Le violazioni dei dati non si verificano solo a seguito di attacchi informatici. Come spesso succede anche in altri contesti, possono essere causate da errori del personale interno. Le organizzazioni sanitarie raccolgono, elaborano e condividono una grande quantità di dati sensibili e pertanto dovrebbero prestare la massima attenzione alla sicurezza delle informazioni che raccolgono. Tenuto conto che la recente transizione di massa alla sanità digitale ha aumentato il carico di responsabilità dei fornitori di servizi medici, Kaspersky ha intervistato i decision maker del settore sanitario di tutto il mondo per comprendere quali fossero i problemi di sicurezza legati alla telemedicina e analizzare i modi per affrontarli.

Dalla ricerca emerge che nessun fornitore di servizi sanitari italiano intervistato è davvero convinto che il personale medico che utilizza sessioni di telemedicina abbia un’idea chiara di come vengano protetti i dati dei pazienti. Questo accade nonostante il 70% delle organizzazioni mediche italiane abbia dichiarato di aver ricevuto una formazione dedicata alla sicurezza informatica. Evidentemente la maggior parte dei training di formazione sulla sicurezza informatica non corrispondono alla realtà e non sono in grado di coprire gli argomenti più utili alle pratiche quotidiane dei medici. È importante sottolineare che il 50% degli intervistati ha inoltre dichiarato che per le sessioni a distanza alcuni dei loro medici utilizzano app non specificamente progettate per la telemedicina, come FaceTime, Facebook Messenger, WhatsApp, Zoom, etc.

L'utilizzo di app che non sono progettate specificatamente per il settore sanitario comporta dei rischi. «Le applicazioni di telemedicina sono progettate e certificate specificamente per salvaguardare i dati personali sensibili. Bypassare questo alto livello di protezione significa rischiare di incorrere in una perdita di fiducia, nonché in misure disciplinari e sanzioni pesanti» sottolinea ad esempio Peter Zeggel, CEO di arztkonsultation.de, primario fornitore di telemedicina in Germania. «Chi non utilizza i giusti strumenti potrebbe anche violare i requisiti di fatturazione per la telemedicina e perdere funzionalità create appositamente per il settore, come le integrazioni per le cartelle dei pazienti o la condivisione sicura di dati in tempo reale da dispositivi remoti».

Nonostante le difficoltà date dal livello di sicurezza, il personale medico ritiene che la raccolta dei dati sia uno degli aspetti più importanti dello sviluppo della tecnologia medica. Sette intervistati su dieci (70%) concordano sul fatto che per “addestrare” l’IA e garantire diagnosi affidabili, il settore sanitario abbia bisogno di raccogliere ancora più informazioni personali rispetto a quelle disponibili attualmente. Ciò significa che gli operatori sanitari dovranno rafforzare le proprie misure di sicurezza informatica per prepararsi ad una nuova era della medicina digitale.

Per ridurre al minimo il rischio di incidenti causati internamente e fornire nuove prospettive per il settore, le organizzazioni sanitarie dovrebbero adeguare le proprie policy di sicurezza informatica aggiornandole in base alle esigenze odierne. Nello specifico, dovrebbero contenere linee guida chiare sull'utilizzo di servizi e risorse esterni, un’adeguata policy di accesso per le risorse aziendali e solide regole per le password. Naturalmente, tutte queste misure devono essere attuate nella pratica e integrate da una formazione completa sulla sicurezza.

Un’altra ricerca Kaspersky si è poi rivolta ai fornitori di servizi sanitari: anche da questa è emerso che le organizzazioni sanitarie utilizzano, nella maggior parte dei casi, dispositivi medici con un sistema operativo legacy principalmente a causa di problemi di compatibilità, costi elevati degli aggiornamenti o per la mancanza di conoscenze interne su come eseguire gli aggiornamenti.
L’utilizzo di dispositivi obsoleti può provocare incidenti informatici. Quando gli sviluppatori di software smettono di supportare un sistema, interrompono anche il rilascio di eventuali aggiornamenti, che spesso includono patch di sicurezza per le nuove vulnerabilità. Se lasciate senza patch, queste vulnerabilità possono diventare un vettore iniziale di attacco per penetrare nell’infrastruttura dell’azienda, di cui anche gli attaccanti non specializzati possono servirsi. Le organizzazioni sanitarie archiviano un volume notevole di dati sensibili e preziosi che le rendono uno degli obiettivi più redditizi, e i dispositivi senza patch possono facilitare il lavoro degli attaccanti.
Interrogati sulle loro capacità di reazione in materia di cybersecurity, solo il 20% degli operatori sanitari italiani crede che la loro organizzazione sia in grado di bloccare efficacemente tutti gli attacchi alla sicurezza o le violazioni del perimetro. La stessa percentuale è certa che la loro organizzazione disponga di una protezione di sicurezza IT hardware e software aggiornata e adeguata.
Tuttavia, in Italia il 50% degli intervistati ha ammesso che la loro organizzazione ha già sperimentato incidenti che hanno causato una fuga di dati, il 40% un attacco DDoS mentre il 30% un attacco ransomware.

«Il settore sanitario si sta evolvendo verso l’adozione di dispositivi connessi in grado di soddisfare la domanda di maggiore accessibilità alle cure. Questo comporta anche alcune sfide di cybersecurity tipiche dei sistemi embedded. Il nostro report conferma che molte organizzazioni utilizzano ancora dispositivi medici che eseguono vecchi sistemi operativi e si scontrano con alcuni ostacoli che impediscono l’esecuzione degli aggiornamenti necessari» commenta Cesare D’Angelo, General Manager Italy di Kaspersky. «Ad oggi, esistono soluzioni e misure disponibili che possono aiutare a minimizzare i rischi di una strategia di modernizzazione nella sanità. Queste misure, insieme alla formazione del personale medico, possono aumentare significativamente il livello di sicurezza e facilitare il progresso del settore sanitario».

sicurezza