La cyber security nella sanità italiana versa in una situazione grave. E questo anche a causa dello stato dei sistemi informatici, non sempre aggiornati, in molti ospedali. Così le conseguenze dei cyber attacchi possono essere pesanti, finanche drammatiche.
Per averne un’idea, ecco quattro storie immaginarie ma plausibili che rischiano di verificarsi nei pronto soccorso e fra le corsie ospedaliere in seguito a un attacco informatico. Ma non soltanto lì.
Indice degli argomenti
Ospedali nel mirino, quattro scenari inquietanti
Il pronto soccorso in tilt
Maria Rossi è caduta, è in stato confusionale, soffre di demenza senile ed ipertensione. Sospetta frattura del femore. Ma, avendo appena compiuto novant’anni, gli accertamenti da fare sono diversi. La figlia chiama il 118, ma le dicono subito che il pronto soccorso del maggiore ospedale cittadino è bloccato da due giorni per colpa di un ransomware. L’attacco ha cifrato i dati, bloccando 300 server e 1.500 computer. Il sito è irraggiungibile, i pazienti non urgenti sono spediti a casa, la situazione è grave. Infatti sono inaccessibili non solo i dati, ma anche i servizi.
Se mancano i minuti per salvare una vita
Mario Bianchi ha un infarto. Ha solo un’ora di tempo per salvarsi. Ma con un pronto soccorso bloccato da un cyber attacco, l’ora che serve per salvare la vita di un infartuato viene persa nel trovare una struttura in grado di accogliere il paziente. Se il sistema non può dire all’autoambulanza dove deve dirigersi in fretta, si stanno bruciando minuti preziosi nel traffico e nel dirottamento di tutte le emergenze su altri presidi ospedalieri.
Dati clinici sul web, l’assicurazione costa di più
Un altro cyber attacco, avvenuto via phishing, è riuscito a sottrarre i dati della tessere sanitaria, a trafugare nominativi degli appuntamenti dagli specialisti e perfino alcuni dati clinici. Questi dati preziosi finiscono nel dark web, in vendita al miglior offerente. Un cittadino si reca in agenzia per stipulare un’assicurazione sulla vita. Apparentemente fila tutto liscio, ma dopo alcuni giorni la società assicurativa gli propone di alzare il premio.
Grazie al furto dei suoi dati, finiti nelle mani dei cyber criminali, l’assicurazione ha scoperto che è una persona fragile o potenzialmente tale. Infatti è venuta a sapere che sta svolgendo accertamenti clinici a causa di malattie ereditarie e che la familiarità, per quel tipo di tumori, conta. L’assicurazione si scusa, ma senza giri di parole gli assegna una diversa classe di merito. A lui rimane la scelta di pagare molto di più o di rinunciare a un suo diritto: assicurarsi.
Assicurazioni sanitarie, attenti ai dati digitali: i (tanti) rischi e le tutele necessarie
Dati clinici sul web, il mutuo si complica
Tuttavia i dati sul dark web non fanno solo gola alle compagnie assicurative. Un giovane va in banca per accendere un mutuo. Prima casa, ha il morale alle stelle, si è appena laureato a pieni voti, sta finalmente entrando nella sua vita da adulto, dopo aver trovato un buon lavoro. Tuttavia non sono tutte rose e fiori. Il cyber attacco all’ospedale, dove ha fatto un esame di routine, ha disseminato i suoi dati sensibili in rete.
La banca sta per negargli il mutuo. Intanto chiede garanzie supplementari come ad esempio una fideiussione. Infatti, alla banca sono giunte informazioni che descrivono il ragazzo che sta per chiedere credito come una persona molto probabilmente dalla salute precaria. L’istituto bancario ha ottenuto elementi in grado di influenzare ed accrescere i rischi che derivano dalla concessione del mutuo o di un prestito bancario.
I rischi legati alla cyber security in sanità
Oggi gli ospedali, come tutte le aziende e infrastrutture strategiche, sono nel mirino di cyberattacchi anche di tipo ransomware, in grado di paralizzare il funzionamento di un pronto soccorso o di rendere pubblici i dati sensibili dei pazienti.
Cyber criminali senza scrupoli possono trarre profitto dai dati sanitari che potrebbero far gola a tanti soggetti: a chi ricatta per scopi finanziari, ai big delle assicurazioni, alle banche.
Senza un piano di cybersecurity in sanità si può anche morire (è già successo) o pagare molto salato un piano assicurativo o incontrare gravi difficoltà ad accedere a un mutuo presso un istituto bancario.
Ecco perché la privacy è diventata importante e allo stesso tempo gli ospedali hanno l’obbligo di mettersi in sicurezza, evitando le conseguenze fatali di un cyberattacco classico o di tipo ransomware.
I casi più clamorosi in Italia e nel mondo. Ed è tutto vero
Lo scorso agosto un attacco informatico ha colpito l’ASL Città di Torino: computer ospedalieri bloccati, gravi disagi, perfino sospeso l’esame medico per la patente.
ASL di Torino colpita da attacco informatico, molti disagi per i pazienti
A maggio il pronto soccorso del Fatebenefratelli e Sacco di Milano sono andati in tilt, provocando un allungamento anomalo dell’attesa per le visite, poi il blocco totale del portale dell’Asst (“sito irraggiungibile”), quindi il dirottamento di tutte le emergenze su altri presidi ospedalieri milanesi. La Regione Lombardia, in quell’occasione, ha spiegato che un attacco ransomware, dalla notte del primo maggio, ha paralizzato l’intero sistema gestionale del pronto soccorso degli ospedali Fatebenefratelli e Sacco, ma anche le sedi Buzzi, Macedonia Melloni e altre 33 territoriali.
Per tre lunghi giorni, fino al 3 maggio, gli ingressi dei pazienti hanno subito limitazioni e all’accettazione valeva soltanto la modulistica cartacea. I medici sono costretti ad abbandonare computer, smartphone e tablet, per riprendere in mano carta e penna. Dati che poi non è detto che verranno digitalizzati, perdendo informazioni preziose per completare una diagnosi, decidere un percorso all’insegna della prevenzione eccetera.
Il 10 settembre del 2020 è accaduto di peggio. Un cyber attacco a un ospedale tedesco, sempre di tipo ransomware, ha provocato la morte di una paziente. Sfruttando una vulnerabilità presente in un “software aggiuntivo commerciale ampiamente utilizzato”, come emerse dalle indagini, mise fuori uso i sistemi dell’ospedale universitario di Düsseldorf, affiliato all’università Heinrich Heine, oggetto dell’attacco. Il ransomware riuscì gradualmente a cifrare i dati paralizzando i sistemi dell’ospedale: 30 server crittografati.
Poiché la struttura non era in grado di accettare le emergenze, a causa del blocco informatico, la donna venne dirottata presso un’altra struttura che, distando oltre 32 chilometri, fece perdere tempo prezioso. La donna era arrivata in vita all’ospedale, ma il tragitto in più, per raggiungere l’ospedale più prossimo, a causa del blocco informatico, le è stato fatale. Morta per omicidio colposo, l’attacco ransomware.
Prima ancora c’è stata la morte di un neonato dopo il parto, avvenuto nel 2019 negli Stati Uniti. Secondo il Wall Street Journal, un ransomware aveva colpito la struttura ospedaliera a sua insaputa, ostacolando il monitoraggio. L’ospedale avrebbe dovuto dichiarare di essere sotto attacco e dunque di non essere in grado di svolgere alcune funzioni primarie. Ma non è successo e un neonato ha perso la vita.
Senza cybersecurity si può anche morire: il neonato morto negli Usa è memento per tutti noi
Il caso Careggi: su quasi un settimo delle macchine gira ancora XP
Nell’agosto 2021, un attacco di tipo ransomware ai server dell’Agenzia regionale di sanità (Ars) della Toscana ha distrutto numerosi dati epidemiologico-statistici. I backup hanno permesso di recuperare tutto e gli attaccanti non hanno sottratto alcun nessun dato. I servizi di Ars non hanno mai subito interruzioni.
“Da questo punto di vista”, commenta Paolo Campigli, direttore delle Tecnologie Informatiche dell’AO Careggi, “l’ospedale fa a capo all’Estar di Prato” che governa l’operatività quotidiana dei sistemi informativi, delle reti e dei data center delle Aziende del Servizio Sanitario Regionale.
Tuttavia “il vero problema della cybersecurity in sanità è il fattore umano”, continua Campigli, “anche se non deve diventare un alibi. Ci sono gli antivirus aggiornati, proxy e firewall, gli antispam, le protezioni in uscita con blacklist dei siti”.
Però vanno segnalate due problematiche gravi: “Su 3500 postazioni di lavoro all’Ospedale di Careggi, restano ancora 400 su cui gira ancora l’obsoleto Windows Xp – privo di update di sicurezza -, e quelli con Windows 7, presto da rottamare, sono la maggioranza. Sappiamo che è cruciale avere i sistemi operativi aggiornati, ma gli investimenti per cambiare questi Pc arriveranno solo dal Pnrr. Tuttavia è da solo due, tre anni che si è raggiunta la consapevolezza che non è possibile tenere in ospedale macchine che non ricevono gli aggiornamenti di sicurezza. Finora non c’era mai stata una sostituzione programmata”.
Inoltre “in sanità mancano gli anestesisti, ma nel nostro ufficio mancano gli ingegneri informatici, io stesso sono ingegnere elettronico. E c’è scarsa sensibilità su questi temi”.
Serve più consapevolezza
“La scarsa consapevolezza e sensibilità si tocca con mano anche sui dati sanitari”, conclude Campigli, quando “medici e sanitari, invece di usare l’account ufficiale – e protetto a norma – di posta elettronica, usano la Gmail personale: addirittura la indicano su alcuni biglietti da visita. Invece di utilizzare i sistemi crittografati, condividono dati sensibili su cartelle condivise o addirittura su Dropbox“.
Cyber security in sanità: il consiglio dell’esperto
“Per la messa in sicurezza di un’infrastruttura critica come quella di un ospedale è innanzitutto necessario comprendere il livello di esposizione alle minacce cibernetiche“, commenta Pierluigi Paganini, analista di cybersecurity e CEO Cybhorus, “il processo prevede un assessment della componente tecnologica e di quella umana“.
“È indispensabile analizzare l’infrastruttura IT alla ricerca di vulnerabilità potenzialmente sfruttabili da un attaccante. Al tempo stesso è necessario comprendere il livello di consapevolezza (awareness) del personale della struttura in materia cybersecurity. È fondamentale che il personale sia informato sulle principali minacce e sulle best practice per aumentare la resilienza della struttura. Piani di formazione opportunamente studiati sono indispensabili a tal fine. Altro aspetto da vagliare è l’implementazione di un sistema di gestione della sicurezza delle informazioni, ovvero dell’esistenza di politiche, procedure ed istruzioni condivise“, mette in guardia Paganini.
Infine, “dobbiamo considerare indispensabile l’adozione di un sistema di monitoraggio continuo della sicurezza che preveda l’adozione di servizi SoC di ultima generazione“, conclude Paganini per promuovere la cybersecurity in sanità.
Buone pratiche di cyber security in sanità
Bisogna innanzitutto adottare cyber difese, ma anche acquisire maggiore consapevolezza dei rischi perché la superficie di attacco digitale è in continua espansione. Occorre infatti imparare l’importanza del backup (evitando che gli attacchi ai dati raggiungano anch’essi), attivando meccanismi di autenticazione forte e a due fattori (per evitare il furto di credenziali) e abilitando un monitoraggio costante in grado di avvisare via Sms o notifiche di ogni operazione effettuata. In caso di anomalie, è necessario segnalare subito ed intervenire con tempestività per ridurre il danno.
Ritorno di investimento nella cyber security: l’importante è ridurre rischi e conseguenze
Come proteggersi da cyber attacchi in sanità
Ma la prevenzione è la migliore cura: adottare le best practice per rafforzare sistemi di front-end, monitorare costantemente i bollettini di sicurezza dei vendor che fanno parte della propria infrastruttura tecnologica, installare in maniera rapida e puntuale gli update di sicurezza per sistema operativo e applicazioni. La regolare esecuzione di vulnerability assessment e un costante processo di valutazione del livello di cybersecurity dei propri partner impediscono che una compromissione si ripercuota negativamente sulla propria catena di business. Il livello di sicurezza di un ecosistema, anche molto sofisticato, è pari al livello di sicurezza del proprio elemento più debole e vulnerabile.
Inoltre Microsoft sta alzando il livello di protezione degli account amministratore, preda ambita per i cyber criminali, che li attaccano per ottenere privilegi più elevati e scalare i privilegi, ricavando da remoto accessi non autorizzati attraverso attacchi di tipo forza bruta.
Come difendersi dai ransomware
I ransomware hanno la finalità di incrementare le fonti di guadagno, per esempio chiedendo riscatti in bitcoin per ripristinare i dati. Inoltre il Ransomware-as-a-Service (RaaS) permette anche a gruppi criminali, privi di competenze informatiche, di “noleggiare” il software malevolo e focalizzarsi solo sulla scelta della vittima da colpire.
In caso di attacchi ransomware, il monitoraggio è essenziale. Le aziende che se ne accorgono in tempo, reagiscono in maniera ordinata, grazie ai backup offline. Ripristinano i servizi molto velocemente e riducono il danno a zero.
Invece chi se ne accorge dopo la pubblicazione dei dati, non fa in tempo a fare recovery. La richiesta di riscatto può anche compromettere la reputazione di un ospedale, quindi la fiducia dei pazienti.
Ma la pubblicazione dei dati sanitari dei pazienti può compromettere la vita quotidiana delle persone, gettandole in una voragine di problematiche che derivano dall’esposizione dei dati: discriminazioni, credit scoring negativo, estrapolazione di dati personali per misurare l’affidabilità creditizia, furto d’identità e perdite finanziarie, pregiudizio alla reputazione, perdita di riservatezza, significativi danni economici o sociali. Insomma, in gioco è la vita vera e non solo digitale dei cittadini.
Gli aggiornamenti costanti sono decisivi
La prima regola della cybersecurity in sanità è mantenere sempre aggiornati software e sistemi operativi, scaricando e installando tutte le patch, soprattutto per prevenire gli attacchi exploit zero-day. Inoltre il download di app è limitato alle sole necessarie e soltanto dai marketplace ufficiali. Occorre un approccio alla sicurezza multi-livello e un programma di condivisione dei file, sicuro e approvato dall’azienda, per prevenire l’infiltrazione.
Serve il monitoraggio delle attività della rete aziendale per rilevare eventuali attività sospette e tentativi di attacco. Il ricorso alla Threat intelligence permette di fotografare il nemico. Team composti da centinaia di cyber professionisti ogni giorno controllano miliardi di messaggi di posta elettronica e risolvono miliardi di richieste DNS, tenendo sotto controllo una fetta di traffico mondiale.
Una buona cyber igiene prevede un piano di ripristino dei dati su larga scala per garantire la business continuità. Bisogna migliorare la consapevolezza dei rischi, potenziare la formazione continua dei dipendenti. L’obiettivo è prevenire gli errori umani, alla base di tanti cyber attacchi.
Come difendersi dal furto dei dati
Per proteggersi dal furto dei dati occorrerebbe adottare una strategia di difesa proattiva e focalizzata sul fattore umano. La formazione all’awareness – consapevolezza dei rischi è la priorità – permetterà di proteggere le aziende quando le soluzioni tecniche falliscono.
Sarebbe forse cruciale monitorare l’offerta di dati relativi a dati sanitari nei principali mercati dell’underground, onde evitare ingenti danni ai pazienti, come già fanno le banche per tutelare i clienti. Avere una strategia di rilevamento e un programma di resilienza e anti-fragilità, un programma less-trust, in cui bisogna testare tutto e focalizzarsi sul miglioramento incrementale, aiuta a proteggersi.
Per difendersi dal furto dei dati, bisogna adottare sistemi di difesa a più livelli, in grado di integrare processi di autenticazione multipla a soluzioni anti-phishing, ma soprattutto intraprendendo percorsi di formazione adeguati contro le minacce per i dipendenti delle organizzazione.
La minaccia degli spyware
Inoltre è opportuno il monitoraggio per rilevare la presenza di spyware. Oggi gli spyware non effettuano più attacchi di alto profilo. La democratizzazione di questi strumenti ha permesso la loro diffusione a strati anche più bassi. Lo spyware rimane un malware che richiede solo una manciata di conoscenze in più rispetto ad altre categorie di minacce, ma certo può minare la cybersecurity in sanità.
Come correre ai ripari dal phishing
Secondo il Rapporto Clusit 2022, il phishing rappresenta il 41% delle tecniche che i cyber criminali sfruttano per sferrare cyber attacchi a livello globale. Da un recente report di Cisco, emerge che gli attacchi di tipo ransomware utilizzano soprattutto quattro metodi:
- via email (via messaggi di posta fraudolenti, apparentemente provenienti da fonti attendibili);
- il malvertising (messaggi advertising malevoli che, una volta cliccati, installano programmi malevoli sul dispositivo dell’utente);
- il social engineering (quell’ingegneria sociale che invita l’utente a “fidarsi” del cyber criminale e lo inducono a compiere attività in grado di compromettere i sistemi);
- gli exploit kit (software o parti di codice in grado di trovare un bug di sicurezza o una vulnerabilità in un’app o in un sistema operativo).
Passkey, strumento di difesa
Per debellare il phishing, conviene usare Passkey su Apple iOS, Google Android e Chrome. L’adozione di sistemi di autenticazione più sicuri permette di dare l’addio all’utilizzo delle password alfanumeriche. La loro compromissione è alla base di qualunque violazione di sistemi e servizi.
Il sistema di protezione delle email deve poi scansionare e bloccare gli allegati HTML pericolosi, sfruttando il machine learning e l’analisi del codice statico per valutare l’intero contenuto dell’email (e non solo gli allegati) ed evitare falsi positivi. Conviene prevedere campagne di formazione per la simulazione di attacchi phishing al fine di educare gli utenti alla consapevolezza: devono imparare a identificare e riferire allegati HTML potenzialmente pericolosi.
Remediation per evitare il disastro
Strumenti di remediation pronti, infine, evitano che il rischio si tramuti in un disastro di cybersecurity in sanità. Bisogna identificare e rimuovere rapidamente tutte le mail malevole da tutte le caselle email, se per caso l’email malevola raggiunge l’obiettivo.
Infatti, un sistema di risposta automatica agli incidenti permette di fermare l’attacco prima che si diffonda nell’organizzazione. Invece, un sistema di protezione dall’account takeover può mettere le attività sospette sotto la lente, lanciando allarmi se le credenziali di login vengono compromessi.
Cyber igiene
Occorre inoltre prestare grande attenzione: mai fare clic su link o allegati in email o messaggi, digitando senza aver prima controllato dove conducono quei collegamenti ipertestuali. Mai ampliare il perimetro di attacco, scaricando app o estensioni per il browser inutili e, comunque, i cui autori siano brand noti e affidabili. Per arginare il fenomeno del social engineering, è urgente agire sulla consapevolezza, per ridurre il rischio legato al fattore umano. Questo è possibile lavorando sull’awareness attraverso una formazione specifica.
Antimalware
Il consiglio è di mantenere sempre aggiornato sul computer un buon antimalware. La scelta dovrebbe orientarsi verso software di sicurezza dotati di funzionalità di analisi comportamentale, sistema di prevenzione e rilevamento in real-time, basato su algoritmi di intelligenza artificiale e isolamento in sandbox, in grado di individuare tutte le minacce, compresi adware e spyware.
Cloud Italia per rafforzare la cyber security in sanità
Se in ospedale mancassero l’energia elettrica, l’acqua potabile o rifornimenti alimentari, i media sarebbero subito avvertiti, in modo da mettere in allerta la popolazione. Tuttavia, se non funzionano i sistemi informatici, la classe dirigente di enti ed organizzazioni sembrano ancora ignorare le conseguenze dei problemi. Serve invece una rivoluzione culturale, e soprattutto recuperare 20 anni di federalismo sanitario che in informatica (e non solo lì) ha creato enormi danni.
Ogni struttura ha un proprio sistema informatico e spesso non ha le competenze per gestirlo anche perché non è il suo mestiere primario. Del resto, un ospedale non è un’azienda o una banca. Il suo lavoro è salvare vite umane.
Il polo strategico nazionale del piano nazionale Cloud Italia tenta di razionalizzare e portare sul cloud dati e servizi pubblici (anche sanitari) entro il 2025. Una data lontana, che arriva tardi e potrebbe richiedere perfino dieci anni, nella più rosea delle ipotesi, per fare la migrazione sui cloud certificati. Nel frattempo si rischierà ancora di morire cercando un pronto soccorso.
Oppure può succedere che non riusciamo a sottoscrivere un’assicurazione o un mutuo se i nostri dati sanitari, sottratti dai cyber criminali, finissero nelle mani sbagliate. La cybersicurezza e la tutela della privacy non sono noiosi e costosi impicci. Lacci e laccioli di cui sbarazzarsi per sburocratizzare. Invece sono necessità indispensabili per vivere e godere pienamente dei nostri diritti. Perché senza cybersicurezza e privacy negli istituti ospedalieri si rischia molto.
