Il settore sanitario è afflitto da gravi violazioni della sicurezza
Il settore sanitario ha attraversato un paio d’anni particolarmente difficili dal punto di vista della sicurezza. Secondo il database online “ ” del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti, disponibile all’indirizzo (si apre in una nuova scheda), gli attacchi informatici ai danni di ospedali e piani sanitari si verificano ormai quasi quotidianamente. Secondo quanto riferito, nel 2015 sono state compromesse oltre 100 milioni di cartelle cliniche, pari a un terzo della popolazione statunitense. Quest’anno la situazione non è affatto migliore: secondo un recente sondaggio “ ” (si apre in una nuova scheda) condotto dalla Healthcare Information and Management Systems Society (HIMSS), un’associazione di categoria del settore dell’informatica sanitaria, quasi il 80 per cento degli operatori sanitari ha subito un “incidente di sicurezza significativo”.
La questione non è destinata a scomparire. Le cartelle cliniche e i dispositivi medici saranno sempre più interconnessi, su vasta scala e a un ritmo rapido. E sebbene questa tendenza verso sistemi sempre più interconnessi sia positiva, renderà anche ancora più facile per gli operatori sanitari subire attacchi informatici qualora il settore non attribuisca la dovuta priorità alla sicurezza informatica.
La buona notizia è che sia gli operatori sanitari che il governo stanno iniziando a riconoscere che esiste un problema serio. Lo stesso studio HIMSS ha evidenziato che gli operatori sanitari stanno attribuendo maggiore priorità alla sicurezza delle informazioni — in particolare, il 87% degli operatori del settore delle cure acute e il 81% di quelli del settore delle cure non acute. Nel frattempo, l’HHS ha istituito una task force sulla sicurezza informatica (si apre in una nuova scheda) e, all’inizio di questo mese, ha annunciato che d’ora in poi indagherà sulle violazioni che interessano meno di 500 cartelle cliniche — riconoscendo che, quando si tratta di cartelle cliniche, nessuna violazione è troppo piccola per giustificare un intervento.
Tuttavia, il settore sanitario deve ancora affrontare alcuni problemi gravi e persistenti che lo hanno reso un bersaglio facile per gli hacker. La maggior parte dei fornitori utilizza ancora sistemi obsoleti che non sono stati progettati tenendo conto degli aspetti relativi alla sicurezza. Spesso non dispongono dei fondi necessari per passare a sistemi più sicuri o per assumere personale specializzato. E come dimostra la difficoltà nell’introdurre le cartelle cliniche elettroniche, il settore sanitario è un settore che, in generale, è in ritardo rispetto agli altri dal punto di vista tecnologico.
Le cartelle cliniche rappresentano inoltre una delle tipologie di informazioni più redditizie che un hacker possa sottrarre: sul mercato nero fruttano infatti somme di denaro notevolmente superiori rispetto alle carte di credito rubate o ai singoli numeri di previdenza sociale. Grazie a una cartella clinica, si ha accesso all’identità completa di una persona e, in molti casi, anche a quella dei suoi familiari. Tutto ciò spiega perché noi – operatori sanitari, aziende specializzate in sicurezza informatica, autorità pubbliche – dobbiamo considerare la sicurezza informatica nel settore sanitario una priorità assoluta.
Allora, qual è la soluzione?
In parole povere, occorre garantire che le basi siano solide e rendere i sistemi sanitari più resilienti man mano che vengono apportati miglioramenti. Prima di entrare a far parte di Tanium, ho trascorso sei anni a indagare su violazioni informatiche. Molte delle aziende con cui collaboravo all’epoca — e il 61% degli intervistati nello studio HIMSS di oggi — erano preoccupate per le “minacce avanzate”. Tuttavia, la stragrande maggioranza delle violazioni — anche quelle che comportano minacce avanzate — potrebbe essere prevenuta adottando misure di sicurezza di base.
Cinque modi in cui il settore può migliorare la propria igiene informatica
Di seguito sono riportati cinque modi in cui il settore può migliorare la propria igiene informatica:
- Scoprite la vostra rete. Come possono confermare molti addetti alla gestione degli incidenti, la maggior parte delle organizzazioni non è in grado di indicare quanti computer gestisce, figuriamoci di individuare tutte le vulnerabilità di sicurezza presenti su tali computer. Per comprendere appieno una rete — compresi l’inventario hardware e software, le vulnerabilità e le configurazioni — è necessario poter accedere tempestivamente a tutti i dispositivi.
- Garantite una visibilità in tempo reale. Una visibilità costante e in tempo reale sulla propria rete offre inoltre alle organizzazioni la possibilità di identificare e bloccare rapidamente gli attacchi nel giro di pochi minuti. Quando indagavo sulle violazioni, nella maggior parte dei casi gli hacker avevano ottenuto l’accesso mesi o anni prima dell’inizio delle indagini. La gravità e il costo di una violazione sono spesso direttamente proporzionali al tempo durante il quale un aggressore è rimasto all’interno della vostra rete senza essere individuato.
- Definire uno stato “desiderato” — che garantisca un equilibrio tra sicurezza e usabilità. I progetti dovrebbero integrare le prassi del settore, quali l’autenticazione a più fattori, la segmentazione della rete, l’utilizzo di liste bianche per le applicazioni e la limitazione del numero di utenti con privilegi. Le informazioni in tempo reale sulla vostra rete possono inoltre essere utilizzate per stabilire le priorità di bilancio, anziché ricorrere a ciò che molte organizzazioni sono costrette a fare: andare a tentoni.
- Incoraggiate i vostri dipendenti ad adottare comportamenti più sicuri. Formare il personale affinché sappia utilizzare correttamente i sistemi e individuare le e-mail potenzialmente dannose. Insegnate loro quali sono le varie minacce e come proteggere i dati sensibili. Ciò non impedirà tutti gli attacchi — non fraintendetemi, nessuna soluzione di sicurezza è in grado di farlo — ma ridurrà il numero di attacchi e consentirà ai dipendenti di segnalare quelli che individuano.
- Si prega di consultare il sito. Man mano che un’organizzazione matura, dovrebbe avvalersi di soggetti esterni per sottoporre i propri sistemi a test continui — una pratica nota come “red teaming”. Ciò consente agli esperti di sicurezza informatica di verificare costantemente la resilienza della vostra rete e alle organizzazioni di adeguare continuamente le proprie difese e di affinare le proprie competenze.
Il settore sanitario si trova in un momento critico. Nei prossimi cinque anni, la situazione apparirà notevolmente diversa da quella attuale. I pazienti avranno un accesso più agevole e più ampio alle cure, man mano che gli operatori sanitari collegheranno un numero sempre maggiore dei propri sistemi all’Internet delle cose. Man mano che vengono effettuati gli aggiornamenti, questo è il momento ideale per implementare un’architettura più sicura e resiliente.
Informazioni sull’autore: In qualità di responsabile della sicurezza (Chief Security Officer), David Damato definisce la direzione strategica dei prodotti per lo sviluppo dei moduli della piattaforma di sicurezza per dispositivi mobili ( Tanium Platform ) e gestisce il programma di sicurezza interno dell’azienda. David apporta ad Tanium una vasta esperienza nel campo della sicurezza, che spazia dalla risposta agli incidenti e dall’analisi forense, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e di sicurezza. Prima di entrare a far parte di Tanium, David ha ricoperto, da ultimo, il ruolo di amministratore delegato presso Mandiant , una società del gruppo FireEye, dove il suo team ha guidato le attività di risposta agli incidenti e di risanamento post-violazione presso oltre 100 aziende della classifica Fortune 500 . Presso Mandiant, David ha inoltre svolto un ruolo fondamentale nello sviluppo di nuove capacità relative ai servizi di risposta agli incidenti e nell’apertura di uffici di consulenza sia a livello nazionale che internazionale. Prima di entrare a far parte di Mandiant, David ha guidato i team di consulenza in materia di sicurezza presso PwC nell’ambito della divisione Washington Federal Practice e ha ricoperto incarichi nel settore IT presso Raytheon, occupandosi in particolare della gestione delle reti interne e governative. David condivide spesso le proprie competenze e riflessioni in occasione di eventi di settore e con i media.
