Vi Phạm 1,8 Triệu Hồ Sơ NYC Health Trong Số Các Sự Cố Mới Được HHS Ghi Nhận
Hệ thống theo dõi vi phạm của Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ đã bổ sung một số vụ vi phạm dữ liệu y tế nghiêm trọng vào nhật ký công khai, trong đó lớn nhất ảnh hưởng đến 1,8 triệu cá nhân liên quan đến Tập đoàn Y tế và Bệnh viện Thành phố New York. Một sự cố riêng biệt tại Trung tâm Y tế Gia đình Erie đã làm lộ hồ sơ cá nhân, y tế và tài chính của thêm 570.000 người. Cùng nhau, các sự cố này nhấn mạnh những rủi ro về quyền riêng tư trong vi phạm dữ liệu y tế đang ngày càng dai dẳng và gia tăng mà hàng triệu người Mỹ phải đối mặt mỗi khi họ tương tác với một nhà cung cấp dịch vụ y tế.
Những Gì Hệ Thống Theo Dõi Vi Phạm HHS Tiết Lộ Về Các Sự Cố Này
Cổng thông tin vi phạm HHS, được duy trì theo Quy tắc Thông báo Vi phạm của HIPAA, hoạt động như một sổ cái công khai ghi lại các sự cố dữ liệu y tế quan trọng ảnh hưởng đến 500 người trở lên. Khi các mục mới xuất hiện, điều đó báo hiệu rằng các tổ chức bị ảnh hưởng đã hoàn thành nghĩa vụ báo cáo bắt buộc của họ, đôi khi nhiều tháng sau khi vụ vi phạm ban đầu xảy ra.
Mục nhập của Tập đoàn Y tế và Bệnh viện NYC đáng chú ý vì hai lý do: quy mô đồ sộ và nguồn gốc của nó. Vụ vi phạm không xuất phát từ một cuộc tấn công trực tiếp vào hệ thống bệnh viện mà từ việc xâm phạm một nhà cung cấp bên thứ ba. Trung tâm Y tế Gia đình Erie, một trung tâm y tế có đủ tiêu chuẩn liên bang phục vụ các cộng đồng có thu nhập thấp hơn ở Illinois, báo cáo rằng vụ vi phạm của họ đã làm lộ một tổ hợp loại dữ liệu đặc biệt nhạy cảm, bao gồm thông tin nhận dạng cá nhân, thông tin y tế và thông tin tài chính. Bộ ba dữ liệu đó khiến các nạn nhân đặc biệt dễ bị tổn thương trước nhiều hình thức gian lận cùng một lúc.
Tại Sao Hồ Sơ Y Tế Nguy Hiểm Hơn Hầu Hết Dữ Liệu Bị Đánh Cắp
Một số thẻ tín dụng bị đánh cắp thật phiền toái, nhưng nó có thể bị hủy trong vài phút. Hồ sơ y tế bị đánh cắp lại là một vấn đề hoàn toàn khác. Dữ liệu y tế chứa thông tin không thể thay đổi: ngày sinh, số An sinh Xã hội, số hợp đồng bảo hiểm, lịch sử chẩn đoán và hồ sơ đơn thuốc. Trên các thị trường ngầm, hồ sơ y tế đầy đủ thường có giá cao hơn nhiều so với thông tin tài chính thông thường.
Mối nguy hiểm ngày càng gia tăng vì hành vi trộm cắp danh tính y tế thường không bị phát hiện trong nhiều tháng hoặc nhiều năm. Kẻ trộm sử dụng thông tin bảo hiểm bị đánh cắp để lấy đơn thuốc hoặc khai báo bồi thường gian lận thường không để lại dấu vết tức thì trên tài khoản ngân hàng của nạn nhân. Đến khi gian lận xuất hiện thông qua một yêu cầu bồi thường bảo hiểm bị từ chối hoặc một hóa đơn y tế bất ngờ, thiệt hại đã trở nên nghiêm trọng và khó có thể khắc phục.
Hồ sơ y tế cũng tạo ra đòn bẩy cho các cuộc tấn công lừa đảo có chủ đích. Kẻ tấn công biết tên bác sĩ của bạn, các chẩn đoán gần đây và nhà cung cấp bảo hiểm của bạn có thể tạo ra các thông tin liên lạc thuyết phục, vượt qua sự hoài nghi mà hầu hết mọi người áp dụng đối với các email lừa đảo thông thường.
Cách Các Nhà Cung Cấp Bên Thứ Ba Trở Thành Mắt Xích Yếu Nhất Trong Quyền Riêng Tư Của Bệnh Nhân
Vụ vi phạm NYC Health phù hợp với một mô hình đã chi phối các sự cố bảo mật y tế trong nhiều năm. Các bệnh viện và hệ thống y tế dựa vào hệ sinh thái dày đặc gồm các nhà cung cấp phần mềm, đơn vị xử lý thanh toán, nền tảng y tế từ xa, công cụ đặt lịch hẹn và các công ty phân tích dữ liệu. Mỗi bên thứ ba trong số này nhận quyền truy cập vào dữ liệu bệnh nhân để thực hiện các chức năng theo hợp đồng của họ, và mỗi bên đại diện cho một bề mặt tấn công bổ sung mà chính tổ chức y tế không kiểm soát hoàn toàn.
Các khung pháp lý yêu cầu các đơn vị được bảo vệ phải ký Thỏa thuận Đối tác Kinh doanh với các nhà cung cấp, thiết lập các nghĩa vụ bảo vệ dữ liệu. Tuy nhiên, những thỏa thuận đó không tự động tương đương với mức độ bảo mật như nhau. Một trung tâm y tế học thuật lớn có thể có chương trình bảo mật trưởng thành trong khi nhà cung cấp phần mềm lên lịch mà họ sử dụng lại hoạt động với ít sự giám sát hơn nhiều.
Động thái này không chỉ riêng của ngành y tế. Các lỗ hổng cấp máy chủ trong các ngành công nghiệp thường xuyên làm lộ dữ liệu do các nhà cung cấp nắm giữ hơn là các tổ chức chính mà bệnh nhân hoặc khách hàng tin tưởng. Hiểu rằng dữ liệu của bạn di chuyển xa hơn nhiều so với phòng khám của bác sĩ là một phần quan trọng trong việc quản lý mức độ tiếp xúc về quyền riêng tư của chính bạn. Bạn có thể đọc thêm về cách các lỗ hổng ở cấp độ cơ sở hạ tầng ảnh hưởng đến dữ liệu ở quy mô lớn trong bài viết về lỗ hổng bỏ qua xác thực cPanel tấn công hàng chục nghìn máy chủ, minh họa cách một lỗ hổng duy nhất trong phần mềm được chia sẻ rộng rãi có thể lan rộng đồng thời qua hàng nghìn tổ chức.
Các Bước Bảo Vệ Quyền Riêng Tư Thực Tế Cho Bệnh Nhân Tương Tác Với Nhà Cung Cấp Trực Tuyến
Mặc dù bệnh nhân cá nhân không thể kiểm toán mối quan hệ của nhà cung cấp với các đối tác bên thứ ba, nhưng có những bước cụ thể giúp giảm thiểu rủi ro và cải thiện khả năng phát hiện gian lận sớm của bạn.
Thứ nhất, hãy định kỳ yêu cầu một bản sao hồ sơ y tế của bạn. Xem xét chúng cho phép bạn phát hiện các thủ thuật, đơn thuốc hoặc tên nhà cung cấp không quen thuộc có thể cho thấy ai đó đã sử dụng danh tính của bạn để nhận dịch vụ y tế. Theo HIPAA, bạn có quyền truy cập hồ sơ của mình và hầu hết các nhà cung cấp phải thực hiện yêu cầu trong vòng 30 ngày.
Thứ hai, hãy liên hệ với công ty bảo hiểm y tế của bạn và yêu cầu tóm tắt Giải thích Quyền lợi trong năm qua. Bất kỳ yêu cầu bồi thường nào bạn không nhận ra đều xứng đáng được theo dõi ngay lập tức. Nhiều công ty bảo hiểm hiện cung cấp cảnh báo theo dõi miễn phí cho hoạt động yêu cầu bồi thường bất thường.
Thứ ba, hãy cân nhắc đặt lệnh đóng băng tín dụng với cả ba cục tín dụng lớn. Hành vi trộm cắp danh tính y tế thường dẫn đến các tài khoản nợ xấu và các hạn mức tín dụng gian lận, và lệnh đóng băng ngăn chặn việc mở tài khoản mới dưới tên của bạn mà không có sự chấp thuận rõ ràng của bạn.
Thứ tư, hãy sử dụng mật khẩu mạnh và duy nhất cho bất kỳ tài khoản cổng thông tin bệnh nhân nào, chẳng hạn như những tài khoản được sử dụng để xem kết quả xét nghiệm hoặc đặt lịch hẹn. Các cổng thông tin này chứa hồ sơ cực kỳ nhạy cảm, nhưng chúng thường chỉ được bảo vệ bằng thông tin xác thực yếu mà bệnh nhân tái sử dụng trên các dịch vụ khác. Việc sử dụng một địa chỉ email riêng dành cho các tài khoản y tế cũng hạn chế phạm vi thiệt hại nếu một trong các tài khoản khác của bạn bị xâm phạm.
Cuối cùng, hãy cập nhật thông tin về môi trường pháp lý và lập pháp rộng hơn định hình cách xử lý dữ liệu của bạn. Các luật pháp ở cấp tiểu bang gần đây nhắm vào quyền riêng tư kỹ thuật số, chẳng hạn như luật xác minh độ tuổi SB 73 của Utah, phản ánh nhận thức ngày càng tăng trong giới lập pháp rằng các luồng dữ liệu trực tuyến cần có các biện pháp bảo vệ chặt chẽ hơn. Theo dõi cách các chính sách này phát triển có thể giúp bạn hiểu những biện pháp bảo vệ nào đang, và không đang, áp dụng cho thông tin của bạn.
Điều Này Có Ý Nghĩa Gì Đối Với Bạn
Việc bổ sung các vụ vi phạm này vào hệ thống theo dõi HHS là lời nhắc nhở rằng các rủi ro về quyền riêng tư trong vi phạm dữ liệu y tế không phải là giả thuyết. Hàng triệu người đã bị lộ hồ sơ nhạy cảm chỉ trong hai sự cố này, và hệ thống theo dõi ghi nhận hàng trăm sự cố mỗi năm.
Các công cụ hiệu quả nhất của bạn là giám sát, phát hiện sớm và hạn chế chia sẻ dữ liệu không cần thiết bất cứ khi nào có thể. Hãy hỏi nhà cung cấp của bạn những nhà cung cấp bên thứ ba nào nhận dữ liệu của bạn và với mục đích gì. Thường xuyên xem xét hồ sơ và sao kê bảo hiểm của bạn. Và hãy đối xử với thông tin xác thực cổng thông tin bệnh nhân của bạn với cùng mức độ nghiêm túc mà bạn áp dụng cho các tài khoản tài chính của mình. Những bước này sẽ không ngăn chặn một nhà cung cấp bị vi phạm, nhưng chúng cải thiện đáng kể cơ hội phát hiện gian lận của bạn trước khi nó gây ra thiệt hại lâu dài.
