El NewYork-Presbyterian Hospital y la Universidad de Columbia compartían una red y un cortafuegos en torno a los datos de pacientes. En 2010, un médico de Columbia intentó desactivar un servidor informático de su propiedad conectado a ese entorno.
Debido a que las salvaguardas técnicas eran inadecuadas, la información de salud protegida electrónica de 6.800 personas quedó accesible a través de los motores de búsqueda de internet. Los datos incluían medicamentos y resultados de pruebas, según HIPAA Journal.
La Oficina de Derechos Civiles (OCR) del HHS llegó a un acuerdo con ambas organizaciones en 2014: NYP pagó 3,3 millones de dólares y Columbia pagó 1,5 millones de dólares. El caso convirtió la retirada rutinaria de un servidor en un acuerdo récord de la HIPAA porque ninguna de las partes había mapeado ni gestionado adecuadamente el riesgo del sistema compartido.
4,8 millones de dólares en acuerdos de la HIPAA: 3,3 millones de dólares de NYP y 1,5 millones de dólares de Columbia tras la exposición de la ePHI de 6.800 pacientes.
Las instituciones afiliadas compartían infraestructura sin una separación técnica suficiente en torno a los historiales de pacientes.
Se permitió que la desactivación de un servidor local afectara a la exposición de datos en la red clínica más amplia.
La OCR alegó que ambas organizaciones carecían de análisis de riesgos y planes de gestión de riesgos adecuados.
El hallazgo por parte de los motores de búsqueda hizo visible el fallo de privacidad para los pacientes y los reguladores.
Las redes compartidas necesitan un control de cambios compartido; la acción sobre un solo servidor local puede exponer los registros de otra institución si los límites solo se suponen.
Ambas organizaciones aceptaron obligaciones de acción correctiva tras el acuerdo de 2014. El incidente sigue siendo una advertencia útil para las empresas conjuntas y los centros médicos académicos: la infraestructura compartida necesita una titularidad explícita, un inventario de activos y una revisión de cambios.
CONSULTA LAS PRUEBAS
Las fuentes
- Data Breach Results in $4.8 Million HIPAA Settlements HHS Office for Civil Rights · hhs.gov ·
- Hospitals hit with record $4.8M HIPAA fine Healthcare Dive · healthcaredive.com ·
- HIPAA Violation and Data Breach Results in 4.8M Fine The HIPAA Journal · hipaajournal.com ·