Una strategia per la protezione dei dati in sanità

Secondo il report realizzato da Trend Micro sulle minacce informatiche che hanno colpito il 2015, l’anno scorso il settore più bersagliato dalle violazioni di dati è stato quello della sanità. Secondo i dati della ITRC gli incidenti in questo settore hanno prodotto la compromissione di 119.908.807 record e questo si può ben spiegare con il valore delle informazioni che sono contenute nelle infrastrutture sanitarie. Bloomberg Business afferma che gli attacchi al settore producono circa 6 miliardi di dollari di perdite annuali e una violazione standard in un ospedale costa più di 2 milioni di dollari, oltre a comportare la completa paralisi della struttura e innumerevoli disservizi sanitari come evidenziato anche dai nostri laboratori in diverse occasioni.

Questo capita perché si spinge molto verso la sanità digitale, ma si pensa poco alla sicurezza. E una strategia di difesa dovrebbe partire dagli apparati elettromedicali, che sono il primo punto di ingresso dei dati, ma molto spesso anche dei cybercriminali. Questi dispositivi infatti non sono considerati dei punti di compromissione e sono ancora poco protetti, ma la mancanza di processi di sicurezza ben definiti può comportare dei problemi spesso enormi, come affermano i dati sulle violazioni e le conseguenti perdite economiche.

È importante continuare a implementare i processi che portano alla sanità digitale, prestando però attenzione alla protezione del dato, che deve partire dall’apparato elettromedicale e proseguire lungo tutta la filiera – ovvero il passaggio dal dispositivo elettromedicale alla cartella sanitaria digitale, la condivisione di queste informazioni con l’utente finale e su app mobile etc.

Bisogna implementare uno schema di difesa efficace e strutturato. Per proteggere gli apparati elettromedicali, si può prevedere l’implementazione di software di white listing, o di soluzioni di safe lock, pensate appositamente per questo tipo di dispositivi e che impedisce l’intrusione e l’esecuzione delle minacce con un impatto limitato sul sistema.

A seguire la protezione deve essere data centrica e su più livelli, bisogna controllare la rete per evitare che ci siano delle esfiltrazioni dei dati, ma anche controllare i dispositivi mobili e tutti quelli che transitano nella filiera. Spesso le cartelle sanitarie passano anche su iPad, ad esempio. In questo caso si possono utilizzare soluzioni che permettono un accesso sicuro ai dati anche in mobilità, attraverso il delivery di un “telefono virtuale” il cui sistema operativo è ospitato all’interno del datacenter. L’utilizzo di tali sistemi permette la non fuoriscita dei dati dal datacenter oltre non lasciare alcun dato all’interno del dispositivo mobile.

È importante, infine, pensare anche alla certificazione delle informazioni, che possiamo definire come una criticità di sicurezza indotta. Con la dematerializzazione delle informazione le cartelle sanitarie elettroniche, ma anche le ricette ad esempio, devono essere sottoposte a una verifica di autenticità. Non si ha più la garanzia fisica del medico che firma un documento davanti ai nostri occhi, si deve avere un sistema forte di Identity Access Management per avere la certezza che le prescrizioni e i referti siano veramente controllati da chi ha l’autorità per farlo.