorer, USB-minnen och pappersjournaler förlorade eller stulna utan kryptering.
De 18 PHI-typerna under Safe Harbor
HIPAA:s Safe Harbor-metod (45 CFR §164.514(b)) kräver borttagning av alla 18 typer av patientuppgifter. De flesta team känner till listan. Det svåra är identifiering i stor skala.
- Namn — patienter, familjemedlemmar, arbetsgivare
- Geografiska uppgifter — varje område mindre än en delstat
- Datum — inläggning, utskrivning, födelsedag, dödsdag (år får behållas)
- Telefonnummer
- Faxnummer
- E-postadresser
- Personnummer
- Journalnummer (format varierar beroende på journalsystem)
- Hälsoplanmedlemsnummer
- Kontonummer
- Certifikat- och licensnummer — medicinska, DEA, statliga
- Fordons-ID — VIN-nummer och registreringsskyltar
- Enhets-ID — serienummer och unika enhetskoder
- Webb-URL:er
- IP-adresser
- Biometriska uppgifter — fingeravtryck och röstavtryck
- Helansiktsfotografier och liknande bilder
- Alla andra unika ID:n, koder eller kännetecken
Typ 18 är svårast att fånga upp. Varje kod som kopplar en journal till en specifik patient måste tas bort — även utan ett fastställt mönster.
För en steg-för-steg-guide om hur alla 18 typer rensas från kliniska journaler, se HIPAA Safe Harbor de-identifiering för sjukvårdsforskning.
Fem nya regler i det föreslagna säkerhetsuppdateringsförslaget
Det föreslagna uppdateringsförslaget till HIPAA Security Rule (mars 2025) lägger till fem skyldigheter.
Årliga krypteringsrevisioner. Täckta enheter måste bekräfta att alla vilande patientuppgifter använder AES-256 eller likvärdigt. Nyckelhantering måste uppfylla skriftliga standarder.
Skriftliga de-identifieringsprocedurer. Alla patientuppgifter som används i forskning, AI-träning eller analys kräver skriftliga rutiner. En policyanmärkning räcker inte. Teknisk dokumentation med valideringsbevis krävs.
Säkerhetskontroller av affärspartner. Affärspartner måste klara specifika tekniska kontroller innan de börjar. Tidigare hanterades detta enbart via avtal utan tekniska detaljer.
Multifaktorautentisering (MFA). All personal med tillgång till elektroniska patientuppgifter måste använda MFA. Äldre system är inte undantagna.
Testning av incidentrespons. Årliga övningar och tekniska tester krävs. Team måste dokumentera resultaten.
Lärdomar från Change Healthcare
Change Healthcare-intrånget (februari 2024) visade hur systemrisk ser ut. Change Healthcare hanterade 15 miljarder transaktioner per år. Företaget fungerade som ett nav mellan vårdgivare, betalare och apotek.
Intrånget startade med ett enda fjärråtkomstkonto. Det kontot saknade MFA. Angriparna rörde sig genom nätverket i nio dagar. Sedan lanserade de utpressningsprogramvara.
Lärdomen är tydlig. En affärspartner med bred åtkomst till sjukvårdstransaktioner utgör en risk för varje partner den berör. Det gamla ramverket var inte byggt för leverantörer som hanterar en tredjedel av alla amerikanska sjukvårdstransaktioner.
Förslagens MFA, nätverkssegmentering och affärsparnerkontroller härrör alla från denna händelse.
För borttagning av PHI från sjukhusspecifika journalformat, se HIPAA MRN-identifiering och sjukhusspecifika mönster. För nollkunskapsdesign som håller patientuppgifter borta från nätverket, se HIPAA-kompatibelt moln-PHI och nollkunskapsdesign.