HIPAA OCR: Uvunjaji 725, Rekodi Milioni 275
Imesasishwa kwa 2026
Ofisi ya Haki za Kiraia ya HHS (OCR) ilihesabu uvunjaji 725 wa data ya huduma za afya mwaka 2024. Uvunjaji huo uliathiri rekodi milioni 275 za wagonjwa. Jumla hiyo ni ya juu zaidi iliyowahi kurekodi katika mwaka mmoja.
Gharama ya wastani kwa kila uvunjaji wa huduma za afya ilifikia dola milioni 10.22 mwaka 2025. Ripoti ya Gharama ya Uvunjaji wa Data ya IBM inaonyesha nambari hiyo. Gharama inashughulikia faini za kiraia, ada za kisheria, taarifa za wagonjwa, ufuatiliaji wa mikopo, na kupoteza imani.
Miaka 2025 na 2026 ni muhimu kwa vyombo vilivyo na bima na washirika wao wa biashara. Sasisho lililopendekezwa la Kanuni ya Usalama ya HIPAA kutoka Machi 2025 litaongeza seti kubwa zaidi ya sheria za kiufundi tangu 2003.
Kilichosababisha Uvunjaji 725 Mwaka 2024
Mlango wa OCR unakusanya kushindwa kwa 2024 katika aina nne.
Udukuzi na matukio ya IT yalisababisha 74% ya uvunjaji ulioripotiwa. Ransomware, mashambulio ya seva, na udanganyifu wa barua pepe ni aina kuu. Washambuliaji sasa wanalenga mitandao nzima. Shambulio moja linaweza kuvuta rekodi kutoka kwenye mfumo mzima wa EHR mara moja.
Upatikanaji na ufafanuzi usioidhinishwa ulisababisha 18% ya uvunjaji. Udhibiti mbaya wa upatikanaji, matumizi mabaya ya watu wa ndani, na makosa ya mpokeaji mwingine yote yanashughulikiwa hapa.
Matukio ya wahusika wengine yalichangia 35% ya uvunjaji wa 2024. Kushindwa kulianza kwa mshirika wa biashara — si chombo kilichofunikwa. Change Healthcare (kitengo cha UnitedHealth Group) peke yake ilifichua rekodi zaidi ya milioni 190 za wagonjwa. Hiyo ni uvunjaji mkubwa zaidi wa data ya afya wa Marekani kuwahi kurekodi.
Wizi au upotezaji wa vyombo vinavyobebeka ulisababisha 8% ya uvunjaji. Kompyuta za mkononi, anatoa za USB, na rekodi za karatasi zilizopotea au kuibiwa bila usimbuaji.
Aina 18 za PHI Chini ya Njia ya Salama
Njia ya Salama ya HIPAA (45 CFR §164.514(b)) inahitaji kuondolewa kwa aina 18 zote za data ya mgonjwa. Timu nyingi zinajua orodha. Sehemu ngumu ni utambuzi kwa kiwango kikubwa.
- Majina — wagonjwa, wanafamilia, waajiri
- Data ya kijiografia — eneo lolote dogo kuliko jimbo
- Tarehe — kulazwa, kutolewa, kuzaliwa, kufariki (mwaka unaweza kubaki)
- Nambari za simu
- Nambari za faksi
- Anwani za barua pepe
- Nambari za usalama wa jamii
- Nambari za rekodi za matibabu (umbizo linatofautiana kwa mfumo wa EHR)
- Nambari za wanachama wa mpango wa afya
- Nambari za akaunti
- Nambari za vyeti na leseni — matibabu, DEA, jimbo
- Vitambulisho vya magari — nambari za VIN na sahani
- Vitambulisho vya vifaa — nambari za serial na nambari za kipekee za kifaa
- URL za wavuti
- Anwani za IP
- Data ya biometric — alama za vidole na alama za sauti
- Picha za uso kamili na picha zinazofanana
- Kitambulisho, nambari, au sifa nyingine yoyote ya kipekee
Aina 18 ndiyo ngumu zaidi kukamata. Nambari yoyote inayounganisha rekodi na mgonjwa maalum lazima iondolewe — hata bila muundo uliowekwa.
Kwa mwongozo wa hatua kwa hatua wa kusafisha aina zote 18 kutoka kwa rekodi za kliniki, angalia Kutoa utambulisho wa HIPAA Safe Harbor kwa utafiti wa huduma za afya.
Sheria Tano Mpya Katika Sasisho Lililopendekezwa la Usalama
Sasisho lililopendekezwa la Kanuni ya Usalama ya HIPAA (Machi 2025) linaongeza wajibu tano.
Ukaguzi wa usimbuaji wa kila mwaka. Vyombo vilivyofunikwa lazima vithibitishe kwamba data yote ya wagonjwa iliyohifadhiwa inatumia AES-256 au sawa. Usimamizi wa ufunguo lazima ukidhi viwango vilivyoandikwa.
Taratibu zilizoandikwa za kutoa utambulisho. Data yoyote ya wagonjwa inayotumiwa katika utafiti, mafunzo ya AI, au uchanganuzi inahitaji hatua zilizoandikwa. Kumbuka ya sera haitoshi. Rekodi za kiufundi zenye uthibitisho wa uthibitishaji zinahitajika.
Ukaguzi wa usalama wa washirika wa biashara. Washirika wa biashara lazima wapite ukaguzi maalum wa kiufundi kabla hawajaanza. Mikataba ilikuwa inashughulikia hili bila maelezo ya kiufundi.
Uthibitishaji wa vipengele vingi (MFA). Wafanyakazi wote wenye ufikiaji wa data ya kielektroniki ya wagonjwa lazima watumie MFA. Mifumo ya zamani haiko isipokuwa.
Mazoezi ya mwitikio wa matukio. Mazoezi ya kila mwaka na majaribio ya kiufundi yanahitajika. Timu lazima zihifadhi rekodi za matokeo.
Mafunzo Kutoka Change Healthcare
Uvunjaji wa Change Healthcare (Februari 2024) ulionyesha jinsi hatari ya kimfumo inavyoonekana. Change Healthcare ilishughulikia miamala bilioni 15 kwa mwaka. IliUnganisha watoa huduma, walipa, na maduka ya dawa kama kituo cha uhamishaji.
Uvunjaji ulianza na akaunti moja ya upatikanaji wa mbali. Akaunti hiyo haikuwa na MFA. Washambuliaji walisogea kwenye mtandao kwa siku tisa. Kisha wakazindua ransomware.
Somo ni wazi. Mshirika wa biashara mwenye ufikiaji mkubwa wa miamala ya afya ni hatari kwa kila mshirika anaogusa. Mfumo wa zamani haukuundwa kwa watoa huduma wanaoshughulikia theluthi moja ya miamala yote ya afya ya Marekani.
MFA, mgawanyiko wa mtandao, na ukaguzi wa washirika wa biashara wa kanuni iliyopendekezwa yote yanafuatilia tukio hili.
Kwa kuondoa PHI kutoka kwa umbizo la rekodi mahususi za hospitali, angalia Utambuzi wa MRN wa HIPAA na mifumo mahususi ya hospitali. Kwa muundo wa zero-knowledge unaoweka data ya wagonjwa nje ya mtandao, angalia PHI ya wingu inayozingatia HIPAA na muundo wa zero-knowledge.