Le NewYork-Presbyterian Hospital et l'Université Columbia partageaient un réseau et un pare-feu autour des données de patients. En 2010, un médecin de Columbia a tenté de désactiver un serveur informatique personnel connecté à cet environnement.
Faute de garanties techniques adéquates, des informations de santé protégées électroniques concernant 6 800 personnes sont devenues accessibles via les moteurs de recherche sur internet. Les données comprenaient des médicaments et des résultats d'analyses, selon HIPAA Journal.
Le HHS OCR a conclu un règlement avec les deux organisations en 2014 : NYP a payé 3,3 millions de dollars et Columbia 1,5 million de dollars. L'affaire a transformé la mise hors service de routine d'un serveur en un règlement HIPAA record, car aucune des deux parties n'avait suffisamment cartographié et géré les risques du système partagé.
4,8 millions de dollars de règlements HIPAA : 3,3 millions de dollars de NYP et 1,5 million de dollars de Columbia après l'exposition des ePHI de 6 800 patients.
Les institutions affiliées partageaient une infrastructure sans séparation technique suffisante autour des dossiers de patients.
La désactivation d'un serveur local a pu entraîner l'exposition de données dans le réseau clinique au sens large.
L'OCR a allégué que les deux organisations manquaient d'analyses de risques et de plans de gestion des risques adéquats.
La découverte par les moteurs de recherche a rendu la défaillance de confidentialité visible pour les patients et les régulateurs.
La leçon
Les réseaux partagés exigent un contrôle commun des changements ; l'action sur un seul serveur local peut exposer les dossiers d'une autre institution si les frontières ne sont que supposées.
Suites
Les deux organisations ont accepté des obligations de mesures correctives après le règlement de 2014. L'incident reste un avertissement utile pour les coentreprises et les centres médicaux universitaires : une infrastructure partagée nécessite une propriété explicite, un inventaire des actifs et une revue des changements.
VÉRIFIEZ LES SOURCES
Les sources
- Data Breach Results in $4.8 Million HIPAA Settlements HHS Office for Civil Rights · hhs.gov ·
- Hospitals hit with record $4.8M HIPAA fine Healthcare Dive · healthcaredive.com ·
- HIPAA Violation and Data Breach Results in 4.8M Fine The HIPAA Journal · hipaajournal.com ·