Quando, nel 2020 , una paziente in Germania è deceduta dopo che alcuni hacker, tramite un ransomware, avevano di fatto bloccato l’ospedale in cui i medici volevano curarla, sono scattati i campanelli d’allarme in tutto l’ Community sanitario mondiale.
L'attacco ha rappresentato il primo caso documentato in cui i criminali informatici hanno causato direttamente la morte di una persona. Ma quella tragedia non fu affatto un caso fortuito. Nel 2020 si è registrato un’impennata degli attacchi informatici ai danni degli operatori sanitari, in parte determinata dalla crescita straordinaria della telemedicina nell’era del COVID-19, che ha comportato anche un aumento del numero di hacker intenzionati a sfruttare tale tendenza a proprio vantaggio. Ad esempio, secondo il fornitore di software Check Point, nel corso del 2020 gli attacchi globali di ransomware nel settore sanitario sono raddoppiati.
Da tempo gli hacker considerano le organizzazioni sanitarie come obiettivi facili, a causa della loro dipendenza da sistemi obsoleti, e come obiettivi redditizi, per via del vero e proprio tesoro di informazioni che custodiscono nei propri archivi. Ecco perché l’enorme aumento degli attacchi registrato lo scorso anno ha indotto i CIO e i CISO del settore sanitario a ripensare il proprio approccio all’igiene informatica e alla sicurezza. Un ambito su cui questi leader stanno concentrando la propria attenzione è il pericolo insito in settori quotidiani quali l’automazione nel settore sanitario.
[Leggi anche: Che cos’è l’automazione della sicurezza?]
La spinta verso l'automazione dei sistemi informatici nel settore sanitario
Le organizzazioni sanitarie hanno effettuato ingenti investimenti nell'automazione e nell'intelligenza artificiale (IA) al fine di aumentare l'efficienza e ridurre i costi. Questi strumenti possono fornire supporto in ambito chirurgico, radiologico, infermieristico, nei flussi di lavoro amministrativi, nelle cartelle cliniche elettroniche, nell’individuazione delle frodi e nella riduzione degli errori di dosaggio; secondo Accenture, la spesa in questo settore dovrebbe raggiungere i 6,6 miliardi di dollari nel 2021.
L'intelligenza artificiale è particolarmente utile per aiutare le persone a rendere l'assistenza più intelligente ed efficiente. Ad esempio, le organizzazioni sanitarie stanno adottando l’intelligenza artificiale e l’automazione per aiutare gli operatori sanitari e il personale a somministrare i farmaci, gestire i ventilatori, gestire i livelli di organico e occuparsi delle autorizzazioni preventive richieste da una compagnia assicurativ a e delle decisioni relative ai rimborsi, che possono ritardare e persino impedire ai pazienti di ricevere cure adeguate.
«Automatizzando ed eliminando le difficoltà [legate alle attività di routine relative alle autorizzazioni preventive] per i medici, il personale e i pazienti, l’intelligenza artificiale può rispondere in modo molto più rapido alle mutevoli norme dei soggetti pagatori», afferma Jody Ranck, analista senior e autrice di un rapporto intitolato “ ” (L’intelligenza artificiale nel settore sanitario: un’analisi del mercato) pubblicato da Chilmark Research. L’intelligenza artificiale e l’automazione possono accelerare i processi assicurativi, come la liquidazione dei sinistri: «In passato ci volevano 20 giorni», afferma Ranck. «Ora si tratta di millisecondi.»
L'automazione può far risparmiare miliardi di dollari. Accenture stima che le tre principali applicazioni in grado di generare valore nel breve termine siano la chirurgia robotica (40 miliardi di dollari di risparmi), gli assistenti infermieristici virtuali (20 miliardi di dollari) e l’assistenza ai flussi di lavoro amministrativi (18 miliardi di dollari).
Non sorprende che oltre la metà dei CIO del settore sanitario dell’ intervistati da Gartner abbia dichiarato di prevedere di investire nell’automazione robotica dei processi (RPA) basata sull’intelligenza artificiale nei prossimi tre anni, in aumento rispetto al 5% del 2020.
Il lato oscuro dell’automazione
L'automazione nel settore sanitario, tuttavia, comporta alcune sfide in materia di sicurezza. In un sondaggio condotto dal Ponemon Institute, il 90% degli intervistati ha dichiarato che la propria struttura sanitaria aveva subito almeno una violazione della sicurezza nell’anno precedente. Un’analisi condotta da SecurityScorecard e DarkOwl su terabyte di dati provenienti da oltre 30.000 organizzazioni sanitarie, nel periodo compreso tra il 2019 e il 2020 , ha evidenziato un aumento delle vulnerabilità e degli attacchi strettamente correlati alla reputazione degli indirizzi IP (compreso il malware derivante da tentativi di phishing), agli endpoint e alle patch di sicurezza.
I drammatici attacchi alla catena di approvvigionamento di SolarWinds ai danni delle principali agenzie e organizzazioni governative hanno messo in luce in modo evidente tali vulnerabilità. E hanno messo in evidenza il valore dei dati sanitari sottratti. Secondo l’ , la società di valutazione del merito creditizio Experian, ogni cartella clinica oggetto di violazione può fruttare fino a 1.000 dollari sul dark web, a causa dei dati altamente sensibili contenuti nelle cartelle cliniche dei pazienti.
Gli endpoint rappresentano un anello particolarmente debole nella catena di sicurezza. Per la rete di ospedali e cliniche Sutter Health, che serve oltre 3 milioni di californiani, una delle principali problematiche era rappresentata da una mancanza di visibilità sulle migliaia di endpoint presenti nella propria rete. Per garantire la sicurezza degli endpoint, i team IT dovevano accedere manualmente ai dispositivi tramite computer in prestito, con conseguente interruzione del flusso di lavoro e aumento dei costi.
[Scoprite come la vostra organizzazione può gestire la conformità alle norme HIPAA con “ Tanium”]
L'intelligenza artificiale stessa può essere inaffidabile poiché si basa su algoritmi addestrati con enormi set di dati. È noto che gli hacker riescano a ricalibrare gli algoritmi per compromettere i sistemi, reindirizzare i dati a loro vantaggio o persino “avvelenare” i dati, ingannando gli algoritmi e facendogli credere che un codice dannoso sia sicuro. I bot basati sull'intelligenza artificiale spesso non sono sicuri poiché la loro programmazione combina codice open source e codice personalizzato che non è stato scritto da specialisti della sicurezza.
Ulteriori vulnerabilità derivano dai sistemi utilizzati dagli algoritmi: gli strumenti di automazione possono trovarsi su qualsiasi dispositivo collegato a una rete che disponga dei permessi necessari per accedere al sistema, rappresentando così potenziali punti di accesso per soggetti malintenzionati. Una volta entrati, i malintenzionati possono combinare guai. In un esempio lampante, Ranck della Chilmark Research ricorda il caso di alcuni hacker che hanno utilizzato immagini radiologiche contraffatte per ottenere indebiti rimborsi assicurativi.
Gli esperti di sicurezza sono preoccupati, tra cui Carlos Perez, che dirige il dipartimento di ricerca della società di sicurezza informatica TrustedSec. «La tendenza che mi preoccupa è che il settore sanitario stia attuando tagli ai costi e affidando sempre più spesso la propria sicurezza a soggetti esterni», afferma Perez. «Non ho riscontrato che il settore sanitario abbia intrapreso alcuna iniziativa volta a garantire la sicurezza delle informazioni nell’ambito dell’utilizzo dell’intelligenza artificiale.»
I punti deboli istituzionali nel sistema sanitario
I settori soggetti a una rigorosa regolamentazione, come quello sanitario, si trovano spesso a dover gestire un conflitto tra le esigenze aziendali e il rispetto delle normative. Gli ospedali utilizzano spesso versioni obsolete di software che potrebbero presentare bug e vulnerabilità. L'aggiornamento dei sistemi può esporre le aziende a problemi di conformità.
«Gli ospedali devono attenersi a linee guida più rigorose in materia di applicazione di patch e aggiornamento di computer e server, a causa dei sistemi che gestiscono», afferma Marc Moring, direttore dei clienti strategici presso Tanium. «Se aggiornassero un sistema operativo, potrebbero potenzialmente causare il malfunzionamento di un ventilatore, di una flebo o di un sistema di somministrazione di farmaci, con conseguenti rischi per la vita dei pazienti.» Gli ospedali si sono mostrati restii ad aggiornare i sistemi e ad applicare le patch, rendendosi così estremamente vulnerabili agli attacchi.” Ecco perché la gestione delle patch , la gestione delle patch e la gestione delle configurazioni , la gestione delle configurazioni , costituiscono elementi fondamentali delle strategie IT e di sicurezza di endpoint .
Anche le strutture organizzative sono responsabili della scarsa sicurezza dei sistemi informatici nel settore sanitario. I ricercatori di Skybox Security , un’ , hanno riscontrato che una vulnerabilità critica derivava dalla compartimentazione tra i team di sicurezza informatica e quelli operativi incaricati del monitoraggio dell’infrastruttura. «L’eliminazione di questi compartimenti stagni deve avvenire attraverso un processo di cambiamento iterativo», hanno osservato gli autori nel loro rapporto 2020 . «I team incaricati della gestione dei dispositivi devono acquisire conoscenze di base che possano essere utilizzate per proteggere queste aree di rete notoriamente difficili da aggiornare.»
Lo studio “IT Resilience Gap Study” di Tanium ha individuato diverse funzionalità che contribuiscono a mitigare tali rischi. Le organizzazioni resilienti adottano le seguenti misure:
- Si assicuri che i team responsabili della sicurezza informatica, delle operazioni e della gestione dei rischi collaborino tra loro per semplificare e rendere più sicuro l’ambiente informatico.
- Raccogliete dati affidabili per prendere decisioni con sicurezza e mantenere un approccio lungimirante e agile in risposta alle minacce e ai cambiamenti costanti.
- Adottino misure volte a snellire l’infrastruttura e a eliminare la frammentazione dei sistemi e dei processi di gestione dell’ endpoint .
- Unificate le risorse attorno a un insieme comune di dati utilizzabili per ottenere una visibilità e un controllo effettivi su tutti i dispositivi presenti in rete.
In definitiva, l’automazione e l’intelligenza artificiale sono destinate a rimanere. I recenti progressi stanno ampliando le potenzialità della tecnologia sanitaria. E, al contempo, stanno generando ulteriori pressioni per inasprire le misure di sicurezza.
«Tre anni fa, tra i medici c’era molto scetticismo riguardo all’intelligenza artificiale», afferma Ranck. «Oggi si vede l’intelligenza artificiale integrata in moltissimi sistemi.» Egli afferma che le organizzazioni si trovano in fasi diverse nella loro risposta alle minacce emergenti, «ma, sempre più spesso, i dirigenti riconoscono la necessità di prepararsi».
