Associati
La Cybersecurity dal punto di vista del DPO di un’Azienda Sanitaria
A cura di Elisabetta Fortunato
La cybersecurity non è materia a sé stante, ma costituisce parte delle politiche di resilienza complessiva di una PA. Il rischio informatico, infatti, è insito nell’operatività dei sistemi informativi delle Aziende Sanitarie. Al fine mitigare questo rischio, viene mappato periodicamente e correlato con altri rischi aziendali, in modo da garantire una visione unitaria e strategica. Attraverso analisi di vulnerabilità, rilevazioni tecniche sugli asset critici e analisi degli scenari di minaccia, i rischi informatici vengono classificati in base a impatto, probabilità e capacità di rilevazione. Tale approccio consente di concentrare le risorse sulle aree a maggiore esposizione, anche in relazione al perimetro NIS2 e ai dati trattati.
Tuttavia, per le Aziende Sanitarie sussistono fattori di rischio ulteriori costituiti dalla frammentazione dei dati tra sistemi eterogenei, dall’assenza di strumenti di raccolta centralizzata del rischio e dalla mancanza di standard operativi condivisi tra funzioni (es. IT, legale, acquisti) che richiederebbero la costruzione di un modello di Integrated Risk Management per il quale è necessario un investimento culturale prima che tecnologico.
Nel settore sanitario, le principali criticità riscontrate sono sicuramente rappresentate da ambienti cloud gestiti con scarsa segmentazione logica, credenziali deboli nei sistemi di accesso remoto e fornitori che non aggiornano tempestivamente le patch di sicurezza. Una efficace misura di contrasto consiste nell’avvio di azioni volte ad introdurre requisiti minimi di sicurezza nei contratti e a migliorare la visibilità sulla catena di fornitura.
Le recenti normative europee hanno avuto un impatto significativo sulla governance della sicurezza nella supply chain. In particolare, la Direttiva NIS2 ha imposto l’adozione di misure minime comuni anche ai fornitori critici, mentre il Cyber Resilience Act ha posto l’accento sulla sicurezza dei prodotti digitali. In quest’ottica, un supporto può essere offerto da piattaforme software per la gestione digitale del ciclo di vita dei fornitori, comprensive di funzionalità per la raccolta di documentazione, generazione automatica di alert, punteggi di rischio aggiornati dinamicamente e tracciabilità delle verifiche eseguite. In ogni caso è opportuno che i contratti con i fornitori critici contengano clausole specifiche in materia di misure minime di sicurezza, gestione degli incidenti, notifiche tempestive, audit di verifica, requisiti per i subfornitori.
Inoltre, gli incidenti verificatisi nell’ambito della supply chain hanno evidenziato l’importanza di un piano di continuità operativa condiviso con i fornitori e, al contempo, alcuni disservizi hanno mostrato l’inadeguatezza dei piani di risposta agli incidenti da parte di terzi, con conseguenti aggiornamenti contrattuali e revisioni delle policy di onboarding. In questo scenario è facile prevedere una crescita dei rischi derivanti dall’integrazione di software di terze parti dovuta, in particolare, ad aggiornamenti compromessi (attacchi alla catena di fornitura software).
La minaccia è in continua crescita, con specifico riferimento all’ambito sanitario, dall’uso di dispositivi medicali connessi, che necessitano di controlli più stringenti e tempestivi.
Occorre, pertanto, predisporre specifiche misure di contrasto quali, ad esempio, l’adozione di un percorso di rafforzamento della sicurezza della catena di fornitura nonché il ricorso a tecnologie innovative che possono rappresentare un fattore abilitante fondamentale per garantire una gestione efficace, trasparente e resiliente dei rischi.
In particolare, anche nel mondo sanitario si stanno consolidando tre approcci tecnologici ritenuti particolarmente promettenti:
- Zero Trust Architecture (ZTA)
Si tratta di un modello di sicurezza basato sul principio “never trust, always verify”, che supera la logica perimetrale tradizionale. Ogni accesso – sia interno che esterno – viene valutato dinamicamente in base a identità, contesto, dispositivo e livello di rischio. L’adozione progressiva di questo paradigma nella rete informatica delle aziende sanitarie consentirebbe di minimizzare la superficie d’attacco, proteggere i dati sanitari critici e limitare le possibilità di movimento laterale da parte di attori malevoli in caso di compromissione. ZTA risulta particolarmente efficace per la protezione delle interfacce tra sistemi interconnessi (es. repository VNA, telemedicina, portali fornitori).
- Blockchain e tecnologie DLT (Distributed Ledger Technology)
Sebbene ancora in fase di valutazione sperimentale, l’applicazione della blockchain alla gestione della supply chain sanitaria potrebbe offrire notevoli vantaggi in termini di tracciabilità, trasparenza e integrità dei dati. In particolare, la registrazione immutabile delle operazioni legate alla fornitura di dispositivi medicali, dei log di accesso a piattaforme critiche o degli eventi di manutenzione può aumentare la fiducia nei rapporti con i fornitori e facilitare la gestione ex post di audit e verifiche. Un utilizzo mirato, su domini specifici ad alto rischio (es. tracciabilità di farmaci o kit diagnostici), potrebbe offrire un valore aggiunto concreto.
- Intelligenza Artificiale (AI) applicata alla sicurezza
L’integrazione dell’AI nei sistemi di monitoraggio consente di analizzare grandi volumi di dati eterogenei, identificare pattern di rischio e supportare il team di sicurezza nella gestione degli eventi. Nell’ambito della supply chain, l’AI può essere utilizzata per:
» identificare anomalie nei comportamenti dei fornitori (es. accessi anomali, ritardi non giustificati);
» stimare proattivamente l’esposizione a vulnerabilità note (es. prodotti non aggiornati o non conformi);
» supportare il processo decisionale nei sistemi di risk scoring dei terzi.
Tuttavia, l’uso dell’AI richiede un presidio costante e competenze specifiche, soprattutto per garantire l’affidabilità e l’intelligibilità degli output, in conformità ai principi del Regolamento AI e del GDPR. Nel contesto sanitario le maggiori difficoltà si concentrano sulla trasparenza e sulla comprensibilità delle decisioni automatizzate, specie quando queste hanno impatti diretti sulla presa in carico del paziente. Dal punto di vista della sicurezza, è forte la preoccupazione per i potenziali usi impropri dell’AI generativa da parte di soggetti interni o esterni, come veicolo di esfiltrazione dei dati, creazione di contenuti fuorvianti o simulazioni fraudolente. D’altro canto, la gestione dei dati sanitari rappresenta una delle sfide più complesse in ambito pubblico, dovendo contemperare, da un lato, l’esigenza di un accesso tempestivo e agevole da parte degli operatori sanitari, dall’altro, la necessità di assicurare un elevato livello di protezione dei dati personali degli assistiti. In tale contesto, è fondamentale adottare un approccio che integri misure organizzative, tecniche e comunicative, finalizzate a semplificare i processi senza compromettere la compliance normativa. Risulta fondamentale la collaborazione tra il Data Protection Officer (DPO) e il Chief Information Security Officer (CISO) per garantire una protezione effettiva dei dati personali e una gestione sicura delle infrastrutture informatiche nel settore sanitario. La crescente digitalizzazione dei processi sanitari, l’interconnessione dei sistemi e l’aumento esponenziale delle minacce informatiche rendono imprescindibile un approccio sinergico, strutturato e continuo tra queste figure anche attraverso la creazione di specifiche strutture aziendali trasversali in cui DPO e CISO possano collaborare sin dalla fase di progettazione “privacy by design” dei nuovi sistemi o iniziative sanitarie. Tanto al fine di evitare la frammentazione tra sicurezza informatica e protezione dei dati, promuovendo un approccio olistico basato sulla valutazione congiunta dei rischi e sulla definizione dei ruoli e delle responsabilità.
In conclusione, solo attraverso un equilibrio tra innovazione digitale, sicurezza informatica e presidio organizzativo è possibile conseguire una efficace e rispettosa gestione del dato sanitario. Le auspicate sinergie possono rafforzare la cultura della protezione del dato e orientare le scelte aziendali verso una gestione responsabile e sicura del patrimonio informativo, inteso come bene comune.