NYPとコロンビア大学、1台のサーバー変更により患者データがGoogle上に流出

ニューヨーク・プレスビテリアン病院とコロンビア大学は、患者データをめぐるネットワークとファイアウォールを共有していた。2010年、コロンビア大学の医師が、その環境に接続された個人所有のコンピュータサーバーを無効化しようとした。

技術的な安全対策が不十分だったため、6,800人分の電子的保護健康情報（ePHI）がインターネット検索エンジンを通じてアクセス可能になった。HIPAA Journalによると、データには投薬情報や検査結果が含まれていた。

HHS OCRは2014年に両組織と和解した。NYPは330万ドル、コロンビア大学は150万ドルを支払った。この事例は、日常的なサーバー廃止作業が記録的なHIPAA和解に発展したものであり、いずれの側も共有システムを適切に把握し、リスク管理していなかったことが原因だった。

HIPAA和解金4.8百万ドル：6,800人の患者のePHIが露出した後、NYPから330万ドル、コロンビア大学から150万ドル。

提携機関は、患者記録をめぐる十分な技術的分離なしにインフラを共有していた。

ローカルサーバーの無効化が、より広範な臨床ネットワークにおけるデータ露出に影響を及ぼすことが許された。

OCRは、両組織に適切なリスク分析とリスク管理計画が欠けていたと主張した。

検索エンジンによる発見により、このプライバシー上の失敗が患者と規制当局の目に明らかになった。

共有ネットワークには共有の変更管理が必要である。境界が想定されているだけの場合、1つのローカルサーバー操作が別の機関の記録を露出させ得る。

両組織は2014年の和解後、是正措置の義務を受け入れた。このインシデントは、合弁事業や学術医療センターにとって有用な警告であり続けている。共有インフラには、明示的な所有権、資産目録、変更レビューが必要である。