NYP와 컬럼비아, 서버 한 대 변경으로 환자 데이터가 구글에 노출되다

뉴욕-프레스비테리언 병원과 컬럼비아 대학은 환자 데이터를 둘러싼 네트워크와 방화벽을 공유했습니다. 2010년 컬럼비아의 한 의사가 해당 환경에 연결된 개인 소유 컴퓨터 서버를 비활성화하려 했습니다.

기술적 보호 조치가 미흡했기 때문에 6,800명의 전자 보호 건강 정보(ePHI)가 인터넷 검색 엔진을 통해 접근 가능해졌습니다. HIPAA Journal에 따르면 해당 데이터에는 약물 정보와 검사 결과가 포함되어 있었습니다.

HHS OCR은 2014년 두 기관과 합의했습니다. NYP는 330만 달러를, 컬럼비아는 150만 달러를 지불했습니다. 이 사건은 일상적인 서버 폐기 작업이 기록적인 HIPAA 합의로 이어진 사례가 되었는데, 양측 모두 공유 시스템을 충분히 파악하고 위험을 관리하지 못했기 때문입니다.

HIPAA 합의금 480만 달러: 6,800명 환자의 ePHI가 노출된 후 NYP가 330만 달러, 컬럼비아가 150만 달러를 지불했습니다.

제휴 기관들은 환자 기록에 대한 충분한 기술적 분리 없이 인프라를 공유했습니다.

로컬 서버 비활성화가 더 넓은 임상 네트워크의 데이터 노출에 영향을 미치도록 허용되었습니다.

OCR은 두 기관 모두 적절한 위험 분석과 위험 관리 계획이 부족했다고 주장했습니다.

검색 엔진을 통한 발견으로 인해 이 프라이버시 실패가 환자와 규제 당국에 가시화되었습니다.

공유 네트워크에는 공유된 변경 통제가 필요합니다. 경계가 당연하다고 가정만 하면 한 로컬 서버 작업이 다른 기관의 기록을 노출시킬 수 있습니다.

두 기관은 2014년 합의 이후 시정 조치 의무를 수용했습니다. 이 사건은 합작 투자와 대학 의료 센터에 유용한 경고로 남아 있습니다. 공유 인프라에는 명확한 소유권, 자산 목록 및 변경 검토가 필요합니다.