纽约长老会医院与哥伦比亚大学因一次服务器变更导致患者数据暴露在谷歌上

纽约长老会医院和哥伦比亚大学围绕患者数据共享同一网络和防火墙。2010年，哥伦比亚大学的一名医生试图停用一台接入该环境的个人所有计算机服务器。

由于技术防护措施不足，6,800人的电子受保护健康信息（ePHI）可通过互联网搜索引擎被访问。据《HIPAA Journal》报道，这些数据包括用药信息和检验结果。

美国卫生与公众服务部民权办公室（HHS OCR）于2014年与两家机构达成和解：纽约长老会医院支付330万美元，哥伦比亚大学支付150万美元。此案将一次例行的服务器退役操作变成了创纪录的HIPAA和解案，因为双方都未对共享系统进行充分的梳理和风险管理。

HIPAA和解金共计480万美元：在6,800名患者的ePHI暴露后，纽约长老会医院支付330万美元，哥伦比亚大学支付150万美元。

这两家关联机构共享基础设施，但围绕患者记录缺乏足够的技术隔离。

一次本地服务器的停用竟能影响更广泛临床网络中的数据暴露。

OCR指控两家机构均缺乏充分的风险分析和风险管理计划。

搜索引擎的发现使这一隐私泄露事件为患者和监管机构所知。

共享网络需要共享变更控制；如果边界只是假设存在，一次本地服务器操作就可能暴露另一家机构的记录。

2014年和解后，两家机构均接受了整改行动义务。该事件对合资企业和学术医疗中心仍是一个有益的警示：共享基础设施需要明确的所有权、资产清单和变更审查。