NYP e Columbia deixam a desativação de um único servidor expor dados de pacientes no Google

O NewYork-Presbyterian Hospital e a Universidade de Columbia compartilhavam uma rede e um firewall em torno de dados de pacientes. Em 2010, um médico da Columbia tentou desativar um servidor de computador de propriedade pessoal conectado a esse ambiente.

Como as salvaguardas técnicas eram inadequadas, informações de saúde protegidas eletronicamente de 6.800 pessoas tornaram-se acessíveis por meio de mecanismos de busca na internet. Os dados incluíam medicamentos e resultados de exames, segundo o HIPAA Journal.

O HHS OCR firmou acordos com ambas as organizações em 2014: a NYP pagou US$ 3,3 milhões e a Columbia pagou US$ 1,5 milhão. O caso transformou uma desativação rotineira de servidor em um acordo de HIPAA recorde porque nenhum dos lados havia mapeado e gerenciado adequadamente os riscos do sistema compartilhado.

US$ 4,8 milhões em acordos de HIPAA: US$ 3,3 milhões da NYP e US$ 1,5 milhão da Columbia após a exposição de ePHI de 6.800 pacientes.

As instituições afiliadas compartilhavam infraestrutura sem separação técnica suficiente em torno dos registros de pacientes.

Permitiu-se que a desativação de um servidor local afetasse a exposição de dados na rede clínica mais ampla.

O OCR alegou que ambas as organizações careciam de análise de risco e planos de gestão de risco adequados.

A descoberta por mecanismos de busca tornou a falha de privacidade visível para pacientes e reguladores.

Redes compartilhadas precisam de controle de mudanças compartilhado; a ação em um único servidor local pode expor registros de outra instituição se os limites forem apenas presumidos.

Ambas as organizações aceitaram obrigações de ação corretiva após o acordo de 2014. O incidente continua sendo um alerta útil para joint ventures e centros médicos acadêmicos: infraestrutura compartilhada exige propriedade explícita, inventário de ativos e revisão de mudanças.