OSFヘルスケアシステム、OCRのHIPAA調査で552,250ドルを支払い和解

OSFヘルスケアシステムとその関連対象事業体(OSF Healthcare)は、HIPAAのプライバシー規則、セキュリティ規則、および違反通知規則への違反が疑われる件について、552,250ドルの制裁金を支払うことで和解に合意しました。

OSFヘルスケアは、イリノイ州ピオリアを拠点とする統合ヘルスケアシステムで、イリノイ州とミシガン州の174拠点(16の病院を含む)で患者に医療サービスを提供しています。2021年4月23日、OSFヘルスケアは、自社ネットワーク上のファイルがランサムウェアによって暗号化されていることを発見しました。攻撃を行った脅威グループはNephilimランサムウェアの亜種を展開してファイルを暗号化し、データ漏えいを防ぐことと、暗号化されたファイルを復号する鍵を入手することと引き換えに金銭の支払いを要求しました。

フォレンジック調査の結果、2021年8月24日に、53,907人の患者の保護対象保健情報(PHI)がネットワークから窃取されていたことが判明しました。流出した情報には、氏名、運転免許証番号、診断・治療情報、処方情報、医療記録番号、担当医名、診療日、財務口座情報、健康保険情報が含まれていました。OCRへの通知は2021年10月1日に行われ、同日から個別の患者への通知書の送付が開始されました。

500人以上のPHIが関わる漏えい事案すべてに対して行われるのと同様に、OCRはHIPAA規則の遵守状況を評価するための調査を開始しました。OCRは、OSFヘルスケアが45 C.F.R. § 164.308(a)(l)(ii)(A)で義務付けられている、患者のPHIの機密性・完全性・可用性に対するリスクと脆弱性を特定するための包括的かつ正確なリスク分析を実施していなかったこと、そして53,907人の患者のPHIについて45 C.F.R. § 164.502(a)に違反する不適切な開示があったことを認定しました。

OCRはさらに、OSFヘルスケアがデータ漏えいの影響を受けた個人への通知を適時に行わず、HHS長官への通知についても、45 C.F.R. § 164.404(b)および§ 164.408(b)に違反して適時に行わなかったことを認定しました。OCRは、疑われるHIPAA違反が制裁金を科すに値するほど重大であると判断し、OSFヘルスケアシステムに調査結果と制裁金を科す意向を通知した上で、非公式に違反疑惑を解決するための和解に至りました。

和解条件のもと、OSFヘルスケアは552,250ドルの制裁金に加えて、是正措置計画を実施することに合意しており、2年間にわたりこの計画の遵守状況が監視されます。是正措置計画には、正確かつ徹底したリスク分析の実施、およびリスク分析で特定されたセキュリティ上のリスクと脆弱性に対処・軽減するためのリスク管理計画の策定と実施が盛り込まれています。

OCRのポーラ・M・スタナード局長は、次のように述べています。「正確かつ徹底したHIPAAリスク分析は法律で義務付けられているだけでなく、保健情報を保護し、ランサムウェア攻撃を防止または軽減するためにも必要です。HIPAA規制対象事業体が、自らの電子保護対象保健情報にどのような脅威や脆弱性が存在するかを把握していなければ、システムがハッキングされて初めてそれを思い知らされることになるケースが少なくありません」

OCRは今年これまでに、8件のHIPAA調査を和解によって解決し、合計2,280,250ドルの制裁金を徴収しています。今回のOSFヘルスケアとの和解は、今年これまでで最大の制裁金額となりました。8件すべての調査でリスク分析の不備が確認されており、今回は違反通知の不備を解決するための制裁金が科された2件目の事案となります。