医療データ侵害統計 – 2026年版アップデート

HIPAAジャーナルでは、保健福祉省(HHS)公民権局(OCR)が自サイトで医療データ侵害の概要公表を開始した2009年10月以降の医療データ侵害統計をまとめています。

本ページは最新の医療データ侵害統計を反映するため定期的に更新されています。これらの統計とグラフは2026年9月8日に最終更新されたもので、2026年9月4日にOCRから取得した侵害データに基づいています。データの対象期間は2009年10月21日から2026年6月30日までです。最新の医療データ侵害統計と傾向を確認するために、定期的にチェックしてください。

当社の2025年医療データ侵害レポートもあわせてご覧いただけます。また、貴組織のHIPAA上の責任を理解するためのHIPAAコンプライアンスチェックリストを無料でお受け取りいただけます。

医療データ侵害統計に見るトレンド

当社の医療データ侵害統計は、OCRがサイト上でデータ侵害概要の公表を開始した2009年以降、データ侵害が一貫して増加傾向にあることを示しており、2026年に500人以上に影響する医療データ侵害が772件OCRに報告され、ピークを迎えました。

2018年から2021年にかけてはデータ侵害が急増し、サイバー犯罪者がランサムウェアを積極的に採用し、医療セクターを活発に標的にしたことで、わずか3年でデータ侵害件数が倍増しました。大幅な年次増加は2021年で一段落し、2022年から2023年にかけては約4%の増加、2024年から2025年にかけても約4%増加して、772件という大規模データ侵害の新記録が樹立されました。

今年、医療データ侵害が増加するのか、減少するのか、あるいは同水準にとどまるのかを結論づけるにはまだ時期尚早です。OCRのデータ侵害ポータルの現時点のデータによると、2026年1月1日から2026年4月30日までに252件の大規模医療データ侵害がOCRに報告されており、これは2025年の同期間と比べて9.5%少ない件数です。

なお、OCRは今年、データ侵害ポータルへのデータ公表が遅れがちになっています。これはおそらく、2025年後半に発生した過去最長の政府閉鎖の余波によるものと見られます。議会が歳出法案を可決できなかったことにより、HHSは2025年10月1日から11月12日までの43日間、ほぼ機能停止状態となり、その間データ侵害のポータルへの追加は止まっていました。以降も、ポータルへの追加は遅れが続いています。例えば、HHSの職員が閉鎖後に業務に復帰してから3か月後の2026年3月には、その月分のデータ侵害はポータルに一件も追加されませんでした。2026年6月時点でも、2026年3月分のデータ侵害はまだポータルに追加され続けています。

データ侵害件数が増加すれば影響を受ける個人の数も増えるのが道理ですが、その増加幅は非常に大きな医療データ侵害が増えたことでかなりの規模になっています。2020年から2021年にかけて、データ侵害は7.8%増加した一方、影響を受けた個人の数は同期間に73%増加しました。2021年から2022年にかけては、データ侵害件数、影響を受けた個人数ともにほぼ横ばいでしたが、その後再び被害者数が大幅に増加しました。2022年から2023年にかけては、データ侵害が約3.8%増加した一方で、影響を受けた個人数は193%以上増加しました。2023年から2024年にかけては、報告された大規模医療データ侵害が0.5%減少したものの、影響を受けた個人数は58%も急増し、単年で2億8,900万人以上に達しました。これは米国の人口の約85%に相当します。

2023年と2024年に影響を受けた個人数が急増した背景には、100万人以上の保護対象保健情報への不正アクセスを伴う「メガ・データ侵害」の増加があります。2015年にAnthem Inc.が樹立した従来の最大記録7,880万人を上回る史上最大の医療データ侵害が2024年に発生しました。医療クリアリングハウスであるChange Healthcareが、史上最悪クラスのデータ侵害に見舞われたのです。Change Healthcareのランサムウェア攻撃では、推計1億9,270万人が影響を受けたと見られています(詳細はこちら)。

2025年もメガ・データ侵害は続きました。中でも最大規模だったのは、ビジネスアソシエイトであるConduent Business Servicesで発生した事案です。影響を受けたデータの精査には数か月を要しましたが、その規模は今や明らかになっています。この事案では6,200万人以上の米国人の保護対象保健情報が漏洩し、史上3番目の規模の医療データ侵害となりました。2025年にはこのほかにも、Aflacで約1,400万人が影響を受けたメガ・データ侵害(史上5番目の規模)や、Episourceで670万人以上が影響を受けた事案が発表されています。

HIPAAでは、規模を問わずすべての医療データ侵害をOCRに報告することが義務付けられていますが、OCRが詳細を公表する義務があるのは500人以上に影響する侵害のみです。本記事の医療データ侵害統計は、500人以上に影響したデータ侵害についてOCRから取得したデータをもとに算出しています。以下の統計とグラフに含まれる侵害には、既に解決済みの案件と、OCRによるHIPAA違反の可能性に関する調査中または調査待ちの案件の両方が含まれます。

OCRは、HITECH法に基づき義務付けられた議会への報告を通じて、毎年報告される数万件の小規模データ侵害の件数と性質についても一定の知見を提供しています。小規模な侵害にもハッキング事案は含まれるものの、その大半は不正アクセス・開示事案であり、例えば1人分のPHIを誤って別人にファクス、メール、郵送してしまうといったケースです。2024年暦年分の最新の議会報告書によると、小規模データ侵害は2020年から2024年にかけて12%増加しています。

OCRがデータ侵害報告の概要を「Wall of Shame(恥の壁)」で公表し始めた2009年10月21日から2026年4月30日までの間に、7,670件の大規模医療データ侵害がOCRに報告されています。現在、936件のデータ侵害が調査中または調査待ちとして記録されています。2024年にデータをまとめた際には、未着手または未終結の調査が882件だったため、この滞留は拡大していることになります。

OCRはすべての大規模医療データ侵害を調査しなければなりませんが、データ侵害件数が一貫して増加しているため業務量が大幅に増大している一方、予算は横ばいのままです。OCRはリソースをより有効活用するため組織構造にいくつかの変更を加え、データ侵害の調査もより的を絞ったものになってきていますが、こうした変更をもってしても調査の滞留を大幅に解消するには至っていません。そのためには、OCRは議会から追加予算の承認を得る必要があります。

データ侵害の主な原因については、これまで年を追うごとに顕著な変化が見られます。2009年から2015年にかけては、医療記録や電子保護保健情報の紛失・盗難が侵害報告の大半を占めていました。デジタル記録管理への移行、電子機器のより正確な追跡、データ暗号化の普及、データ保存のためのクラウド利用の拡大が、こうしたデータ侵害の減少に大きく寄与しています。紛失・盗難事案は現在ではめったに報告されなくなりました。

不適切な廃棄事案や不正アクセス・開示事案についても減少傾向が続いていますが、後者は2025年に増加しました。こうした種類のデータ侵害が減少する一方で、ハッキングなどのIT事案は急増しています。2023年、OCRは2018年1月1日から2023年9月30日までの間にハッキング関連のデータ侵害が239%増加し、同期間のランサムウェア攻撃は278%増加したと報告しました。2019年時点では、ハッキングが報告された侵害全体の49%を占めていました。2023年には、データ侵害の79.7%がハッキング事案によるものでした。OCRは2025年分についてハッキングが占める割合のデータをまだ公表していませんが、データ侵害ポータルによれば、ハッキングとその他のIT事案を合わせると、大規模医療データ侵害の80%以上を占めています。

本記事は年次で更新していますが、グラフと表は毎月21日前後を目安により頻繁に更新しています。ただし、OCRによる侵害データの公表が遅れているため、2026年についてはやや遅延が生じています。ぜひ本ページをブックマークまたはリンクし、定期的にチェックして今年の傾向をご確認ください。

米国の史上最大級の医療データ侵害(2009年〜2026年)

これまで史上最大の医療データ侵害という不名誉な記録を長年保持していたのはAnthem Inc.でした。2015年に報告されたこのデータ侵害では、驚くべき量の患者データが盗まれました。この侵害は7,880万人に影響し、前年に樹立された610万人という記録を大きく塗り替えるものでした。2025年には、健康保険プランでさらに2件の大規模データ侵害が報告されています。Excellus Health Planでの940万件の記録侵害と、Premera Blue Crossでの1,127万件の侵害です。

Anthemのデータ侵害は医療業界に警鐘を鳴らし、データのセグメンテーションやデータ保持期間の見直しを促すきっかけとなりましたが、その記録が破られるのは時間の問題でした。その記録が塗り替えられたのは2024年で、あるランサムウェアグループが医療クリアリングハウスであるChange Healthcareのネットワークに侵入し、驚くべき量のデータを窃取しました。この単一の攻撃で、1億9,270万人が個人情報および健康情報を盗まれたことが判明しています。この壊滅的なサイバー攻撃について詳しくはこちらの記事をご覧ください。

以下の表は、史上最大規模の医療データ侵害の確認事例を示しており、現時点で判明している影響を受けた個人数を含んでいます。調査の進展や新たな漏洩データの判明に伴い、これらの数値は変更される可能性があります。

年別医療データ侵害件数

2009年から2025年までの間に、500人以上に影響した医療データ侵害が7,418件OCRに報告されました。これらの侵害により、10億人以上――正確には10億1,306万6,481人――の米国人の保護対象保健情報が漏洩または不適切に開示されたことになります。これは現在の米国人口の2.9倍以上に相当します。もし医療サービスを受けたことがある、または健康保険に加入したことがあるなら、あなたのデータもおそらく侵害されており、それも複数回に及んでいる可能性が高いでしょう。

2018年当時、500人以上に影響する医療データ侵害はおよそ1日1件のペースで報告されていました。2023年、2024年になると、そのペースは2倍以上となり、1日2件を超えるようになりました。2025年には、大規模医療データ侵害の平均報告ペースは1日あたり2.1件でした。

2024年には、1日あたり平均79万2,226人が医療データ侵害の影響を受けました。この巨大な数値は、1億9,270万人に影響したChange Healthcareのメガ・データ侵害によるものです。2025年には、影響を受けた個人の総数は減少したものの、それでも約1億3,850万人に達しました。2025年には、平均して1日あたり37万9,306人が個人情報と保護対象保健情報の侵害を受けたことになります。

年別に見る漏洩した医療記録数

個々の医療データ侵害で影響を受けた個人数には、全体として一貫した増加傾向が見られ、2015年には大幅な増加がありました。2023年に至るまで、2015年は歴史上最悪の年であり、1億1,200万件を超える記録が漏洩または不適切に開示されました。2015年が特に深刻だったのは、健康保険プランで3件の大規模なデータ侵害が発生したためです。Anthem Inc.、Premera Blue Cross、Excellusです。Anthemの侵害は同社会員の7,880万人に影響し、Premera Blue Crossの侵害は1,127万人、Excellusのデータ侵害は935万人に影響しました。これらのデータ侵害も、2024年のChange Healthcareにおけるデータ侵害と比べれば小規模と言えます。同社の侵害では推計1億9,270万人が影響を受けました。2024年で2番目に大規模な侵害はKaiser Foundation Health Planによって報告されたもので、1,340万人に影響しました。2025年に報告された上位2件の医療データ侵害は、Conduent Business Servicesによるもので6,220万人が影響を受け(史上3番目の規模)、次いでAflac Incorporatedの1,390万人でした。

年別平均/中央値の医療データ侵害規模

医療データ侵害の原因

年別医療ハッキング事案

当社の医療データ侵害統計は、ハッキングが現在では医療データ侵害の主要な原因となっていることを示していますが、医療機関はハッキング事案を検知する能力が2010年当時と比べて大幅に向上していることに留意が必要です。初期の年におけるハッキング/IT事案の件数の少なさは、ハッキング事案やマルウェア感染を検知できていなかったことも一因かもしれませんが、近年攻撃が大幅に増加していることは明らかです。2014年から2018年にかけてのハッキング事案の多くは、検知されるまでに何か月も――場合によっては何年も――かかっていました。OCRのデータではハッキングとその他のIT事案を区別していませんが、OCRは2023年の侵害の79.7%がハッキングによるものであることを確認しており、2018年から2023年にかけてランサムウェア攻撃は278%増加しました。ハッキング事案は減少しているようには見えないものの、少なくともこれほど高い増加率での増加は止まっています。

年別不正アクセス/開示事案

ハッキングと同様、医療機関はインサイダーによる侵害の検知能力も向上させています。行動検知システムを使えば、従業員が正当な業務目的なしに医療記録にアクセスするなど、インサイダーによる不正アクセスを特定できます。こうした事案には従業員のミス、過失、医療記録の詮索行為、悪意あるインサイダーによるデータ窃取が含まれます。以下2番目のグラフが示す通り、近年これらの侵害の深刻度は大幅に増しています。

その理由の一つが、ウェブサイトのトラッキング・分析技術の利用です。こうしたツールは医療機関のウェブサイトや患者向けポータルにも導入されており、ユーザーの行動を追跡しています。収集されたデータはしばしばツールを提供するサードパーティに送信されます。もし保護対象保健情報が収集され、かつそのサードパーティ提供者とビジネスアソシエイト契約が結ばれていない場合、それは報告義務のあるデータ侵害に該当します。

この種の不正開示事案は近年広く報告されるようになっており、しばしば数百万人規模に影響を及ぼしています。HIPAAトレーニングやセキュリティ意識向上トレーニングの改善に加え、医療記録へのアクセスを監視する技術の活用により、不正アクセス・開示事案の削減が進んでいますが、2025年には不正アクセス・開示事案が増加しました。

年別のPHIおよび非暗号化ePHIの紛失/盗難

当社の医療データ侵害統計は、HIPAA対象事業体とビジネスアソシエイトが、暗号化などの管理的・物理的・技術的な統制によって医療記録を保護する能力を大幅に向上させていることを示しています。デバイス上のPHIが暗号化されていれば、そのデバイスが盗まれても、復号のための認証情報まで同時に盗まれない限りデータ侵害には該当しません。さらに、現在ではデータがデバイスではなくクラウドに保存されることが多くなり、保護がより容易になっています。かつては最も一般的な医療データ侵害の一つだった紛失・盗難事案ですが、現在では月1件未満の水準まで減少しており、多くの場合、紛失・盗難に遭った電子機器ではなく紙の記録が関係しています。

年別のPHI/ePHIの不適切な廃棄

HIPAAでは、物理的であれ電子的であれ、不要になった医療データは恒久的に廃棄することが義務付けられています。PHIの不適切な廃棄は比較的まれな侵害原因であり、典型的にはシュレッダー処理に回されなかった紙の記録や、放置された紙の記録が関係しています。医療機関スタッフに対するHIPAA要件についてのトレーニング改善や、紙記録から電子記録への移行により、こうした侵害は最小限に抑えられています。2025年には、HIPAA規制対象事業体から報告された不適切な廃棄事案はわずか1件でした。

HIPAA規制対象事業体の種類別医療データ侵害

以下の表は、データ侵害を報告した事業体に基づく、OCR侵害ポータルの生データを示しています。

医療データ侵害:報告事業体別(2009年〜2026年)

上記の数値は、報告事業体に基づいて算出されています。ビジネスアソシエイトでデータ侵害が発生した場合、そのビジネスアソシエイト自身、または影響を受けた各HIPAA対象事業体のいずれかが報告することがあります。例えば2022年、電子カルテプロバイダーのEye Care Leadersがランサムウェア攻撃を受けました。この際、各対象事業体がそれぞれ個別に侵害を報告しました。HIPAAジャーナルはこの侵害報告を追跡しており、少なくとも39のHIPAA対象事業体が影響を受け、309万人以上の記録が漏洩したことが判明しています。同様に、2019年にはAmerican Medical Collection Agencyで大規模なデータ侵害が発生しましたが、これもAMCA自身ではなく各対象事業体が報告しています。この侵害では2,500万人以上が影響を受けました。HIPAA対象事業体のビジネスアソシエイトがデータ侵害を自ら報告する場合でも、その対象事業体のクライアントの中には自ら侵害を報告することを選ぶケースもあります。その結果、ビジネスアソシエイトによるデータ侵害は、医療データ侵害の分析において過小評価される傾向にあります。

以下のグラフは、データ侵害を報告した事業体ではなく、実際にデータ侵害が発生した事業体の種類について、より正確な実態を示しています。これらのグラフは、近年ビジネスアソシエイトにおけるデータ侵害がどれだけ増加しているかを明確に示しています。ビジネスアソシエイトはしばしば多数の異なる対象事業体と取引しているため、ビジネスアソシエイトでデータ侵害が発生すると、Change Healthcareの事例が如実に示した通り、膨大な量の患者記録が関与することになります。

これらのデータは、サプライチェーンの保護、製品・サービス利用前のベンダーに対するデューデリジェンスの実施、そして既存ベンダーに対するHIPAAセキュリティ規則のコンプライアンスとサイバーセキュリティの監視の重要性を浮き彫りにしています。2026年、医療サイバーセキュリティにおける最大の課題の一つは、サプライチェーンの保護です。

OCRによるHIPAA違反の和解と罰金

HIPAA違反に対する罰則は厳しいものとなり得ます。違反が数年にわたって放置されていた場合や、HIPAA規則への組織的な非遵守が認められる場合には、数百万ドル規模の罰金が科される可能性があり、HIPAAコンプライアンスは倫理面だけでなく財務面でも重要な意味を持ちます。

HIPAA違反に対する罰則体系については、以下のインフォグラフィックで詳しく説明しています。これらの金額はインフレに応じて毎年調整されます。現在の罰則金額はこちらでご確認いただけます。

年別のOCRによる和解・罰金の推移

HIPAA罰金・和解に関する詳細情報は、2008年以降にOCRが科したすべてのHIPAA違反罰金を掲載している当社のHIPAA違反事例ページでご覧いただけます。以下のグラフが示す通り、HIPAAの執行活動はこの14年間で着実に増加しており、2022年には22件の罰則が科されて過去最多の年となりました。

2020年におけるHIPAA違反罰則の大幅な増加は、主にOCRによる新たな執行イニシアチブ――HIPAAアクセス権(患者が自身の医療データにアクセスし、そのコピーを入手する権利)の非遵守を取り締まるもの――によるものです。2020年には、患者に医療記録への迅速なアクセスを提供しなかった事案を解決するため、医療提供者との間で11件の和解が成立し、2021年には、科された14件の罰則のうち2件を除くすべてがHIPAAアクセス権違反によるものでした。このイニシアチブが開始された2019年9月以降、OCRはHIPAAアクセス権違反の解決のために50件を超える罰則を科しています。

2023年にはHIPAA執行活動が一時的に減少しましたが、2024年と2025年には執行措置が増加しました。OCRは500人以上に影響するすべての侵害を調査し、それがHIPAA規則への非遵守に起因するものかどうかを評価します。OCRはまた、一部の小規模な侵害やHIPAA違反の可能性に関する苦情も調査します。調査には時間がかかり、和解は比較的迅速にまとまることもある一方、調査結果に異議が唱えられた場合には、HIPAA案件の解決に何年もかかることがあります。

OCRの執行措置は、2009年以降インフレ率に応じてしか増額されていない予算によって制約を受けています。OCRの業務量は大幅に増加し、リソースに負担がかかっています。例えば、データ侵害は2018年から2021年にかけて倍増以上となりましたが、OCRは執行活動から得た資金以外に追加予算を受けていません。OCRは調査すべきHIPAA案件を大量に抱えていますが、より的を絞った調査によってこれに対処しようとしています。ハッキング事案の調査は現在、HIPAAセキュリティ規則の中で最も一般的に指摘される違反であるリスク分析条項に焦点を当てて行われています。セキュリティ規則遵守のこの側面に焦点を絞ることで、OCRはより迅速に調査を終結させることができ、これによりデータ侵害案件の大きな滞留の削減に役立つとともに、リスク分析の不備についてHIPAA規制対象事業体の責任を追及することも可能になります。2026年1月31日時点で、OCRはこの執行イニシアチブのもと、リスク分析の不備によるHIPAA違反として金銭的罰則を伴うハッキング事案の調査を11件終結させています。

OCRはHIPAA対象事業体とビジネスアソシエイトにどれだけの罰金を科してきたのか?

罰則・和解件数の増加に加え、罰則金額も2015年から2018年にかけて大幅に増加しました。2018年には、HIPAA違反史上最高額の罰則をAnthem Inc.が支払いました。これは、2015年に発生した7,880万件のデータ侵害の調査中にOCRが発見した、HIPAAセキュリティ規則の潜在的な違反を解決するためのものでした。Anthemは1,600万ドルを支払って和解しました。2020年には、Premera Blue Crossが約1,050万人分のPHIに関する2015年のデータ侵害を巡って発見されたHIPAA規則の潜在的違反を解決するため、685万ドルの罰金を支払って和解し、2021年には、約940万人分のPHIに関する2015年のデータ侵害の一因となったHIPAA違反を解決するため、Excellus Health Planとの間で500万ドルの和解が成立しました。

大規模な罰金は今も引き続きHIPAA違反解決のために科されていますが、近年はより小規模な罰則が科される傾向にあり、それらはあらゆる規模の医療機関に対して科されています。小規模な医療機関がHIPAA罰金を免れるという状況ではもはやなくなっています。2022年には、OCRが科した罰則の55%が小規模な診療所に対するものでした。

近年のOCRの執行活動による収入減少は、HITECH法の文言――HIPAA違反に対する罰則の引き上げを求めるもの――をOCRが再検討したことに起因しています。OCRは、当時HITECH法の文言が誤って解釈されていたと判断し、4段階ある罰則区分のうち3段階について上限額を引き下げました。OCRは現在、民事金銭罰則の抑止効果を高め、HIPAA規制対象事業体にサイバーセキュリティとHIPAAトレーニングへのより多くの資源投入を促すため、罰則上限の引き上げを議会に求めています。

HHSの予算削減により、2018年はHIPAA対象事業体への罰金が過去2年よりも少なくなると予想されていましたが、実際にはそうなりませんでした。2018年は、それまでの最高記録であった2016年の2,350万5,300ドルを22%上回る、HIPAA罰金・和解の記録的な年となりました。OCRは2018年、HIPAA規則に違反したHIPAA対象事業体とビジネスアソシエイトから総額2,868万3,400ドルの支払いを受け、2020年には19件の和解が成立し、執行活動が大幅に増加しました。2021年には罰則件数が減少したものの、2022年には罰則が増加し、OCRはこれまでで最多となる22件の金銭罰則を発表しました。2023年には執行措置が減少しましたが、罰則額は増加しました。OCRは、違反対象がHIPAA条項1件のみであることが多く比較的罰則額の低いHIPAAアクセス権違反に注力していましたが、2023年にはHIPAAセキュリティ規則違反に対する罰則をより多く科しており、これは対象事業体がセキュリティ規則の複数の側面に違反していたため、より高額な罰則となったものです。2024年には、OCRは16件のHIPAA調査を金銭罰則付きで終結させ、2025年には執行が増加し21件の罰則が科されました。

2026年もOCRはHIPAAアクセス権の執行イニシアチブを継続する見込みですが、HIPAA対象事業体がこの罰則を認識し、このプライバシー規則条項への完全遵守を徹底するようになったことで、科される罰則の件数は減少しています。リスク分析の執行イニシアチブも継続される見込みで、OCR局長は今年、このイニシアチブがリスク管理も対象に含める形で発展することを確認しています。なお、2025年にはOCRが侵害通知規則違反に対して複数の罰金を科したことにも言及しておく必要があります。

OCRによるHIPAA違反罰則(2008年〜2026年)

*2021年、控訴の結果、HHS公民権局がUniversity of Texas MD Anderson Cancer Centerに科した民事金銭罰則は取り消されました。

州司法長官によるHIPAA罰金およびその他の医療機関に対する金銭罰則

州司法長官は、HIPAA規則違反についてHIPAA対象事業体とそのビジネスアソシエイトに対して訴訟を提起することができます。罰則額は、HIPAA違反1件あたり100ドルから、違反カテゴリーごとに年間最大2万5,000ドルの範囲です。

これまでHIPAA違反に対して罰則を科してきた米国の州はごく一部でしたが、2019年に状況が変わりました。多くの州司法長官が、大規模なデータ侵害を経験しHIPAA規則を遵守していないことが判明したHIPAA対象事業体とビジネスアソシエイトに対する複数州合同の訴訟に参加するようになったのです。

以下に示す罰則は、州司法長官がHIPAA違反および州法違反に対して科したものです。対応するHIPAA違反があっても、州法違反のみを理由に罰則が科されるケースは一般的です。

州司法長官によるHIPAA罰金(2008年〜2026年)

詳細情報は州司法長官によるHIPAA執行をクリックしてご覧ください。

連邦取引委員会(FTC)による罰金と罰則

2009年、連邦取引委員会(FTC)は、個人健康記録のベンダーおよび関連事業者に対し、非保護情報が関与する侵害発生時に消費者への通知を義務付ける新しい規則を公表しました。FTC健康侵害通知規則は、HIPAAの対象とならない識別可能な健康情報にのみ適用されます。この規則は、HIPAA対象事業体やビジネスアソシエイトには適用されません。それらはHIPAA侵害通知規則に基づく報告義務を負っているためです。

FTCは2021年、遵守状況の積極的な執行を開始する意向を示す方針を発表しました。2023年以前は、侵害通知義務違反に対して金銭罰則が科されたことはありませんでしたが、2023年2月にそれが変わりました。

医療データ侵害統計に関するFAQ

医療セクターのデータ侵害件数は他のセクターと比べてどうか?

医療セクターのデータ侵害件数は他のセクターと比べて芳しくありません。2015年から2022年までのPrivacy Rightsデータベースに記録されたデータ侵害を分析したところ、記録されたすべてのデータ侵害のうち32%が医療セクターで発生しており、これは金融・製造業セクターで記録された件数のほぼ倍に相当します。

なぜ医療セクターは他のセクターよりもデータ侵害がはるかに多いのか?

医療セクターが他のセクターよりもデータ侵害がはるかに多い理由は、医療データがブラックマーケットにおいて他のどんな種類のデータよりも価値が高いためです。これは、医療詐欺が発覚するまでに時間がかかり、盗まれたデータをより長期間悪用できるためです。例えば盗まれたクレジットカードであれば、侵害が発覚した時点ですぐに利用停止できるのとは対照的です。

また、医療セクターの組織は他のセクターと比べて侵害通知の要件がより厳格であることも一因です。特定の種類の侵害(例えばランサムウェア攻撃)は、データが漏洩したことが立証できなくても報告が義務付けられています。近年のランサムウェア攻撃の増加も、医療データ侵害統計に影響を与えている可能性があります。

侵害件数と侵害規模の中央値が増加しているにもかかわらず、なぜ2018年以降平均HIPAA罰則額は減少しているのか?

侵害件数と侵害規模の中央値が増加しているにもかかわらず、平均HIPAA罰則額が2018年以降減少しているのは、公民権局(OCR)が近年、患者が30日以内にPHIへのアクセスを得られるようにする「アクセス権」に関する非遵守を取り締まるイニシアチブを実施しているためです。

アクセス権違反に対する罰則は、大規模データ侵害に対するものより低額であり、これが近年の平均HIPAA罰則額の減少につながっています。ただし、OCRが科す平均HIPAA罰則額が減少している一方で、州司法長官が科す罰則額は横ばいで推移しており、FTCが科す罰金の傾向を見出すにはまだ時期尚早です。

医療従事者が許可なくPHIを開示した場合、これは医療データ侵害統計に含まれるか?

医療従事者が許可なくPHIを開示した場合、この統計は500件以上の記録が関与する侵害から構成されているため、この開示が医療データ侵害統計に現れる可能性は低いといえます。したがって、個々の許可なきPHI開示はこの数値には含まれません。ただし、この許可なき開示がOCRによって調査され、故意の懈怠に起因すると判断された場合、その後科される罰金は和解統計に含まれます。

医療機関はどのようにデータ侵害を軽減できるか?

医療機関はさまざまな方法でデータ侵害を軽減できます。最も効果的な方法は、保護対象保健情報を暗号化し、データ侵害攻撃が発生した際に使用不能、読み取り不能、または解読不能な状態にしておくことです。これにより、データが漏洩することなく、公民権局への報告も不要になります。

その他の対策としては、特権アカウントに二要素認証を導入し認証情報窃取の影響を軽減すること、すべてのストレージボリューム(クラウド・オンプレミス問わず)に適切な権限が設定されているかを確認すること、ネットワーク接続をチェックして許可されていないオープンポートがないか確認すること、回避策として構築されたシャドーIT環境を排除することなどが挙げられます。

フィッシング攻撃の成功はHIPAA侵害報告書にどのように記録されるか?

フィッシング攻撃の成功は、HIPAA侵害報告書には「ハッキング/ITインシデント」として記録されます。ただし、ランサムウェア攻撃やマルウェアに起因する事象など他のサイバーセキュリティインシデントも同じくハッキング/ITインシデントに分類されるため、500人以上に影響したフィッシング攻撃の成功件数を正確に把握することはできません。

なぜHHSはHIPAAデータ侵害が発生するたびにすべての対象事業体に罰金を科さないのか?

HHSがHIPAAデータ侵害発生時にすべての対象事業体に罰金を科すわけではないのは、すべてのデータ侵害がHIPAA違反に起因するわけではないためです。例えば、ランサムウェア攻撃が成功した場合、PHIが漏洩していなくても、またバックアップからシステムを迅速に復旧できた場合でも、一定期間PHIが利用不能になったという理由から報告義務のある事象となります。

HIPAAコンプライアンスへの意識が高まっているにもかかわらず、なぜHIPAA違反の件数は増加しているのか?

HIPAAコンプライアンスへの意識が高まっているにもかかわらずHIPAA違反件数が増加しているのは、医療データのデジタル化が進み、サイバー攻撃が高度化しているためです。HIPAAコンプライアンスへの意識向上が、紛失や盗難によるドライブ・デバイス起因のHIPAA違反の減少に寄与しているという見方がある一方、クラウドコンピューティングの普及により、対象事業体が暗号化されていないPHIをドライブやデバイスで運搬する機会自体が減っているという反論もあります。

HIPAA対象事業体はビジネスアソシエイトに起因するデータ侵害を防ぐため、どうサプライチェーンをより安全に保てるか?

HIPAA対象事業体がビジネスアソシエイトに起因するデータ侵害を防ぐためサプライチェーンをより安全に保つには、各ビジネスアソシエイトに対するより徹底したデューデリジェンスを実施することが有効です。多くの対象事業体は、各ビジネスアソシエイトがデータ侵害防止のために講じている対策、ビジネスアソシエイトの従業員に対するトレーニング、PHI伝送に用いる通信経路のセキュリティを調査するのではなく、「誠実な保証」に頼っているのが実情です。

医療データ侵害とHIPAAデータ侵害の違いは何か?

医療データ侵害とHIPAAデータ侵害の違いは、医療データ侵害が医療提供者(HIPAA対象事業体やビジネスアソシエイトであるかどうかを問わない)から許可なく医療データにアクセスされる侵害であるのに対し、HIPAAデータ侵害は、対象となる健康保険プラン、医療クリアリングハウス、医療提供者、あるいは対象事業体に代わってサービスを提供するビジネスアソシエイトから、保護対象保健情報(財務情報を含む場合がある)が侵害されることを指す点にあります。

したがって、医療データ侵害とHIPAAデータ侵害を区別するのは、データの性質(すなわち医療データ対、医療・決済・その他の保護対象データ)だけでなく、許可なくデータにアクセスされた組織の立場(対象または非対象の医療提供者対、HIPAA対象事業体またはビジネスアソシエイト)でもあります。この違いは微妙に見えるかもしれませんが、侵害通知の要件、規制当局、データ侵害に対する罰則に影響を及ぼす可能性があります。