介绍
数据泄露对信息技术用户来说是毁灭性的威胁。与其他行业相比，医疗保健行业的数据泄露事件频繁且代价高昂。健康数据泄露是指未经允许使用或披露受保护的健康信息。1它大致分为盗窃、丢失、未经授权的访问/披露、不当处置和黑客攻击，且类别不互斥。1过去十年，美国的医疗机构与数据泄露相关的平均成本最高。2 2021 年，医疗保健提供者和健康计划向美国卫生与公众服务部民权办公室 (OCR) 报告了 714 起医疗保健数据泄露事件，影响了超过 4000 万个人的记录。1, 3对于组织而言，2001 年至 2022 年间，医疗数据泄露造成的平均损失为 1,010 万美元。

《经济和临床健康健康信息技术 (HITECH) 法案》(2009)，特别是医疗保险和医疗补助电子健康记录 (EHR) 激励计划4促进了健康信息技术的采用。到 2019 年，几乎所有非联邦急症护理医院都采用了 EHR，在 2019 年国家卫生信息技术协调员办公室 (ONC) 调查中，96% 的医院报告了任何 EHR 使用情况，86% 的医院报告了 2015 版认证的 EHR 使用情况–2021 年。5 HITECH 还包括改善个人健康记录的隐私和安全的规定3通过要求医疗保健提供者、健康计划和商业伙伴向这些个人和卫生与公众服务部 (HHS) 报告影响超过 500 人的受保护健康信息泄露事件，加强了医疗保健数据泄露的通知。1自 2009 年以来报告的数据泄露事件均发布在公共网络数据库中，以告知消费者和患者。

尽管行业和监管机构做出了努力，医疗保健组织仍然不断遭遇数据泄露。根据医疗信息和管理系统协会 (HIMSS) 2021 年调查，超过 67% 的受访组织在过去 12 个月内经历过重大数据泄露。7具体而言，医院在过去十年中卷入了一些最大规模的数据泄露事件，导致数百万条个人记录被泄露。

先前的研究调查了安全投资与数据泄露之间的关系，探讨了组织投资安全的动机。组织拥有对其运营至关重要的数据和信息资产。特别是医疗保健组织处理受保护的健康信息，这对恶意行为者来说很有价值。10犯罪学和威慑理论表明，通过预防性安全投资和对恶意行为的惩罚，可以阻止恶意行为者的数据泄露（假设是合理的）。11 – 13该文献延伸至常规活动理论 (RAT)，该理论强调组织作为数据和信息资产守护者的角色，以防御理性的恶意行为者。

RAT 提供了一个框架，用于了解医疗保健组织保护其资产和避免监管处罚的动机。医疗保健组织必须遵守 HIPAA 法规，该法规将对违规组织采取纠正措施。14民权办公室可以对违规组织进行为期三年的监督，以监督纠正措施的实施，包括处罚以及系统、政策和程序的修订。

检验信息技术 (IT) 安全投资对数据泄露影响的实证研究表明，IT 安全投资通过调解和调节组织因素与数据泄露相关。11 , 15 – 17这些研究重点关注 IT 安全投资对数据泄露的影响。然而，很少有研究探讨数据泄露对 IT 安全投资的影响。数据泄露后医院护理质量的下降表明，检查医院数据泄露的财务影响至关重要。

数据泄露补救措施与医院质量呈负相关，即与心电图发生率较慢以及 30 天急性心肌梗死死亡率较高。

数据泄露导致的医疗 IT 系统中断可能会扰乱或延迟医疗保健提供者的工作流程，从而降低医院效率。此外，被入侵的医院可能面临民权办公室的调查、罚款和数年的监控。3因此，OCR 要求的违规补救（卫生 IT 系统的变更和员工培训）可能需要一些时间才能完成，而 OCR 的这种监督本身可能会降低医院的效率。

与数据泄露相关的重大中断和成本会对医院 IT 投资产生影响。尽管医疗 IT 旨在通过减少错误来提高医院质量，但20-22家医院在进行对医院服务管理至关重要的持续 IT 投资时需要考虑与修复数据泄露相关的成本。
我们通过使用准实验设计分析数据泄露与医院 IT 安全投资之间的关系来解决文献中的这一空白。评估数据泄露对医院 IT 安全投资的影响是对文献的新颖贡献。使用 RAT 框架，我们假设遭到破坏的医疗保健组织将进行 IT 安全投资来保护患者数据、阻止恶意行为者并防止安全故障。

此前对医院数据泄露和 IT 支出的研究是在 2017 年之前使用州级数据进行的，当时黑客和 IT 事件造成的泄露不太常见。10 , 15 , 16最近黑客和 IT 事件的增加引起了医院的严重担忧，因为它们往往更具破坏性。17 , 18本文通过使用最近的全国代表性医院数据探讨数据泄露对医院的影响，为文献做出了贡献，这反过来又为医院管理者和政策制定者提供了及时的见解。

材料和方法
我们利用 HHS 收集的有关违规行为的报告信息来创建 2017 年至 2019 年医院年度观察结果的汇总样本。根据 ICMJE 指南，患者同意不适用于本研究。这项研究不涉及人类受试者，所有数据均来自公开来源。我们使用平均治疗效果 (ATE) 模型23和倾向评分匹配 (PSM) 来估计与违规医院相关的 IT 投资变化，并控制医院特征和财务变量。

为了评估政策变化对两组的影响，简单或回归调整的比较可能会导致估计偏差，因为两组之间未观察到和不受控制的差异所产生的遗漏变量。这是估计治疗效果的一个关键问题。因此，随机试验用于解决评估治疗效果时遗漏的变量偏倚。然而，如果没有实验或随机试验，可以使用在其他州观察到的潜在结果框架来观察遗漏变量偏差和治疗效果之间的联系。因此，潜在结果框架已成为许多领域非实验和实验研究的概念。

使用潜在结果框架的一种常用统计技术是匹配和回归。27匹配与回归类似，因为它假设遗漏变量的唯一来源是观察到的协变量集。然而，与回归不同的是，治疗效果是通过将受试者与相同协变量进行匹配来构建的，而不是使用线性模型来衡量协变量的效果。此外，匹配的假设比回归更弱；协变量对因变量的影响不一定是线性的。

AHA 提供了一组丰富的变量来控制潜在的混杂变量。HC代表医院特征，例如教学状况、病例组合指数 (CMI)、医院不成比例份额 (DSH) 付款、工资指数、人口普查局部门（地铁、微型和农村医院）以及许可床位数量。HF代表医院财务变量，例如患者总收入、总费用和总资产。

是控制变量的系数向量。yr是年份固定效应。标准误差解释了医院层面的聚类情况。使用 Stata 统计软件 17. 30进行分析
数据泄露和 IT 投资之间的关系可能会因医院特征而变得混乱。例如，大型教学医院更有可能遭遇数据泄露，因为它们有更多的员工处理设备和数据。31由于违规医院和对照医院之间存在明显差异，PSM 调整了潜在的样本选择偏差。32 – 34此外，与数据泄露相关的财务、法律和声誉成本应该会阻止医院故意泄露数据，2 , 3这会减轻对内生性的担忧。
数据
AHA 年度调查对 6500 多家成员医院进行了调查。AHA 数据库已被政府机构、决策者、媒体和行业广泛使用以进行及时分析，并在卫生 IT 文献中被广泛引用。35 AHA 数据库提供医院特征数据，包括位置、规模、结构和人员。此外，AHA 数据还提供来自损益表和资产负债表的财务和健康 IT 数据，包括收入、资产、负债、健康 IT 投资和人工费用。

HHS 泄露数据提供了有关被泄露医院、泄露日期和泄露类型的信息，包括盗窃、未经授权的访问/披露、黑客和 IT 事件、不当处置和丢失。6 HHS 违规数据仅提供影响超过 500 人的大型违规数据。下面进一步讨论该数据限制。

根据 ICMJE 指南，患者同意不适用于本研究。这项研究不涉及人类受试者，所有数据均来自公开来源。

本研究使用医院名称、地点和年份合并了 HHS 违规数据和 AHA 调查数据。我们的研究样本汇集了 2017 年至 2019 年的短期急症综合医院，这是公众可以获得的最新数据，包括 IT 相关支出，如 IT 运营费用、IT 资本费用、聘用的 IT 员工数量以及 IT 员工数量。外包 IT 人员。

我们的分析主要集中在我们根据 AHA 定义的社区医院。35在美国，绝大多数医院（占 80% 以上）都属于社区医院。35这一重点与患者和政策制定者尤其相关。相反，精神科医院、康复医院和政府医院等类别的医院则表现出独特的经营特点、财务报告程序和融资机制，使其与社区医院区分开来。通过将精力集中在社区医院，我们的目标是维持财务分析的一致框架。此外，为了样本的一致性，报告期少于一年的医院被排除在外。研究样本包括 6751 家医院年度观察结果，其中 6269 家医院没有被泄露，482 家医院被泄露。虽然样本量足够小，可以进行手动匹配，但由于没有标准标识符，可能会出现错误匹配。

因变量
因变量由四个变量来衡量：IT 运营费用、IT 资本费用、雇用的 IT 员工数量和外包 IT 员工数量。IT 运营费用包括与信息技术和网络安全相关的费用，不包括部门折旧和资本租赁支付的运营费用。IT资本支出包括本年度IT和网络安全资本预算相关的支出。雇用的 IT 员工人数是 IT 部门/组织和医院工资单上雇用的全职等效 (FTE) 员工人数。外包IT人员数量为与IT相关的合同制人员。

自变量
Breach衡量医院在给定年份是否经历过数据泄露。该模型假设违规行为是一次性事件。尽管一年内可能发生多次违规行为，但我们在样本中没有观察到发生多次违规行为的医院。

控制变量
如果医院是美国医学院协会 (AAMC) 教学医院委员会 (COTH) 的成员，则会显示教学地位。36 CMI 反映了特定医院治疗的患者疾病的多样性、复杂性和严重程度。CMI 越高，表明患者情况越严重且资源密集。37 DSH 为大量低收入患者提供服务，并从医疗补助和医疗保险服务中心获得付款，以支付为未参保患者提供护理的费用。38工资指数反映了医院所在地理区域内的医院工资水平相对于全国医院平均工资水平的情况。人口普查局部门反映了地铁、微型和农村医院的位置。许可床位数量是国家许可（发证）机构核定的数量。费用总额是医院正常运营过程中发生的费用。患者总收入是住院患者总收入和门诊总收入的总和。最后，总资产是流动资产、固定资产和其他资产的总和。

结果
描述性统计
图1绘制了2017年至2019年按类型划分的医院数据泄露趋势。2017年发生53起泄露事件，2018年发生41起泄露事件，2019年发生61起泄露事件，总体呈上升趋势。未经授权的访问是历年来最常见的泄露类型，2017 年发生 28 起泄露事件，2018 年发生 21 起泄露事件，2019 年发生 30 起泄露事件。值得注意的是，黑客和 IT 事件从 2017 年和 2018 年的 13 起泄露事件增加到 2019 年的 27 起泄露事件，翻了一番2017 年至 2019 年的数量。盗窃和丢失在违规行为中不太常见。2017 年发生 8 起盗窃事件，2018 年发生 5 起盗窃事件，2019 年发生 3 起盗窃事件。2017 年发生 4 起盗窃事件，2018 年发生 2 起盗窃事件，2019 年发生 1 起损失事件。2017 年，盗窃和丢失总共发生 12 起盗窃事件。 ，但在 2019 年减少了三分之一到四个。

汇总的医院年观察结果按违规状态分为违规组或对照组（未违规）。完整样本量为 6751 个独特的医院年观察结果。违规组包括 482 家医院，对照组包括 6269 家医院。与对照组相比，被入侵组的 IT 运营支出（3,454 万美元对 1,442 万美元）是两倍多，IT 资本支出（1,018 万美元对 482 万美元）是两倍多。与对照组相比，受攻击的医院集团的雇用 IT 员工数量是对照组的两倍多（147.84 人对 67.01 人），外包 IT 员工数量几乎是对照组的两倍（15.45 人对 8.44 人）。违规组可能拥有更多床位（383.8 比 184）、更高的 CMI（1. 75 比 1.59），工资指数更高（1.00 比 0.97）。被泄露群体的患者总收入几乎是总收入的三倍（23.4 亿美元 vs. 8.638 亿美元），几乎是总支出的两倍（6.973 亿美元 vs. 2.379 亿美元），总资产的两倍多（9.637 亿美元 vs. 3.725 亿美元）对照组有。被破坏的群体更有可能位于大都市地区（83.20% vs. 58.24%）。违规组中小城市地区的医院比例为 13.28%，对照组为 18.57%。违规组农村地区医院比例为3.53%，对照组为23.19%。被破坏的群体更有可能是一家非营利性医院（78.40% vs. 64.60%）。违规组中政府医院的比例较低（17.01% vs. 25%），在违规组中，投资者拥有的医院比例较低（4.6% vs. 10.4%）。被泄露的群体更有可能是教学医院（26.56% vs. 6.57%），并且更有可能是 DSH 付款接受者（84.2% vs. 6.25%）。除所有权外，所有变量在无违规组和违规组之间均存在统计差异。

回归结果
采用标准化均差和方差比来评估匹配的有效性。每个协变量的标准化平均差异小于 0.1 表明匹配中的不平衡可以忽略不计。此外，接近 1 的方差比也表明各个协变量的分布相似。表 2显示，赛前列的变量差异较大。然而，匹配后列中变量的差异可以忽略不计，并且方差比都接近于 1，表明已经进行了适当的匹配。

使用倾向得分匹配样本进行匹配后，我们对 IT 投资的数据泄露（IT 运营费用、IT 资本费用、雇用的 IT 员工数量和外包 IT 员工数量）进行了回归，并控制了医院特征（所有权、教学状况） 、CMI、DSH支付状况、工资指数、城市状况和许可床位数量）以及医院财务变量（患者总收入、总费用和总资产）。

表 3显示了 ATE 的回归系数估计值。数据泄露与人员配备的统计显着增加有关。由于对因变量进行了对数转换以解决偏度问题，因此对系数进行求幂以将其解释为乘法变化。

在所有其他条件相同的情况下，遭到破坏的群体与 雇用的 IT 员工数量增加了66.3% (exp(0.509) = 1.663， p < 0.001)。 此外，在所有其他条件相同的情况下，遭到破坏的群体与外包 IT 员工数量增加56.8% (exp(0.450) = 1.568， p < 0.001)相关。然而，被破坏的群体与 IT 运营支出 ( p  = 0.242) 或 IT 资本支出 ( p = 0.563)没有显着相关性 。

讨论
我们的研究考察了数据泄露对 IT 安全投资的影响。我们假设遭到破坏的医疗保健组织将进行 IT 安全投资以更好地保护其数据。我们的研究结果促进了对数据泄露对医院投资影响的理论理解。

2017 年至 2019 年，医院数据泄露事件有所增加。数据泄露事件的增加是由黑客和 IT 事件的增长推动的，这远远抵消了盗窃和损失的减少。

随着医院正在提高其设备的物理安全性，盗窃和丢失的减少是一个值得欢迎的变化。然而，黑客和IT事件的激增，恰逢医院勒索软件攻击的出现，这是一种更严重的黑客攻击形式，2016年39、40是医院严重关注的问题。由于法律责任和正在进行的法律案件，医院可能不愿意分享有关黑客或 IT 事件的详细信息。因此，研究人员和患者公开的细节很少。对汉考克地区医院的袭击是该组织向公众分享经验的罕见例子。41汉考克地区的经验凸显了医院在袭击后补救和恢复方面面临的挑战。
在我们的描述性分析中，从床位、IT 费用和资产来看，被入侵群体的规模要大得多。较大的组织拥有更多的用户和设备，形成攻击面。因此，这些组织更容易遭受数据泄露。违规组和对照组之间医院和财务特征的显着差异表明倾向评分匹配是调整可观察差异的适当策略。

估算数据泄露对 IT 安全投资的 ATE 的实证模型发现，被泄露的医院与较高的 IT 劳动力投资相关，这表明被泄露的医院在泄露后采取了补救措施来修复损害。回归结果显示，数据泄露与雇用 IT 员工数量和外包 IT 员工数量的统计显着增加相关。遭到入侵的医院可以通过雇用更多 IT 员工来弥补 IT 中断。

在现有知识的背景下，2017-2019 年违规行为与 IT 劳动力投资之间的这种短期关联与之前仅使用 2012-2016 年数据发现长期关联的研究形成鲜明对比。42数据泄露对医院造成冲击；因此，针对违规行为的响应工作可能需要超出正常运营所需的 IT 人员配置。卫生 IT 劳动力短缺在过去可能是一个障碍。43 – 45然而，这项研究的结果表明，近年来 IT 劳动力市场可能已经扩大，以满足违规带来的需求冲击。

我们的研究与之前的研究 (Lee, Choi 2021) 不同，我们调查中使用的数据集存在显着差异。首先，我们使用了更广泛的数据集，包含美国医院协会 (AHA) 的 6751 个医院年数据，而早期的研究主要关注加州医院数据，仅限于 2012 年至 2016 年的 2610 个医院年。此外，我们的数据集还包含与之前研究中使用的相对较早的时间范围相比，最近几年的时间范围为 2017 年至 2019 年。我们的分析方法也与之前的研究不同。我们采用了结合 ATE 和 PSM 的方法框架来减轻未观察变量的影响。相比之下，之前的研究依靠双重差分（DID）设计来分析数据。

我们的研究结果为寻求提高 IT 安全性的医院管理者和政策制定者提供了实际应用。鉴于黑客和 IT 事件的增加，医疗保健组织应认真考虑投资 IT 安全。对数据泄露的短期响应需要更高的 IT 劳动力投资。2015 年《网络安全法案》(CSA) 引入了 405(d) 计划，以增强医疗保健和公共卫生部门的网络安全。该计划提供有关网络安全最佳实践的指导，以提高意识和缓解风险。网络安全实践包括制定事件响应计划、人员培训以及保护流程和技术的开发和实施。46全面的事件响应计划对于快速有效地解决安全威胁和漏洞至关重要。

值得注意的是，医疗保健组织传统上对网络安全采取反应性方法，因为网络安全投资是为了应对违规或监管要求而进行的。医院在投资安全投资时必须考虑政治或监管决策以及经济决策。47 – 50由于缺乏领导力或资源，组织往往会采取被动的方法来发展网络安全。

医疗保健组织应努力加强其主动的网络安全策略。主动投资旨在防止违规和攻击。人们发现，在医疗保健安全方面，主动投资比被动投资更具成本效益。16与其他行业相比，医疗保健行业的网络安全评级一直落后。52鉴于医疗保健行业的违规行为和网络攻击越来越频繁且复杂，因此采取积极主动的方法对于制定全面战略至关重要。

违规类型存在异质性，因为黑客攻击可以归类为外部代理的违规行为，而未经授权的访问则属于内部代理的违规行为。53此类违规行为的变化可能需要不同程度的补救措施。黑客攻击和 IT 事件不太可能是医院内部特工的故意行为。黑客攻击和 IT 事件在违规行为中所占的比例较高，减轻了对模型估计中内生性问题的担忧。

然而，数据泄露与 IT 运营和 IT 资本支出无关。遭受违规的医院可能不会为了应对违规而短期改变 IT 资本支出，因为资本支出需要长期规划、融资成本高昂且难以逆转。此外，IT 实施成本，例如系统和软件设计、编码、硬件安装和测试，通常作为资本支出而不是运营支出提供资金。也就是说，通过利用 IT 系统，成本可以分摊到几年内。19因此，短期内我们可能不会观察到 IT 资本支出的增加。医疗 IT 领域的运营费用可能包括技术租赁或出租，例如云计算服务。转向云计算可能会减轻从医院到云提供商的网络安全负担。然而，过渡到云计算是资源和时间密集型的。违规行为与 IT 运营支出和 IT 资本支出之间缺乏关联，这表明医院在发生违规行为后不会对医院实体 IT 设备进行短期更改。

AHA 数据提供了有关卫生 IT 资本和劳动力的丰富且及时的数据集。然而，我们的研究仅限于分析 HHS 发布的影响 500 多人的数据泄露事件。这可能低估了实际的数据泄露情况。然而，严重的数据泄露，尤其是黑客或 IT 事件造成的数据泄露，往往会影响超过 500 人。受影响人数少于 500 人的小规模违规事件不太可能对医院造成重大影响，因此 HHS 不会公布。54
此外，我们还对治疗组（经历过违规的人）和对照组（未经历违规的人）进行了比较，但我们没有评估违规发生前后的数据。这种限制可能会给分析带来潜在的偏差。我们认识到评估时间变化将提供更全面的视角。
结论

在这项研究中，我们研究了数据泄露、医院 IT 资本和劳动力投资之间的关联。2017 年至 2019 年，医院数据泄露的构成发生了变化，医院的黑客和 IT 事件增多，但盗窃和丢失事件减少。遭到破坏的医院与分配给 IT 劳动力投资的更多资源有关。医院 IT 运营支出和资本支出对违规行为并不敏感。由于数据泄露的修复而导致的更高的 IT 劳动力投资给医疗保健系统带来了额外的负担。因此，医院管理者和政策制定者应考虑采取措施改善网络安全和保护患者数据。

我们的研究有一些局限性。首先，随着新威胁的出现，医院数据泄露和网络安全的形势正在迅速变化。我们的研究为研究人员提供了及时数据的分析，但医院调查数据发布的速度落后于网络安全的当前事件。因此，未来的研究可以通过纳入更多年的数据来建立在这项研究的基础上，这可能会导致更准确的预测和估计。此外，除了回归分析之外，还可以采用其他统计技术（例如机器学习算法）来进一步了解正在研究的现象。其次，由于其他国家的医疗保健系统和数据可用性存在差异，我们对美国医疗保健数据的分析可能无法在全球范围内推广。所以，可能有必要在其他国家进行单独的研究，以更好地了解各自医疗保健系统中数据泄露的性质。此外，考虑医疗保健政策和法规的差异如何影响其他国家数据泄露的频率和严重程度可能很重要。