NYC Health 1,8 Milyon Kayıt İhlali HHS Günlüğüne Eklenen Yeni Olaylar Arasında
ABD Sağlık ve İnsan Hizmetleri Bakanlığı ihlal takip sistemi, kamuya açık günlüğüne birkaç önemli sağlık verisi ihlali ekledi; bunların en büyüğü New York City Health and Hospitals Corporation ile bağlantılı 1,8 milyon kişiyi etkiledi. Erie Family Health Centers'ta yaşanan ayrı bir olayda ise ek 570.000 kişinin kişisel, tıbbi ve finansal kayıtları ele geçirildi. Bu olaylar bir arada değerlendirildiğinde, milyonlarca Amerikalının bir sağlık hizmeti sağlayıcısıyla her etkileşimde maruz kaldığı kalıcı ve büyüyen sağlık verisi ihlali gizlilik risklerinin altını çizmektedir.
HHS İhlal Takip Sistemi Bu Olaylar Hakkında Neler Ortaya Koyuyor?
HIPAA'nın İhlal Bildirim Kuralı kapsamında yönetilen HHS ihlal portalı, 500 veya daha fazla kişiyi etkileyen önemli sağlık verisi olaylarının kamuya açık bir kaydı işlevi görmektedir. Yeni girişlerin görünmesi, etkilenen kuruluşların zorunlu raporlama yükümlülüklerini tamamladığının —bazen orijinal ihlalin gerçekleşmesinden aylarca sonra— bir göstergesidir.
NYC Health and Hospitals Corporation girişi iki açıdan dikkat çekicidir: hem boyutu hem de kaynağı. İhlal, hastane sistemlerine doğrudan yapılan bir saldırıdan değil, üçüncü taraf bir tedarikçinin güvenliğinin ihlal edilmesinden kaynaklandı. Illinois'de düşük gelirli topluluklara hizmet veren federal düzeyde nitelikli bir sağlık merkezi olan Erie Family Health Centers ise ihlalinin; kişisel tanımlayıcılar, tıbbi bilgiler ve finansal ayrıntılar dahil olmak üzere özellikle hassas veri türlerinin bir bileşimini açığa çıkardığını bildirdi. Bu üçlü kombinasyon, mağdurları eş zamanlı olarak birden fazla dolandırıcılık türüne karşı son derece savunmasız kılmaktadır.
Sağlık Kayıtları Neden Çalınan Verilerin Büyük Çoğunluğundan Daha Tehlikelidir?
Çalınan bir kredi kartı numarası can sıkıcıdır, ancak dakikalar içinde iptal ettirilebilir. Çalınan bir tıbbi kayıt ise bambaşka bir meseledir. Sağlık verileri değiştirilemeyecek bilgiler içermektedir: doğum tarihleri, Sosyal Güvenlik numaraları, sigorta poliçe numaraları, teşhis geçmişleri ve reçete kayıtları. Yeraltı pazarlarında eksiksiz tıbbi profiller, standart finansal kimlik bilgilerinden çok daha yüksek fiyatlara çıkmaktadır.
Tıbbi kimlik hırsızlığı çoğunlukla aylarca veya yıllarca tespit edilemediğinden tehlike daha da büyümektedir. Reçete almak veya sahte sigorta tazminat talepleri oluşturmak için çalınan sigorta kimlik bilgilerini kullanan bir hırsız, genellikle mağdurun banka hesabında anında iz bırakmaz. Dolandırıcılık, reddedilen bir sigorta talebi veya beklenmedik bir tıbbi fatura aracılığıyla gün yüzüne çıktığında, hasar zaten kapsamlı bir hal almış ve geri almak güçleşmiştir.
Sağlık kayıtları aynı zamanda hedefe yönelik kimlik avı saldırıları için de bir koz oluşturmaktadır. Doktorunuzun adını, son teşhislerinizi ve sigorta sağlayıcınızı bilen bir saldırgan, çoğu kişinin genel dolandırıcılık e-postalarına uyguladığı şüpheciliği aşan, ikna edici iletişimler hazırlayabilir.
Üçüncü Taraf Tedarikçiler Hasta Gizliliğinde Nasıl En Zayıf Halka Haline Geldi?
NYC Health ihlali, birkaç yıldır sağlık güvenliği olaylarına damgasını vuran bir kalıba uymaktadır. Hastaneler ve sağlık sistemleri; yazılım satıcıları, faturalama işlemcileri, uzaktan sağlık platformları, randevu planlama araçları ve veri analizi şirketlerinden oluşan yoğun ekosistemlere dayanmaktadır. Bu üçüncü tarafların her biri, sözleşmeli işlevlerini yerine getirmek için hasta verilerine erişim almakta ve her biri sağlık kuruluşunun kendisinin tam olarak denetleyemediği ek bir saldırı yüzeyi oluşturmaktadır.
Düzenleyici çerçeveler, kapsanan kuruluşların satıcılarla veri koruma yükümlülüklerini belirleyen İş Ortağı Sözleşmeleri imzalamasını zorunlu kılmaktadır. Ancak bu sözleşmeler, otomatik olarak eşdeğer güvenlik düzeyleri anlamına gelmemektedir. Büyük bir akademik tıp merkezi olgun bir güvenlik programına sahip olabilirken, kullandığı randevu planlama yazılımı satıcısı çok daha az denetimle faaliyet gösteriyor olabilir.
Bu dinamik sağlık sektörüne özgü değildir. Sektörler genelinde sunucu düzeyindeki güvenlik açıkları, düzenli olarak birincil kuruluşların değil tedarikçilerin elinde bulunan verileri açığa çıkarmaktadır. Verilerinizin doktorunuzun ofisinin duvarlarının çok ötesine taşındığını anlamak, kendi gizlilik riskinizi yönetmenin kritik bir parçasıdır. Altyapı düzeyindeki güvenlik açıklarının verileri geniş ölçekte nasıl etkilediğini, on binlerce sunucuyu etkileyen cPanel kimlik doğrulama atlama açığına ilişkin haberimizden daha ayrıntılı okuyabilirsiniz; bu haber, yaygın olarak paylaşılan bir yazılımdaki tek bir güvenlik açığının binlerce kuruluşu aynı anda nasıl etkileyebileceğini gözler önüne sermektedir.
Sağlık Hizmeti Sağlayıcılarıyla Çevrimiçi Etkileşimde Bulunan Hastalar İçin Pratik Gizlilik Adımları
Bireysel hastalar, sağlayıcılarının tedarikçi ilişkilerini denetleyemese de, maruziyeti azaltan ve dolandırıcılığı erken tespit etme yeteneğinizi geliştiren somut adımlar mevcuttur.
İlk olarak, tıbbi kayıtlarınızın bir kopyasını periyodik olarak talep edin. Bu kayıtları incelemek, kimliğinizi kullanarak bakım almaya çalışan birinin varlığına işaret edebilecek tanımadığınız prosedürleri, reçeteleri veya sağlayıcı adlarını fark etmenizi sağlar. HIPAA kapsamında kayıtlarınıza erişim hakkınız bulunmakta olup çoğu sağlayıcının talepleri 30 gün içinde yerine getirmesi gerekmektedir.
İkinci olarak, sağlık sigortanızla iletişime geçin ve geçen yıla ait Hakediş Açıklaması özetini isteyin. Tanımadığınız her türlü talep derhal takip edilmelidir. Pek çok sigorta şirketi artık alışılmadık talep faaliyetleri için ücretsiz izleme uyarıları sunmaktadır.
Üçüncü olarak, her üç büyük kredi bürosuyla kredi dondurma işlemi yapmayı düşünün. Tıbbi kimlik hırsızlığı sıklıkla tahsilat hesaplarına ve sahte kredi limitlerinin açılmasına yol açmaktadır; kredi dondurma ise açık onayınız olmadan adınıza yeni hesap açılmasını engeller.
Dördüncü olarak, laboratuvar sonuçlarını görüntülemek veya randevu almak için kullandığınız hasta portalı hesapları gibi hesaplarda güçlü ve benzersiz parolalar kullanın. Bu portaller son derece hassas kayıtlar barındırmakla birlikte, çoğu zaman yalnızca hastaların diğer hizmetlerde de tekrar kullandığı zayıf kimlik bilgileriyle korunmaktadır. Sağlık hesapları için özel bir e-posta adresi kullanmak da diğer hesaplarınızdan birinin ele geçirilmesi durumunda hasarı sınırlandırır.
Son olarak, verilerinizin nasıl işlendiğini şekillendiren daha geniş düzenleyici ve yasal ortamı takip etmeye devam edin. Utah'ın SB 73 yaş doğrulama yasası gibi dijital gizliliği hedef alan son eyalet düzeyindeki mevzuatlar, yasa koyucular arasında çevrimiçi veri akışlarının daha güçlü güvencelere ihtiyaç duyduğuna dair artan bir farkındalığı yansıtmaktadır. Bu politikaların nasıl geliştiğini izlemek, bilgileriniz için hangi korumaların var olduğunu ve hangilerinin olmadığını anlamanıza yardımcı olabilir.
Bu Sizin İçin Ne Anlama Geliyor?
Bu ihlallerin HHS takip sistemine eklenmesi, sağlık verisi ihlali gizlilik risklerinin varsayımsal olmadığının bir hatırlatıcısıdır. Yalnızca bu iki olayda bile milyonlarca kişinin hassas kayıtları açığa çıktı; takip sistemi ise her yıl yüzlerce olayı kayıt altına almaktadır.
En etkili araçlarınız izleme, erken tespit ve mümkün olan her yerde gereksiz veri paylaşımını sınırlandırmaktır. Sağlayıcılarınıza hangi üçüncü taraf tedarikçilerin verilerinize eriştiğini ve hangi amaçlarla kullandığını sorun. Kayıtlarınızı ve sigorta bildirimlerinizi düzenli olarak inceleyin. Hasta portalı kimlik bilgilerinize finansal hesaplarınıza gösterdiğiniz ciddiyetle yaklaşın. Bu adımlar bir tedarikçinin saldırıya uğramasını engellemeyecek, ancak dolandırıcılığı kalıcı zarar vermeden önce yakalama olasılığınızı önemli ölçüde artıracaktır.
