Informazioni generali sul Servizio Sanitario Nazionale
Lo scorso anno il governo del Regno Unito ha fissato l’ambizioso obiettivo di rendere il Servizio Sanitario Nazionale (NHS) completamente digitale entro il 2020, un’iniziativa che porterà alla digitalizzazione di centinaia di migliaia di cartelle cliniche. Nel 2017, gli ospedali saranno tenuti a consentire ai pazienti di consultare le proprie cartelle cliniche online, seguendo l’esempio dei medici di base del Regno Unito. Per anticipare i tempi, molti ospedali del Servizio Sanitario Nazionale (NHS) stanno già trasferendo i dati dei pazienti su reti online. Tuttavia, un numero significativo di aziende non sta adottando misure adeguate per proteggere questi dati personali sensibili dagli hacker, come ha rivelato alla fine dello scorso anno un’inchiesta di Sky News (si apre in una nuova scheda) , riportata anche su .
Grazie all’accesso ai documenti ottenuto in virtù delle leggi sulla libertà di informazione, Sky News ha scoperto che sette trust del Servizio Sanitario Nazionale (NHS) (gruppi di ospedali sottoposti a supervisione centrale), che forniscono servizi a oltre due milioni di pazienti, non hanno sostenuto alcuna spesa per la sicurezza informatica nel 2015. Sono 0 dollari. Ciò che forse desta maggiore preoccupazione è che lo studio ha evidenziato un aumento delle violazioni informatiche, passate da otto su 2014 a 60 l’anno successivo (tra i 97 enti sanitari che hanno fornito i dati).
Una violazione può causare il blocco delle reti ospedaliere, costringendo alla cancellazione di appuntamenti e interventi chirurgici, come è avvenuto in tre ospedali del Regno Unito (si apre in una nuova scheda). E sebbene ciò costituisca un inconveniente, ancora più problematica è la possibilità di perdere i dati privati e personali dei pazienti. Queste informazioni non possono essere modificate come il numero di una carta di credito. E poiché tali informazioni contengono un maggior numero di dati che un criminale informatico può sfruttare — quali il numero di previdenza sociale, la storia clinica, la compagnia assicurativa, le prescrizioni mediche e così via — i dati sanitari raggiungono prezzi più elevati, come riportato su , arrivando addirittura a 60 volte (si apre in una nuova scheda) il valore dei dati relativi alle carte di credito rubate, il che garantisce che rimangano un obiettivo molto ambito per i malintenzionati.
Per ovvie ragioni, un amministratore ospedaliero Le dirà che la priorità assoluta del Servizio Sanitario Nazionale (NHS) è l’assistenza sanitaria, non la sicurezza dei dati. Di conseguenza, le limitate risorse disponibili vengono destinate al salvataggio di vite umane, non al rafforzamento dei sistemi online. Tuttavia, la sicurezza dei dati è ormai un elemento fondamentale per l’assistenza sanitaria e per salvare vite umane, il che richiede ai responsabili di affrontare tre sfide al fine di proteggere meglio i dati dei pazienti.
Sfida n. 1 - Assegnazione delle risorse di bilancio
Proprio come le aziende hanno riorientato i propri bilanci operativi per finanziare le misure di difesa informatica, anche gli ospedali devono ridistribuire i fondi per fare altrettanto. L’impatto di una violazione della sicurezza su un ospedale comporta ripercussioni finanziarie simili a quelle che si verificherebbero in una grande azienda, con l’interruzione dei servizi e un grave danno alla fiducia dei clienti (in questo caso i pazienti). Affinché i pazienti possano essere certi che le loro cartelle cliniche siano protette, devono sapere che gli ospedali stanno investendo risorse sufficienti negli strumenti e nelle tecnologie necessarie per impedire l’accesso agli hacker.
Sfida n. 2 - Formazione del personale
In qualità di professionisti del settore medico, il personale ospedaliero è tra i più preparati e qualificati in assoluto in qualsiasi professione. Tuttavia, per quanto riguarda le competenze informatiche, si registra una grave carenza. Per ovviare a tale problema, le competenze informatiche dovrebbero essere incluse nel programma di formazione e inserimento offerto al personale ospedaliero. L'obiettivo non dovrebbe essere quello di trasformare tutti i medici e gli infermieri in "cacciatori di minacce informatiche", bensì di sensibilizzarli sulle nozioni di base e di instillare in loro le migliori pratiche in materia di sicurezza informatica. Adottando alcune misure di base, quali l’implementazione di un sistema di autenticazione tramite password complesse e prestando attenzione quando si clicca sui link contenuti nelle e-mail, gli operatori sanitari possono evitare quegli errori banali che aprono la porta agli hacker.
Sfida n. 3 - Ospedali interconnessi
La sfida maggiore risiede nella natura stessa dell’ospedale moderno. Gli ospedali di oggi non sono affatto analogici. Il numero crescente di strumenti connessi e di sistemi di supporto vitale comporta la presenza di innumerevoli dispositivi terminali in ogni singolo ospedale, e se ne prevede un aumento esponenziale nel corso del tempo. Senza un’adeguata visibilità e protezione della rete, ogni dispositivo, o “ endpoint”, rappresenta una potenziale vulnerabilità che può essere sfruttata per un’intrusione.
Un Servizio Sanitario Nazionale (NHS) digitale dovrebbe essere considerato il futuro dell’assistenza sanitaria. Tuttavia, come hanno evidenziato questi recenti rapporti, vi sono una serie di misure che dobbiamo adottare in primo luogo se vogliamo garantire quel futuro.
Informazioni sull’autore
: In qualità di responsabile della sicurezza (Chief Security Officer), David Damato definisce la direzione strategica dei prodotti per lo sviluppo dei moduli della piattaforma “ Tanium Platform ” e gestisce il programma di sicurezza interno dell’azienda. David apporta ad Tanium una vasta esperienza nel campo della sicurezza, che spazia dalla risposta agli incidenti e dall’analisi forense, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e di sicurezza. Prima di entrare a far parte di Tanium, David ha ricoperto, da ultimo, il ruolo di amministratore delegato presso Mandiant , una società del gruppo FireEye, dove il suo team ha guidato le attività di risposta agli incidenti e di risanamento post-violazione presso oltre 100 aziende della classifica Fortune 500 . Presso Mandiant, David ha inoltre svolto un ruolo fondamentale nello sviluppo di nuove capacità relative ai servizi di risposta agli incidenti e nell’apertura di uffici di consulenza sia a livello nazionale che internazionale. Prima di entrare a far parte di Mandiant, David ha guidato i team di consulenza in materia di sicurezza presso PwC nell’ambito della divisione Washington Federal Practice e ha ricoperto incarichi nel settore IT presso Raytheon, occupandosi in particolare della gestione delle reti interne e governative. David condivide spesso le proprie competenze e riflessioni in occasione di eventi di settore e con i media.
