---
title: "Le sfide relative alla sicurezza delle informazioni sanitarie negli ospedali e nei sistemi sanitari moderni"
published_at: "2026-07-02T13:21:27+00:00"
modified_at: "2026-07-02T13:21:50+00:00"
url: "https://www.baculasystems.com/it/it-blog/sicurezza-informatica-nel-settore-sanitario-le-sfide-per-gli-ospedali/"
markdown_url: "https://www.baculasystems.com/it/it-blog/sicurezza-informatica-nel-settore-sanitario-le-sfide-per-gli-ospedali.md"
taxonomy_language:
  - "Italiano"
---

[Principale](https://www.baculasystems.com/it/)
 > [Blog sul backup e sul ripristino](https://www.baculasystems.com/it/it-blog/)
 > Le sfide relative alla sicurezza delle informazioni sanitarie negli ospedali e nei sistemi sanitari moderni

# Le sfide relative alla sicurezza delle informazioni sanitarie negli ospedali e nei sistemi sanitari moderni

Aggiornato 2nd Luglio 2026, Rob Morrison

## Perché la sicurezza delle informazioni sanitarie è fondamentale negli ospedali moderni?

Poiché l’erogazione dei servizi sanitari moderni si basa interamente su infrastrutture digitali, la sicurezza delle informazioni sanitarie è fondamentale per la sicurezza dei pazienti e la continuità operativa. Anche piccole violazioni dei dati possono mettere a rischio la vita dei pazienti e le operazioni ospedaliere, oltre a violare le leggi sulla privacy.

La rapida digitalizzazione del settore sanitario rende fondamentale la protezione degli ambienti digitali in ambito sanitario. In caso contrario, ospedali e ambulanze potrebbero subire gravi interruzioni operative.

Dopotutto, gli ecosistemi digitali integrati che hanno sostituito le cartelle cliniche cartacee hanno migliorato significativamente gli esiti clinici, accelerato la diagnostica e reso il coordinamento delle cure senza soluzione di continuità.

### Quali sono le caratteristiche specifiche dei dati sanitari che sollevano preoccupazioni in materia di sicurezza?

I dati sanitari comuni sollevano preoccupazioni in materia di sicurezza perché sono estremamente preziosi. Contengono informazioni permanenti di natura personale, medica, finanziaria e genetica che non possono essere facilmente modificate in seguito a un furto. È noto che i mercati criminali vendono [cartelle cliniche complete a un prezzo pari a 10 volte il valore delle carte di credito rubate](https://patient-protect.com/post/healthcare-data-breach-statistics-2025-why-medical-records-are-worth-10-more-than-credit-cards)
.

Una singola cartella clinica contiene diagnosi, terapie farmacologiche, dati genetici e anamnesi relativa alla salute mentale. Queste informazioni mediche tendono a non avere scadenza. Non è possibile annullare o riemettere una cartella clinica rubata – cosa che invece è possibile fare con una carta di credito.

L’accesso a informazioni sensibili sui pazienti, tra cui lo stato sierologico per l’HIV, i dati relativi alla salute comportamentale e alla salute riproduttiva, può esporre i pazienti a discriminazioni sul lavoro e nell’ambito assicurativo.

### In che modo la sicurezza dei pazienti, la protezione dei dati dei pazienti e la sicurezza dei dati si intrecciano?

La sicurezza dei dati dei pazienti, la loro protezione e la sicurezza dei pazienti nel settore sanitario rappresentano le stesse preoccupazioni in contesti temporali diversi. Secondo uno studio pubblicato sull’American Economic Journal, la mortalità ospedaliera aumenta in modo significativo durante gli attacchi ransomware.

Quando i sistemi di cartelle cliniche elettroniche (EHR) smettono di funzionare, le liste di controllo per l’anestesia scompaiono, i dati vitali non vengono registrati nelle unità di terapia intensiva (ICU) e le decisioni dei medici di pronto soccorso non tengono conto di dati sanitari fondamentali, quali le allergie e i dettagli relativi ai farmaci.

La sicurezza dei pazienti dipende dalla protezione dei dati. Quando le organizzazioni sanitarie subiscono una fuga di dati, la disponibilità dei sistemi contribuisce a evitare il deterioramento della qualità dell’assistenza ai pazienti causato dall’interruzione del funzionamento dei sistemi informativi.

### Quali obblighi normativi e legali determinano gli investimenti nella sicurezza nel settore sanitario?

La [Norma sulla sicurezza dell’Health Insurance Portability and Accountability Act (HIPAA)](https://www.hhs.gov/hipaa/for-professionals/security/index.html)
 stabilisce standard nazionali per consentire alle entità o ai partner commerciali di proteggere le informazioni sanitarie protette in formato elettronico (ePHI) dei pazienti create, ricevute, utilizzate o conservate.

Ai sensi della norma di sicurezza, gli enti o i partner commerciali devono implementare adeguate misure di protezione amministrative, fisiche e tecniche per [garantire che le informazioni sanitarie protette in formato elettronico (ePHI)](https://www.hipaajournal.com/ephi/)
 siano riservate, integrate e disponibili.

Le ePHI sono informazioni sanitarie protette prodotte, salvate, trasferite o ricevute in formato elettronico.

La [Legge HITECH (Health Information Technology for Economic and Clinical Health)](https://www.hipaajournal.com/what-is-the-hitech-act/)
 è stata concepita per rafforzare l’applicazione delle norme ed estendere gli obblighi di notifica delle violazioni. Tale legge è inclusa nell’American Recovery and Reinvestment Act del 2009, che incoraggia l’uso significativo delle cartelle cliniche elettroniche (EHR), rendendo più rigorose le disposizioni in materia di sicurezza e privacy dell’HIPAA.

Inoltre, la legge HITECH consente di estendere l’ambito di applicazione dell’HIPAA ai partner commerciali delle entità interessate, ritenendoli responsabili in caso di inadempienze alle norme HIPAA. Tali inadempienze possono includere l’accesso non autorizzato dei dipendenti alle cartelle cliniche e lo smaltimento improprio delle cartelle cliniche dei pazienti. Infine, questa legge stabilisce anche sanzioni per le violazioni dell’HIPAA.

Nel dicembre 2024, il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) ha introdotto il primo importante aggiornamento della [Norma sulla sicurezza HIPAA](https://www.hhs.gov/hipaa/for-professionals/security/index.html)
. Di conseguenza, la crittografia è diventata obbligatoria anziché «facoltativa».

Le aziende sanitarie che trattano i dati dei residenti dell’Unione Europea (UE) devono far fronte a sanzioni fino al 4% del fatturato globale annuo e rispettare un termine di 72 ore per la notifica delle violazioni, secondo il Regolamento generale sulla protezione dei dati (GDPR) .

Ulteriori sanzioni potrebbero essere applicate a tali organizzazioni in virtù delle leggi statali della California, di New York e del Texas. L’obiettivo è garantire una maggiore specificità e un’applicazione più rigorosa delle norme.

### In che modo la reputazione e la fiducia influenzano le priorità in materia di sicurezza?

La fiducia dei pazienti va oltre le semplici preoccupazioni aziendali: è un prerequisito clinico. Le organizzazioni che subiscono violazioni della sicurezza di grande risonanza perdono pazienti, incontrano difficoltà nel reclutamento di medici e subiscono un danno a lungo termine alla propria immagine.

Pertanto, la sicurezza è diventata un fattore competitivo nei mercati sanitari. Le aziende sanitarie che puntano alla crescita o che stringono partnership con altre entità dovrebbero concentrarsi sulla sicurezza, poiché gli stakeholder esterni vi prestano ormai particolare attenzione.

## Quali sono le minacce informatiche più comuni che gli ospedali devono affrontare oggi?

Le minacce informatiche più comuni nel settore sanitario sono il ransomware, il phishing, le minacce interne, le vulnerabilità dei dispositivi medici e le violazioni da parte di terzi.

Questi attacchi di estorsione informatica compromettono la sicurezza dei pazienti. Di conseguenza, tali attacchi interrompono le operazioni di assistenza sanitaria e di emergenza che sono fondamentali per la vita. Nello specifico, tali attacchi possono bloccare l’accesso alle cartelle cliniche elettroniche e rendere inutilizzabili le apparecchiature diagnostiche, quali la risonanza magnetica (RM) e la tomografia computerizzata (TC).

Secondo l’[American Hospital Association](https://www.aha.org/news/headline/2026-04-10-fbi-health-care-was-top-target-ransomware-other-cyberthreats-2025)
, nel 2025 il settore sanitario e quello dell’assistenza pubblica sono stati tra i principali settori presi di mira dalle minacce informatiche. Nel 2025 si sono verificati 460 attacchi ransomware e 182 violazioni dei dati in questo settore.

### Quale ruolo svolgono il phishing e l’ingegneria sociale nelle violazioni del settore sanitario?

[Il phishing rappresenta la principale minaccia alla sicurezza informatica nel settore sanitario](https://www.himss.org/resources/phishing-healthcare-how-not-be-victim-checklist/)
, minando la fiducia e la cultura della reattività all’interno delle organizzazioni. Il fatto è che assicuratori, rappresentanti farmaceutici e partner di riferimento inviano un volume ingente di e-mail agli operatori sanitari.

Pertanto, queste e-mail offrono agli aggressori numerose opportunità per prendere di mira le cartelle cliniche. Inoltre, gli aggressori utilizzano ormai strumenti di intelligenza artificiale per generare testi privi di errori che rendono difficile per i destinatari individuare le frodi.

Un’altra variante in crescita del phishing nel settore sanitario è il voice phishing (vishing). Si tratta di una truffa telefonica che gli hacker utilizzano per impersonare persone o organizzazioni di fiducia, al fine di indurre la vittima a rivelare informazioni sensibili sui pazienti.

Il rapporto M-Trends di Mandiant mostra che il vishing ha ufficialmente superato il tradizionale phishing via e-mail, diventando una delle principali varianti di minaccia: rappresenta l’11% delle violazioni riuscite, rispetto al solo 6% attribuito al phishing via e-mail.

### In che modo le minacce interne differiscono dagli attacchi esterni nel settore sanitario?

La maggior parte degli incidenti interni è causata dalla curiosità o dalla disattenzione piuttosto che da malizia. Ad esempio, un’infermiera potrebbe consultare la cartella clinica di un vicino, un addetto alla codifica delle fatture potrebbe accedere ai dati di un paziente famoso, oppure un medico potrebbe esaminare la cartella clinica di un familiare. Questi incidenti violano l’HIPAA senza alcun intento dannoso.

Per quanto riguarda la differenza tra attacchi interni ed esterni, la sicurezza dei confini di rete non è in grado di fermare gli utenti interni, poiché questi dispongono di credenziali legittime e hanno accesso ai sistemi autorizzati. Le organizzazioni sanitarie possono rilevare tali minacce con l’ausilio dell’analisi comportamentale, che consente di identificare modelli di accesso insoliti, non tipici del ruolo clinico dell’utente.

### Quali minacce emergenti dovrebbero prevedere gli ospedali?

Gli ospedali dovrebbero prevedere nuovi attacchi basati sull’intelligenza artificiale (IA). Ad esempio, le organizzazioni sanitarie ricevono sempre più spesso messaggi di testo convincenti e personalizzati generati dall’IA generativa. Inoltre, gli aggressori ricorrono alla clonazione vocale tramite IA per utilizzare il phishing vocale (vishing) e spacciarsi per colleghi noti o personale IT. Gli aggressori spesso hanno successo perché i dispositivi medici connessi (l’Internet delle cose mediche, o IoMT) presentano vulnerabilità di sicurezza critiche, quali sistemi operativi obsoleti e comunicazioni non crittografate.

Una pompa per infusione o un sistema di imaging compromesso consente agli hacker di sferrare un attacco e quindi di passare dal dispositivo compromesso ai sistemi di cartelle cliniche elettroniche. Nel settore sanitario sono attivi anche attori statali, quali gruppi che operano dalla Russia, dalla Cina, dalla Corea del Nord e dall’Iran. Nello specifico, prendono di mira i dati sanitari e mirano a compromettere le infrastrutture critiche di questo settore.

### Cosa si rendono conto in genere troppo tardi le organizzazioni sanitarie dopo un attacco ransomware?

Le organizzazioni sanitarie spesso non si rendono conto che il pagamento del riscatto non risolve i problemi legati all’assistenza ai pazienti e che gli aggressori potrebbero aver già compromesso i loro backup dei dati.

Ecco perché è fondamentale essere tecnicamente preparati a contrastare gli attacchi ransomware e disporre di adeguate conoscenze in materia di sicurezza su quali misure adottare per prevenire la perdita o la violazione dei dati prima che sia troppo tardi.

### Perché gli ospedali tecnicamente conformi continuano a subire gravi falle nella sicurezza?

Le organizzazioni sanitarie tecnicamente conformi continuano a subire gravi falle nella sicurezza informatica perché la documentazione di conformità e le misure di sicurezza dei dati sono pratiche di sicurezza effettive. E queste due cose spesso non vanno di pari passo nel settore sanitario.

Nello specifico, esiste un pericoloso divario tra le misure legali che un’organizzazione sanitaria deve seguire per superare un audit (conformità) e le misure effettive che adotta per evitare o fermare le minacce informatiche reali (sicurezza).

Ad esempio, un ospedale può essere conforme all’Health Insurance Portability and Accountability Act (HIPAA). Nello specifico, può documentare ogni fase e valutare i rischi, oltre a formare il proprio personale. Tuttavia, ciò non significa che l’ospedale protegga pienamente i propri sistemi e le proprie credenziali.

### In che modo i flussi di lavoro di emergenza aggirano silenziosamente i controlli di sicurezza delle informazioni sanitarie?

I supervisori spesso tollerano un aggiramento sistematico causato dall’urgenza clinica. Perché? Perché le rigide misure di sicurezza che il personale deve seguire durante le emergenze mettono a rischio la vita dei pazienti.

Nello specifico, quando gli operatori sanitari non riescono ad accedere alla cartella clinica relativa alle allergie di un paziente tramite la consueta procedura di autenticazione, aggirano i rigidi controlli per fornire cure immediate.

Con il passare del tempo, il personale segue le stesse procedure per accedere alle cartelle cliniche e la condivisione dei documenti diventa una prassi normale, creando così le premesse per attacchi permanenti.

### Perché i fallimenti nel backup e nel ripristino sono spesso più dannosi della violazione iniziale?

I fallimenti nel backup e nel ripristino causano spesso più danni della violazione iniziale perché il fallimento del backup elimina la possibilità di ripristino. Di conseguenza, un incidente grave può trasformarsi in un vero e proprio incidente operativo di grande entità per un’organizzazione sanitaria. Ecco perché.

Gli aggressori che prendono di mira i sistemi di backup in un’organizzazione sanitaria molto spesso hanno successo. Quando le organizzazioni crittografano contemporaneamente i sistemi primari e i backup, la scelta è in genere tra pagare quanto richiesto dagli hacker o ricostruire tutto da zero nel corso di settimane.

Durante questo periodo di crisi, i tassi di errore aumentano nelle operazioni cliniche, gli operatori sanitari annullano le procedure e il lavoro può richiedere orari insostenibili per gestire sia l’assistenza ai pazienti sia le soluzioni alternative ai sistemi.

## In che modo le infrastrutture legacy e la sicurezza dei dispositivi medici complicano la protezione?

Le infrastrutture legacy e la sicurezza dei dispositivi medici complicano la protezione a causa di sistemi obsoleti e non più supportati. Perché? Perché questi sistemi non sono in grado di fornire una protezione adeguata contro le moderne minacce di ransomware nel settore sanitario.

Le organizzazioni sanitarie continuano a utilizzare questi dispositivi poiché la loro sostituzione comporta costi elevati e compromette l’utilità clinica.

Di conseguenza, essi costituiscono un bersaglio ad alto rischio per gli attacchi informatici, tra cui ransomware, violazioni dei dati e interruzioni operative.

### Quali sfide comportano i sistemi EHR obsoleti e le applicazioni legacy?

Le aziende sanitarie spesso non possono aggiornare le applicazioni dei sistemi legacy e i sistemi di cartelle cliniche elettroniche poiché le operazioni cliniche devono proseguire senza interruzioni.

Inoltre, se un’organizzazione sanitaria sostituisce un sistema legacy in funzione da anni, deve convalidare la sostituzione, riqualificare il proprio personale e migrare i dati. E ciò non avviene spesso.

Di conseguenza, le organizzazioni diventano vulnerabili alle minacce informatiche.

### In che modo i dispositivi medici connessi e l’IoT stanno creando nuove superfici di attacco?

Le organizzazioni sanitarie subiscono spesso violazioni dei dati a causa delle vulnerabilità presenti nei dispositivi dell’Internet of Medical Things (IoMT), quali le pompe di infusione e i monitor paziente.

Nello specifico, gli aggressori possono modificare da remoto i dosaggi delle pompe per insulina e interferire con le comunicazioni dei pacemaker.

Ecco perché la [Food and Drug Administration (FDA) statunitense ha stabilito requisiti di sicurezza informatica più rigorosi per i nuovi dispositivi sanitari](https://www.fda.gov/regulatory-information/search-fda-guidance-documents/cybersecurity-medical-devices-quality-management-system-considerations-and-content-premarket)
. Ciò rientra nella Sezione 524B del Federal Food, Drug, and Cosmetic Act.

Ad esempio, [i requisiti di sicurezza informatica della FDA impongono](https://www.fda.gov/medical-devices/digital-health-center-excellence/cybersecurity)
 ai produttori di fornire un inventario dettagliato e leggibile da macchina di ogni componente software presente nel dispositivo. Nello specifico, se un monitor cardiaco funziona tramite una libreria di comunicazione Bluetooth open source, l’operatore sanitario deve documentare quella versione specifica e le sue dipendenze note, in modo che le vulnerabilità nascoste non possano passare inosservate.

### Quali sfide legate alla gestione delle vulnerabilità impediscono l’applicazione tempestiva delle patch negli ambienti clinici?

Per applicare una patch a un server clinico, le organizzazioni sanitarie dovrebbero valutare i rischi, inviare notifiche ai medici, organizzare una copertura sostitutiva e seguire procedure documentate relative ai tempi di inattività. Tutti questi passaggi devono essere eseguiti senza errori clinici.

Rispetto ad altri settori, l’applicazione delle patch nel settore sanitario è più lenta. Inoltre, occorre più tempo per rendere nota una vulnerabilità e correggere la relativa patch contro le minacce informatiche.

Gli aggressori sfruttano con successo le vulnerabilità note e correggibili perché le organizzazioni sanitarie non riescono a risolverle entro tempi adeguati dal punto di vista della sicurezza.

### In che modo i rapporti con i fornitori e la manutenzione da parte di terzi influiscono sulla sicurezza dei dispositivi?

I fornitori di apparecchiature mediche possono accedere in remoto ai dispositivi a fini diagnostici, per aggiornare il firmware o per monitorarne le prestazioni. Tale accesso contribuisce al regolare svolgimento delle operazioni cliniche, ma può rappresentare una sfida in termini di sicurezza. Ecco perché il numero di persone colpite da attacchi rivolti a partner commerciali terzi del settore sanitario è in crescita in tutto il mondo.

Infatti, quando una terza parte ha concluso il proprio rapporto con un’organizzazione sanitaria, i privilegi di accesso concessi per specifici scopi diagnostici non cessano.

## Quali realtà operative nascoste rendono la sicurezza dei dati nel settore sanitario particolarmente complessa?

La sicurezza dei dati nel settore sanitario presenta difficoltà specifiche, poiché è associata a un conflitto costante tra la sicurezza dei dati sanitari e la sicurezza delle persone.

Nello specifico, tale conflitto si manifesta tra la necessità di proteggere i sistemi dalle minacce e quella di consentire a chiunque di accedere immediatamente alle cartelle cliniche in caso di emergenza.

### Perché gli ospedali non possono semplicemente «bloccare tutto» come fanno le aziende tradizionali?

Le organizzazioni sanitarie spesso non possono bloccare tutto come fanno alcune aziende tradizionali quando subiscono una minaccia informatica. Ciò è dovuto al fatto che gli attriti legati alla sicurezza possono causare danni ai pazienti. In un ambiente aziendale, tali attriti possono causare disagi ai dipendenti.

Quando, in caso di emergenza, gli operatori sanitari non riescono a consultare la cartella clinica relativa alle allergie di un paziente a causa dei controlli di accesso, ciò può mettere a rischio la vita del paziente. Pertanto, i controlli di sicurezza nelle organizzazioni sanitarie devono essere progettati tenendo conto della realtà clinica. Altrimenti, in caso di ostacoli all’accesso inaccettabili, gli operatori sanitari aggireranno i requisiti di controllo.

### In che modo l’urgenza degli operatori sanitari, l’affaticamento da allarmi e le postazioni di lavoro condivise creano lacune di sicurezza?

Quando gli operatori sanitari sono impegnati con più pazienti in condizioni critiche e perdere anche solo un secondo può comportare un grave incidente operativo, non seguono le procedure di sicurezza: sono concentrati esclusivamente sul salvare vite umane.

È in questi casi che le postazioni di lavoro condivise da oltre 15 operatori sanitari per turno possono causare gravi problemi di sicurezza, quali l’accesso a dati sensibili dei pazienti e attacchi informatici al sistema. Ciò accade poiché la maggior parte delle architetture di sicurezza si basa sul modello di autenticazione individuale.

Infine, l’affaticamento da allarmi è un altro fattore che crea lacune di sicurezza nelle strutture sanitarie. Infatti, quando gli operatori sanitari ricevono richieste di autenticazione, avvisi di scadenza della sessione e messaggi di rifiuto dell’accesso, li considerano un onere aggiuntivo da ignorare.

### Perché gli ambienti clinici attivi 24 ore su 24, 7 giorni su 7 complicano l’applicazione della sicurezza informatica?

Gli ospedali operano 24 ore su 24, 7 giorni su 7, cosa che non si può dire del personale addetto alla sicurezza. Le operazioni di sicurezza non garantiscono una copertura completa durante i turni notturni. Inoltre, la capacità analitica diminuisce di fronte alle minacce informatiche. E gli autori di attacchi ransomware sofisticati ne sono ben consapevoli.

Gli hacker prendono di mira i cluster sanitari nelle prime ore del mattino perché la risposta alle minacce informatiche raggiunge il minimo e gli operatori sanitari sono affaticati. Ad esempio, un attacco ransomware alle 3 del mattino in un ospedale comporta conseguenze più gravi rispetto allo stesso incidente alle 10 del mattino, anche con le stesse misure tecniche di protezione in atto.

### Quali fattori legati al personale e all’aspetto umano aumentano il rischio per la sicurezza nei sistemi sanitari?

I fattori legati al personale e all’aspetto umano che aumentano i rischi per la sicurezza nei sistemi sanitari includono scorciatoie dettate dal burnout, la mancanza di consapevolezza informatica e lo stress sul posto di lavoro.

## In che modo il turnover del personale e la carenza di personale influiscono sul livello di sicurezza?

Se un’organizzazione sanitaria presenta elevati tassi di turnover, gli account dei dipendenti in uscita rimangono in genere attivi anche dopo la loro partenza. Ed è proprio qui che gli aggressori intervengono per accedere a tali account. Inoltre, anche gli ex dipendenti possono sfruttarli.

E che dire dei team a corto di personale? Questi hanno difficoltà a mantenere aggiornate le revisioni degli accessi, a effettuare il monitoraggio e a gestire correttamente le attività amministrative e le procedure di sicurezza. Di conseguenza, le organizzazioni sanitarie si trovano ad affrontare una protezione inadeguata contro le minacce informatiche.

### Perché talvolta gli operatori sanitari aggirano i controlli di sicurezza e come si può affrontare questo fenomeno?

Gli operatori sanitari aggirano i controlli di sicurezza nei casi in cui la vita dei pazienti possa essere messa a rischio a causa di misure di sicurezza che richiedono troppo tempo. Questo è uno degli esempi.

Nello specifico, se l’urgenza clinica è immediata e l’operatore sanitario deve seguire determinati passaggi relativi alla sicurezza per accedere alle cartelle cliniche, questi passaggi vengono aggirati.

E ciò ha a che fare con la progettazione e la disciplina. Pertanto, occorre eliminare gli ostacoli nel flusso di lavoro anziché punire i comportamenti di aggiramento. Ad esempio, le organizzazioni sanitarie dovrebbero prendere in considerazione l’utilizzo del Single Sign-On per l’autenticazione e l’accesso basato sui ruoli. Infatti, percorsi sicuri ed efficienti eliminano gli ostacoli, facendo scomparire le soluzioni alternative.

### In che modo gli operatori sanitari possono contribuire alla sensibilizzazione sulla sicurezza dei dati e ridurre l’errore umano?

I corsi di formazione sulla sicurezza tenuti trimestralmente e progettati per ruoli e scenari specifici migliorano notevolmente la consapevolezza in materia di sicurezza e riducono l’errore umano, cosa che non si può dire dei generici corsi annuali di formazione sulla conformità.

Gli ospedali di successo organizzano simulazioni di phishing basate su specifici contesti sanitari. Ad esempio, strutturano tali simulazioni attorno a notifiche urgenti relative alle assicurazioni, e-mail di aggiornamento normativo e link di riferimento medico.

Tale formazione dovrebbe aiutare il personale clinico a comprendere che una falla nella sicurezza può causare danni ai pazienti, ben oltre le semplici questioni normative.

### Quali modelli di governance e politiche di sicurezza riducono i rischi di sicurezza causati dall’errore umano?

Le organizzazioni sanitarie dovrebbero applicare una governance efficace per ridurre i rischi di sicurezza di origine umana. Tale governance dovrebbe basarsi su una politica redatta in linguaggio clinico, sull’applicazione coerente delle misure di sicurezza applicabili a tutti i membri del personale indipendentemente dall’anzianità di servizio e su una cultura in cui le preoccupazioni relative alla sicurezza vengano affrontate immediatamente.

Se le politiche sono finalizzate esclusivamente al soddisfacimento dei requisiti di conformità, ma il personale clinico non è in grado di comprenderle, esse non si tradurranno in controlli operativi.

### In che modo l’interoperabilità e la condivisione dei dati amplificano le sfide in materia di sicurezza?

L’interoperabilità e la condivisione dei dati espongono le organizzazioni sanitarie a un rischio maggiore di violazioni dei dati. Di conseguenza, le sfide alla sicurezza aumentano e diventano più complesse.

### Quali rischi sorgono quando le organizzazioni sanitarie scambiano informazioni sui pazienti tra istituzioni?

Quando le organizzazioni sanitarie scambiano dati dei pazienti, creano un potenziale punto di vulnerabilità. E ogni sistema ricevente diventa una potenziale fonte di fuga di dati.

La sicurezza dei dati condivisi dipende dal sistema più debole della rete di scambio.

Spesso tale sistema dispone di risorse di sicurezza minime e non è in grado di contrastare le moderne minacce informatiche. Il problema si complica quando si tratta di scambiare dati tra grandi sistemi sanitari.

Quando gli aggressori prendono di mira gli scambi di informazioni sanitarie, i centri di smistamento e gli aggregatori di dati, ogni organizzazione che condivide informazioni con essi ne risente. Ciò comporta responsabilità e obblighi di notifica che non riguardano solo l’ente oggetto della violazione.

### In che modo le API, lo standard FHIR e le app di terze parti modificano il panorama della sicurezza?

Le API [Fast Healthcare Interoperability Resources](https://www.nlm.nih.gov/oet/ed/healthdatastandards/03-600.html)
, basate sul [21st Century Cures Act](https://www.fda.gov/regulatory-information/selected-amendments-fdc-act/21st-century-cures-act)
, hanno ampliato la condivisione dei dati e il numero di applicazioni di terze parti relative ai pazienti.

Lo standard Fast Healthcare Interoperability Resources (FHIR) illustra come utilizzare strumenti e regole web comuni per realizzare l’interconnettività dei sistemi sanitari.

Il 21st Century Cures Act accelera lo sviluppo dei prodotti medici e offre ai pazienti nuove innovazioni e progressi per un’assistenza sanitaria più rapida ed efficiente.

Ogni [interfaccia di programmazione delle applicazioni (API)](https://aws.amazon.com/what-is/api/)
, in quanto meccanismo che consente ai componenti software di comunicare tra loro attraverso protocolli e definizioni di sicurezza specifici, funge da vettore di accesso quando si tratta di sicurezza informatica nel settore sanitario. Ciò è dovuto al fatto che le app di terze parti possono disporre di risorse di sicurezza limitate e mancare di un controllo significativo in materia di sicurezza.

Quando la proliferazione delle API sanitarie crea una superficie di attacco, non esiste un ecosistema di applicazioni esterne adeguatamente regolamentato per proteggere i dati dei pazienti che circolano tra i sistemi.

### Quali domande dovrebbero porre gli ospedali in merito alla gestione dei dati da parte dei fornitori e alla sicurezza dell’integrazione?

Gli ospedali dovrebbero porre domande specifiche sulla gestione dei dati da parte dei fornitori e sulla sicurezza dell’integrazione, che possano aiutarli a proteggere in modo sicuro i dati dei pazienti. Le risposte alle seguenti domande principali aiutano le organizzazioni sanitarie ad avere un quadro più chiaro e accurato delle questioni relative ai fornitori, piuttosto che affidarsi semplicemente agli [Accordi di collaborazione commerciale](https://www.hhs.gov/hipaa/for-professionals/covered-entities/sample-business-associate-agreement-provisions/index.html)
:

- “A quali categorie specifiche di [Informazioni sanitarie protette (PHI)](https://www.ncbi.nlm.nih.gov/books/NBK553131/) accede il fornitore? Dove vengono archiviate?”
- «Chi, all’interno dell’organizzazione del fornitore, ha accesso a tali dati e secondo quale modello di controllo degli accessi?»
- «Le credenziali di integrazione sono fisse o vengono aggiornate regolarmente?»
- «L’integrazione utilizza il principio del “privilegio minimo”?»
- «Quali registrazioni esistono presso il fornitore e sono disponibili per l’audit ospedaliero?»
- «Qual è la tempistica di notifica delle violazioni da parte del fornitore?»
- «Il piano di risposta agli incidenti del fornitore è stato testato?»
- «Qual è la loro storia in materia di incidenti di sicurezza, compresi quelli che non hanno raggiunto le soglie di notifica?»

### In che modo le organizzazioni possono conciliare la condivisione dei dati per il coordinamento delle cure con la privacy e la sicurezza?

Le organizzazioni sanitarie possono garantire un equilibrio tra la condivisione dei dati per il coordinamento delle cure e la sicurezza attraverso la minimizzazione dei dati.

Nello specifico, ciò significa che dovrebbero condividere solo le informazioni minime necessarie richieste per casi clinici specifici. Inoltre, dovrebbero regolamentare rigorosamente l’accesso a tali informazioni.

| Ambito di sicurezza | Misura chiave | Considerazioni specifiche per il settore sanitario |
| --- | --- | --- |
| Controllo degli accessi | Autenticazione a più fattori (MFA) + Accesso basato sui ruoli | Deve tenere conto delle postazioni di lavoro condivise e delle emergenze cliniche |
| Sicurezza di rete | Segmentazione + Zero Trust | Isolare le risorse tecnologiche cliniche senza interrompere i flussi di lavoro clinici |
| Protezione degli endpoint | EDR/XDR | I dispositivi clinici legacy potrebbero non supportare l’installazione di agenti |
| Protezione dei dati | Crittografia dei dati inattivi e in transito | L’aggiornamento proposto dell’HIPAA renderebbe obbligatoria la crittografia |
| Backup e ripristino | Backup immutabili e isolati fisicamente | I tempi di ripristino devono soddisfare i requisiti operativi clinici |
| Monitoraggio | SIEM con analisi comportamentale | Deve essere ottimizzato in base ai modelli di riferimento dei flussi di lavoro clinici |
| Gestione dei fornitori | Accordi BAA (Business Associate Agreement) e revisioni periodiche degli accessi | L’accesso dei fornitori è necessario, ma viene sistematicamente concesso in misura eccessiva |
| Risposta agli incidenti | Procedure operative collaudate con protocolli per i tempi di inattività clinica | Le operazioni cliniche non possono essere sospese per consentire la risposta di sicurezza |

Le organizzazioni di successo si affidano alla condivisione dei dati finalizzata a uno scopo specifico e implementano l’applicazione automatizzata delle politiche di condivisione a livello di API. Ciò le aiuta a garantire l’interconnettività ai fini della protezione dei dati dei pazienti attraverso un accesso limitato alle cartelle cliniche.

### Quali sono le sfide normative, di conformità e relative alla privacy che le organizzazioni sanitarie devono affrontare?

Le principali sfide normative, di conformità e relative alla privacy che le organizzazioni sanitarie devono affrontare includono la protezione dei dati sanitari sensibili dagli attacchi informatici, la conformità a quadri normativi quali [l’Health Insurance Portability and Accountability Act (HIPAA)](https://www.cdc.gov/phlp/php/resources/health-insurance-portability-and-accountability-act-of-1996-hipaa.html)
 e [il Regolamento generale sulla protezione dei dati (GDPR)](https://gdpr-info.eu/)
.

Un’altra sfida fondamentale è la gestione e l’integrazione dei dispositivi medici IoT e dell’intelligenza artificiale associati alla [Health Information Technology for Economic and Clinical Health (HITECH)](https://www.hhs.gov/hipaa/for-professionals/special-topics/hitech-act-enforcement-interim-final-rule/index.html)
.

### In che modo HIPAA, HITECH e GDPR si sovrappongono per le organizzazioni sanitarie?

L’Health Insurance Portability and Accountability Act stabilisce i requisiti per la protezione delle informazioni sanitarie dei pazienti e la notifica delle violazioni.

L’Information Technology for Economic and Clinical Health Act stabilisce i requisiti che rafforzano l’applicazione della protezione dei dati sanitari e impongono sanzioni pecuniarie civili. Le organizzazioni sanitarie devono pagare fino a 1,9 milioni di dollari all’anno per ciascuna categoria di violazione in caso di negligenza dolosa.

Il Regolamento generale sulla protezione dei dati (GDPR) si applica alle organizzazioni sanitarie che trattano i dati dei residenti nell’Unione Europea (UE). Questa normativa introduce requisiti di consenso più rigorosi, impone alle organizzazioni di notificare alle autorità di controllo eventuali violazioni entro 72 ore e prevede sanzioni fino al 4% del fatturato annuo globale.

In caso di sovrapposizione dei requisiti, le organizzazioni sanitarie devono attenersi agli standard di sicurezza dei dati sanitari più rigorosi tra quelli menzionati.

### Quali sono le implicazioni operative e legali di una violazione dei dati sanitari?

Una violazione dei dati sanitari può causare un immediato deterioramento delle prestazioni dei sistemi interessati. Il personale viene distolto dall’assistenza per dedicarsi alla gestione dell’incidente. La dirigenza si concentra maggiormente sulla risposta alla crisi piuttosto che sulla gestione organizzativa.

Dal punto di vista giuridico, le indagini e le azioni intraprese dal procuratore generale dello Stato possono richiedere anni. Sempre più spesso, i tribunali hanno ammesso teorie di responsabilità estese, quali il valore intrinseco della privacy e il danno clinico derivante dalla corruzione delle cartelle cliniche. Ciò ha abbassato la soglia per la certificazione delle azioni collettive e l’esposizione finanziaria.

Quali misure di sicurezza e quali best practice in materia di sicurezza delle informazioni sanitarie migliorano la resilienza informatica nel settore sanitario?

Le organizzazioni sanitarie possono rafforzare la propria resilienza nella protezione dei dati avvalendosi dell’architettura [Zero Trust](https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=930420)
. Il concetto di Zero Trust implica che nessuno debba essere considerato affidabile per impostazione predefinita, né all’interno né all’esterno della rete.

Inoltre, le organizzazioni dovrebbero utilizzare l’autenticazione a più fattori, segmentare i dispositivi medici IoT, effettuare regolarmente esercitazioni di backup e applicare un monitoraggio delle minacce potenziato dall’intelligenza artificiale per garantire un’assistenza ai pazienti senza interruzioni.

### Quali rischi legali derivano da controlli di sicurezza inadeguati o da una risposta ritardata alle violazioni?

Ai sensi dell’Health Insurance Portability and Accountability Act, le organizzazioni dispongono di 60 giorni dalla scoperta di una violazione.

Se un’organizzazione non è in grado di dimostrare un processo di individuazione chiaro e documentato, l’Ufficio per i Diritti Civili del Dipartimento della Salute e dei Servizi Umani e i tribunali nei contenziosi civili applicano inferenze sfavorevoli. Queste possono includere l’Inferenza di Presunta Mancata Tempestività e l’Inferenza di «Negligenza Dolosa».

La negligenza dolosa consiste nell’agire consapevolmente e intenzionalmente in modo da causare un inadempimento. Inoltre, implica un’indifferenza sconsiderata nei confronti degli obblighi legali, professionali o contrattuali.

La presunzione di mancato rispetto dei termini si riferisce alla mancata azione o alla mancata comunicazione di informazioni entro un lasso di tempo accettabile o previsto dalla legge.

Di conseguenza, le normative sanitarie statali impongono un limite di 30 giorni, il che può risultare problematico in relazione alla legge sulla portabilità e la responsabilità nell’assicurazione sanitaria (Health Insurance Portability and Accountability Act).

## Quali soluzioni per la sicurezza dei dati sanitari possono mitigare le moderne minacce informatiche?

Per mitigare le moderne minacce informatiche nel settore sanitario, tra cui ransomware, phishing e vulnerabilità dei dispositivi medici, le organizzazioni sanitarie devono implementare una strategia di difesa a più livelli basata su misure quali la valutazione dei rischi e la modellizzazione delle minacce.

Ecco un modello di maturità della sicurezza ospedaliera:

| Livello | Caratteristiche |
| --- | --- |
| Base | Reattivo |
| Intermedio | Segmentazione |
| Avanzato | Zero Trust |
| Maturità | Rilevamento automatizzato |

Vediamo in che modo queste e altre misure comuni relative alle strategie di sicurezza dei dati sanitari possano essere d’aiuto.

### In che modo le valutazioni dei rischi e la modellizzazione delle minacce possono essere adattate alle esigenze degli ospedali?

[La valutazione dei rischi nel settore sanitario](https://www.who.int/emergencies/risk-assessment)
 aiuta le organizzazioni sanitarie a valutare l’impatto clinico che i controlli di sicurezza hanno sulle possibili minacce e a individuare le vulnerabilità, quali l’accesso illimitato alle informazioni sanitarie e la condivisione dei dati dei pazienti.

[La modellizzazione delle minacce](https://www.cisco.com/site/us/en/learn/topics/security/what-is-threat-modeling.html#tabs-9da71fbd27-item-1288c79d71-tab)
 è un processo proattivo di sicurezza informatica che aiuta le organizzazioni sanitarie a identificare, analizzare e classificare per priorità le potenziali minacce alla sicurezza di un sistema prima che si verifichi un attacco. La modellazione delle minacce dovrebbe basarsi su scenari specifici, dal phishing alla compromissione delle credenziali.

### Quale ruolo svolgono la segmentazione di rete, la microsegmentazione e l’approccio «zero trust» nel settore sanitario?

[La segmentazione di rete](https://www.cisco.com/c/en_in/products/security/what-is-network-segmentation.html)
 rappresenta un investimento di sicurezza di grande valore, poiché aiuta le organizzazioni sanitarie a evitare che una singola workstation compromessa si trasformi in un incidente operativo a livello dell’intero ospedale. Segmentando le reti, le organizzazioni impediscono agli hacker di raggiungere i server delle cartelle cliniche elettroniche (EHR) o l’infrastruttura di backup.

L’[approccio «zero trust»](https://www.nist.gov/publications/zero-trust-architecture)
 va oltre: richiede la verifica di ogni richiesta di accesso. È importante sottolineare che l’approccio zero trust dovrebbe essere progettato tenendo conto della velocità di autenticazione e della compatibilità con i flussi di lavoro clinici nel settore sanitario.

### Quanto sono efficaci le soluzioni di rilevamento degli endpoint, EDR e XDR negli ambienti clinici?

[Il rilevamento e la risposta agli endpoint (EDR)](https://www.microsoft.com/en-us/security/business/security-101/what-is-edr-endpoint-detection-response)
, noto anche come rilevamento e risposta alle minacce degli endpoint (ETDR), è una tecnologia di sicurezza informatica che monitora costantemente un “endpoint”, come un telefono cellulare o un laptop, per eliminare le minacce informatiche dannose.

[Extended Detection and Response (XDR)](https://www.microsoft.com/en-us/security/business/security-101/what-is-xdr)
 è una delle moderne tecnologie di sicurezza in grado di rilevare i movimenti laterali, l’accesso tramite credenziali e le attività di ricognizione, analizzando i dati relativi alle minacce dagli endpoint alle reti, accelerando così l’individuazione e la mitigazione delle minacce.

Le organizzazioni sanitarie che utilizzano tali agenti di rilevamento, pur lasciando non monitorate le apparecchiature sanitarie collegate alla rete, godono di una maggiore protezione contro le minacce informatiche.

### In che modo la crittografia e la gestione delle identità possono proteggere le informazioni sanitarie protette (PHI) e altri dati personali?

La crittografia rende i dati sanitari inutilizzabili per gli utenti non autorizzati, proteggendo le informazioni sanitarie elettroniche dei pazienti (ePHI) presenti nei database, nelle copie di backup, nei dispositivi portatili e durante il trasferimento tra i sistemi.

[La gestione delle identità e degli accessi (IAM)](https://www.microsoft.com/en-us/security/business/security-101/what-is-identity-access-management-iam)
 è alla base della conformità all’Health Insurance Portability and Accountability Act (HIPAA). Questo standard minimo necessario si riferisce al controllo degli accessi basato sui ruoli e alle revisioni periodiche degli accessi che le organizzazioni sanitarie dovrebbero adottare per proteggere i dati dei pazienti.

La crittografia, combinata con la gestione delle identità e degli accessi, consente alle organizzazioni di impedire l’uso non autorizzato dei dati a seguito di una violazione. Inoltre, impedisce a soggetti interni dotati di privilegi eccessivi di accedere alle informazioni dei pazienti o di utilizzare credenziali compromesse per accedere alle cartelle cliniche.

### Qual è il ruolo dell’orchestrazione della sicurezza, dell’automazione e della pianificazione della risposta agli incidenti?

[Le piattaforme di orchestrazione, automazione e risposta alla sicurezza (SOAR)](https://www.microsoft.com/en-us/security/business/security-101/what-is-soar)
 consentono alle organizzazioni sanitarie di automatizzare gli avvisi iniziali e le azioni di risposta più comuni. Ciò può comportare la riduzione di ore di coordinamento manuale a pochi minuti di esecuzione automatizzata.

Nel settore sanitario, le piattaforme di orchestrazione, automazione e risposta alla sicurezza devono essere adeguate al contesto clinico. Ad esempio, in ambito sanitario, una logica di automazione sensibile al contesto clinico distingue i diversi tipi di endpoint.

È fondamentale che i piani di risposta agli incidenti vengano testati in scenari realistici; in caso contrario, rimarranno solo sulla carta. Inoltre, il processo decisionale basato su esercitazioni periodiche in condizioni di crisi simulate consente alle organizzazioni sanitarie di proteggere efficacemente i dati dei pazienti dalle minacce informatiche.

## Come si svolge tipicamente un moderno attacco ransomware nel settore sanitario all’interno di un ospedale?

Ecco un esempio di cronologia dell’attacco:

**Giorno 1:** Un coordinatore della fatturazione riceve un’e-mail di phishing che sembra una notifica dell’assicurazione sanitaria. Gli aggressori rubano le credenziali utilizzando una pagina di accesso contraffatta. Successivamente, si connettono tramite VPN. Il team di sicurezza non riceve notifiche di allerta poiché gli aggressori hanno utilizzato credenziali valide. Inoltre, l’indirizzo IP non si discosta dal normale modello di localizzazione dell’utente.

**Giorni 3–8:** Il gruppo di hacker identifica i controller di dominio, i server delle cartelle cliniche elettroniche e l’infrastruttura di backup. Gli hacker ottengono un accesso privilegiato tramite postazioni di lavoro obsolete e prive di patch e si procurano le credenziali di amministratore di dominio.

**Giorni 9–20:** Gli hacker sottraggono sistematicamente i dati dei pazienti. Inoltre, individuano i sistemi di backup, utilizzano le credenziali compromesse per accedervi e cancellano o crittografano i dati in vista della fase finale.

**Giorno 21:** Il ransomware colpisce i server delle cartelle cliniche elettroniche, i sistemi di imaging e amministrativi, le postazioni di lavoro e l’infrastruttura di backup. Le operazioni cliniche tornano a essere cartacee. Il personale medico rinvia gli interventi chirurgici. Le operazioni delle ambulanze ne risentono. Gli aggressori inviano richieste di riscatto con campioni dei dati dei pazienti rubati e minacciano di renderli pubblici.

### In che modo gli autori degli attacchi passano dal phishing alla compromissione dei sistemi di cartelle cliniche elettroniche?

Gli hacker passano dal phishing ai sistemi sanitari elettronici rubando le credenziali per ottenere l’accesso alla rete. Successivamente, utilizzano strumenti e credenziali legittimi, ottengono un accesso privilegiato attraverso vulnerabilità non corrette o il riutilizzo delle credenziali, per poi accedere alle cartelle cliniche elettroniche tramite credenziali a livello di dominio.

Le organizzazioni sanitarie devono avvalersi di tecnologie di ricerca delle minacce e di rilevamento delle anomalie comportamentali per individuare un’intrusione prima che il ransomware colpisca i sistemi.

### Perché i sistemi di backup e l’infrastruttura di ripristino sono sempre più presi di mira dagli hacker?

Gli hacker prendono sempre più di mira i sistemi di backup e l’infrastruttura di ripristino perché i backup non consentono agli aggressori di ottenere il pagamento del riscatto. Ecco perché i gruppi di ransomware si concentrano sulla distruzione dei backup come fase standard prima dell’attacco.

Le organizzazioni sanitarie dispongono di backup che gli hacker a livello di dominio possono distruggere facilmente. Per contrastare efficacemente gli attacchi ransomware nel settore sanitario, i sistemi di backup dovrebbero disporre di copie isolate (air-gapped) prive di un percorso di rete dall’ambiente di produzione.

Inoltre, dovrebbero essere progettati con configurazioni di archiviazione fisse che gli hacker non possano modificare. Infine, le credenziali utilizzate per i sistemi di backup dovrebbero essere tenute separate dal dominio di produzione.

### Quali interruzioni operative si verificano dopo che gli aggressori hanno avuto accesso ai dati sanitari?

Dopo che gli hacker hanno avuto accesso alle informazioni sanitarie, l’organizzazione attaccata torna all’uso della carta e annulla gli interventi non urgenti. Potrebbe inoltre dirottare i pazienti in condizioni di emergenza verso strutture vicine.

Le strutture vicine accolgono i pazienti dirottati e devono affrontare sfide impreviste, quali interventi chirurgici e diagnostica non pianificati, che compromettono il funzionamento complessivo.

Questa è la portata dell’impatto operativo, che si riferisce al danno, al malfunzionamento o alle conseguenze a cascata causate da un singolo incidente, un’esplosione o un errore di sistema.

Nel settore sanitario, un singolo attacco può compromettere l’assistenza in un intero sistema sanitario regionale.

## In che modo le organizzazioni sanitarie possono utilizzare Bacula Systems per rafforzare la resilienza nel recupero dai ransomware?

[Bacula Systems](https://www.baculasystems.com/it/)
 offre soluzioni di protezione e ripristino dei dati progettate per l’ambiente specifico delle minacce ai backup nel settore sanitario. [Le soluzioni di backup di Bacula per il settore sanitario](https://www.baculasystems.com/it/backup-sanitario/)
 garantiscono una resilienza contro il ransomware che si basa su 3 principi:

**Separazione architettonica**: copie di backup in «air-gap», prive di qualsiasi percorso di rete dall’ambiente di produzione. Configurazioni di archiviazione inalterabili, in cui i dati di backup non possono essere modificati o cancellati dagli hacker nemmeno utilizzando credenziali di amministratore compromesse.

Di conseguenza, Bacula elimina la possibilità di distruzione dei backup, che è diventata una pratica standard per i gruppi di ransomware.

**Protezione dei dati conforme all’HIPAA**: crittografia [Advanced Encryption Standard](https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197-upd1.pdf)
 (AES)-256 dei dati di backup sia inattivi che in transito. L’AES-256 è un algoritmo di crittografia simmetrica praticamente impenetrabile che utilizza una chiave a 256 bit per convertire il testo in chiaro in un testo cifrato.

Inoltre, Bacula offre una gestione degli accessi basata sui ruoli per l’infrastruttura di backup e una registrazione completa di tutte le operazioni di backup e ripristino. Di conseguenza, le organizzazioni sanitarie possono disporre della documentazione richiesta dagli audit di conformità e dalle indagini sulle violazioni.

**Capacità di ripristino verificata**: test automatizzati di integrità per confermare che i dati possano essere ripristinati secondo una pianificazione prestabilita. Di conseguenza, le organizzazioni sanitarie ottengono prove documentate della recuperabilità dei dati entro gli obiettivi clinici di tempo di ripristino (RTO) richiesti per la sicurezza dei pazienti.

Grazie a Bacula Systems, i sistemi operativi legacy in ambito sanitario possono funzionare sulle apparecchiature cliniche insieme alle piattaforme moderne.

Bacula fornisce alle principali piattaforme di database di cartelle cliniche elettroniche un backup coerente con le applicazioni e altamente sicuro. Di conseguenza, i dati ripristinati risultano clinicamente utilizzabili, anziché essere semplicemente recuperati dal punto di vista tecnico ma non funzionanti dal punto di vista operativo.

## In che modo le organizzazioni sanitarie dovrebbero prepararsi alle violazioni dei dati sanitari e agli incidenti di sicurezza?

Per prepararsi alle violazioni dei dati, le organizzazioni sanitarie dovrebbero sviluppare una solida cultura della sicurezza. A tal fine, è fondamentale formare regolarmente il personale, applicare controlli di accesso rigorosi, come l’autenticazione a più fattori, e mantenere un [piano di risposta agli incidenti (IRP)](https://www.cisco.com/site/us/en/learn/topics/security/what-is-an-incident-response-plan.html#tabs-9da71fbd27-item-1288c79d71-tab)
 rigorosamente testato, in grado di contribuire a ridurre al minimo l’impatto degli incidenti.

Ecco un esempio di lista di controllo per la sicurezza informatica nel settore sanitario:

- MFA abilitata
- Test di backup completati
- Inventario dei dispositivi medici
- Accesso dei fornitori verificato
- Risposta agli incidenti testata

### Cosa dovrebbe includere un piano di risposta agli incidenti ospedaliero e chi dovrebbe esserne coinvolto?

Oltre al team di sicurezza di un’organizzazione sanitaria, anche la dirigenza clinica dovrebbe essere coinvolta in un piano di risposta agli incidenti efficace. I piani di sicurezza devono essere strutturati attorno a una procedura di rilevamento ed escalation con soglie di notifica ben definite.

Inoltre, deve includere un protocollo per i tempi di inattività clinica che definisca come garantire la continuità dell’assistenza ai pazienti quando i sistemi non sono disponibili. Il piano deve inoltre comprendere un quadro di comunicazione che copra l’escalation interna, la notifica alle autorità di regolamentazione, l’informazione ai pazienti e la risposta ai media.

Infine, il piano deve includere le fasi di ripristino che assegnino priorità ai sistemi in base alla loro criticità clinica e specificare le modalità con cui le organizzazioni devono comunicare con le società esterne di risposta agli incidenti e con i consulenti legali.

In che modo le organizzazioni possono testare i piani di risposta senza interrompere l’assistenza ai pazienti?

Per testare i piani di risposta agli attacchi informatici senza compromettere l’assistenza ai pazienti, le organizzazioni sanitarie dovrebbero organizzare simulazioni basate su scenari reali con il personale chiave addetto alla risposta.

Tali simulazioni non dovrebbero concentrarsi su «cosa prevede il piano?», bensì su «in questa situazione specifica alle 3 del mattino di sabato, cosa fate, chi chiamate e quali decisioni cliniche prendete?».

Tale preparazione aiuta a evitare ruoli di risposta poco chiari, procedure inadeguate in caso di interruzione del servizio e ipotesi irrealistiche. È importante sottolineare che tutti questi scenari inadeguati e irrealistici vengono corretti prima che si verifichi l’incidente reale, al fine di evitare fallimenti durante la crisi.

### Quando e in che modo gli ospedali dovrebbero coinvolgere le forze dell’ordine, le autorità di regolamentazione e i soggetti terzi incaricati della risposta?

La Divisione Cyber dell’FBI (Federal Bureau of Investigation), che indaga e persegue i reati informatici, dovrebbe essere coinvolta sin dalle prime fasi in caso di incidenti confermati di ransomware. I gruppi dell’FBI specializzati in ransomware potrebbero disporre di strumenti di decrittografia e fornire informazioni sulle minacce utili a orientare le decisioni relative alla risposta.

Le organizzazioni sanitarie dispongono di 60 giorni dalla scoperta della violazione per rivolgersi all’Ufficio per i Diritti Civili del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti. Per quanto riguarda la consulenza legale, il coinvolgimento non dovrebbe essere rimandato a dopo l’incidente.

Di conseguenza, l’interazione tra avvocato e cliente non risulterà complicata e gli obblighi relativi ai tempi di notifica saranno facilmente gestibili nel rispetto dell’HIPAA e delle leggi statali applicabili.

Inoltre, un coinvolgimento tempestivo di questo tipo può aiutare a evitare inadempienze relative ai tempi di notifica che hanno dato luogo a significative azioni di contrasto.

### In che modo è possibile integrare gli insegnamenti tratti dall’incidente per rafforzare le difese future?

Le organizzazioni sanitarie dovrebbero condurre analisi post-incidente entro poche settimane, non mesi. Dopo tutto, analisi efficaci e tempestive aiutano a identificare le cause alla radice anziché i sintomi. Ciò è importante per assegnare azioni correttive specifiche a responsabili specifici entro determinate scadenze.

Imparare dalle esperienze acquisite aiuta le organizzazioni a proteggere meglio le informazioni dalle minacce informatiche nel settore sanitario. Nello specifico, gli attacchi di phishing andati a buon fine possono trasformarsi in insegnamenti sulla frequenza con cui le organizzazioni dovrebbero formare i propri dipendenti. Oppure un errore nell’integrità dei backup può insegnare a un’organizzazione come implementare con successo test automatizzati di ripristino.

### Quali sono gli ostacoli finanziari e organizzativi al miglioramento della sicurezza?

Dal punto di vista finanziario, i budget operativi limitati, gli elevati costi di rimedio e la dipendenza dai sistemi legacy possono costituire ostacoli alla sicurezza nelle organizzazioni sanitarie. Dal punto di vista organizzativo, la carenza di personale qualificato in materia di sicurezza informatica e gli elevati carichi di lavoro clinico possono causare errori sistematici da parte degli utenti.

### In che modo i dirigenti del settore sanitario possono giustificare gli investimenti in sicurezza nei confronti dei consigli di amministrazione e delle parti interessate?

Gli investimenti in sicurezza comprendono la sicurezza dei pazienti, i risultati finanziari e la reputazione dell’organizzazione. Nello specifico, i costi includono le perdite di ricavi dovute ai tempi di inattività clinica causati dal rinvio delle procedure, l’esposizione a sanzioni normative e gli effetti sulla reputazione in termini di volume di pazienti.

Sebbene la consapevolezza in materia di difesa informatica stia crescendo tra le organizzazioni sanitarie, la maggior parte di esse continua a non destinare fondi dei propri bilanci IT alla sicurezza informatica ospedaliera.

### Quali modelli esistono per quantificare il ritorno sugli investimenti in sicurezza negli ospedali?

La riduzione prevista delle perdite rappresenta il quadro di riferimento più utile per quantificare il ritorno sugli investimenti in sicurezza nelle organizzazioni sanitarie. Essa consente di quantificare il ritorno sull’investimento in sicurezza informatica misurando il costo di uno strumento di sicurezza rispetto al rischio finanziario che esso elimina.

Le organizzazioni che implementano controlli robusti e ne documentano l’applicazione generano risparmi immediati e ricorrenti che compensano parzialmente i costi degli investimenti in sicurezza.

### In che modo gli appalti, i cicli di bilancio e le priorità concorrenti ritardano i progetti di sicurezza?

I cicli di investimento nel settore sanitario hanno cadenza annuale: identificazione nel primo anno, inserimento in bilancio nel secondo e attuazione nel terzo. Questi cicli determinano il già citato intervallo di tre anni che intercorre tra l’identificazione delle vulnerabilità e l’attuazione delle misure correttive.

Durante tale periodo, gli aggressori si concentrano sullo sfruttamento delle vulnerabilità all’interno delle organizzazioni. E le falle di sicurezza più gravi nel settore sanitario non derivano da capacità sofisticate, bensì sono causate da cicli di bilancio inadeguati, priorità concorrenti e inerzia organizzativa che hanno permesso lo sfruttamento delle vulnerabilità.

### Quali incentivi o meccanismi di finanziamento possono accelerare i necessari aggiornamenti di sicurezza?

Di norma, sovvenzioni governative mirate, programmi di resilienza pubblico-privati, incentivi normativi basati sulle tariffe e fondi per l’innovazione a duplice uso accelerano gli aggiornamenti di sicurezza.

Ad esempio, le organizzazioni sanitarie possono richiedere i fondi proposti dal Dipartimento della Salute e dei Servizi Umani degli Stati Uniti provenienti dal Medicare Hospital Insurance Trust Fund. Nello specifico, tali fondi possono essere utilizzati per aggiornamenti di sicurezza informatica presso ospedali con elevate esigenze nell’ambito del quadro degli [Obiettivi di prestazione in materia di sicurezza informatica nel settore sanitario](https://hhscyber.hhs.gov/cybersecurity-performance-goals.html)
.

Inoltre, la [Cybersecurity and Infrastructure Security Agency (CISA)](https://www.cisa.gov/about/cisa-central)
, la Divisione Cyber dell’FBI e l’[Health Information Sharing and Analysis Center (Health-ISAC)](https://health-isac.org/)
 forniscono informazioni sulle minacce, quadri di riferimento sulle migliori pratiche e assistenza tecnica.

## Domande frequenti

### Perché le organizzazioni sanitarie sono bersagli frequenti del ransomware nonostante i notevoli investimenti nella sicurezza informatica?

Il settore sanitario è considerato un bersaglio ottimale per gli autori di attacchi ransomware a causa dei dati di alto valore presenti nelle organizzazioni sanitarie, che vale la pena ottenere e utilizzare a scopo di estorsione. Inoltre, il settore sanitario è associato all’urgenza legata alla salvaguardia della vita umana, il che mette le vittime sotto pressione affinché paghino rapidamente. Infine, i controlli operativi vengono spesso aggirati dal personale clinico a causa della necessità di fornire cure immediate ai pazienti.

### Quali soluzioni per la sicurezza dei dati sanitari sono più efficaci contro le minacce interne e l’uso improprio delle credenziali?

Le piattaforme di [analisi del comportamento di utenti ed entità (UEBA)](https://www.microsoft.com/en-us/security/business/security-101/what-is-user-entity-behavior-analytics-ueba)
 rilevano in modo più efficace gli accessi malintenzionati da parte di personale interno e l’uso di credenziali compromesse. Queste soluzioni tecniche rivelano quali modelli di comportamento siano incoerenti con il ruolo clinico di un utente. È importante sottolineare che tali piattaforme debbano essere adeguate agli ambienti sanitari. Infine, occorre applicare una rigorosa governance degli accessi, che includa il controllo degli accessi basato sui ruoli, revisioni periodiche degli accessi e la revoca tempestiva dei diritti di accesso ai dipendenti in uscita.

### In che modo gli ospedali dovrebbero stabilire le priorità nell’ordine di ripristino dopo che una violazione dei dati sanitari ha interessato più sistemi clinici?

L’ordine di ripristino dovrebbe essere stabilito in base alla criticità clinica piuttosto che alla convenienza. In primo luogo, le organizzazioni sanitarie dovrebbero concentrarsi sulla sicurezza dei pazienti. Nell’ambito del ripristino dei sistemi, le organizzazioni dovrebbero dare priorità ai sistemi di sicurezza vitale relativi al monitoraggio dei pazienti, alla somministrazione dei farmaci e ai reparti di pronto soccorso. Seguono poi l’infrastruttura delle cartelle cliniche elettroniche (HER). Successivamente vengono gli archivi di imaging, i sistemi amministrativi e, infine, quelli di fatturazione.

Informazioni sull'autore

[https://www.linkedin.com/in/rob-morrison-3aa443/](https://www.linkedin.com/in/rob-morrison-3aa443/)

Rob Morrison è il direttore marketing di Bacula Systems. Ha iniziato la sua carriera nel marketing IT con Silicon Graphics in Svizzera, ottenendo ottimi risultati in vari ruoli di gestione del marketing per quasi 10 anni. Nei 10 anni successivi, Rob ha ricoperto anche diverse posizioni di gestione del marketing in JBoss, Red Hat e Pentaho, assicurando la crescita della quota di mercato di queste note aziende. Si è laureato all'Università di Plymouth e ha conseguito una laurea ad honorem in Digital Media and Communications e ha completato un programma di studi all'estero.

*Messaggi correlati*

[https://www.baculasystems.com/it/it-blog/ripristino-del-backup-iso-27001/](https://www.baculasystems.com/it/it-blog/ripristino-del-backup-iso-27001/)
[Implementazione del backup e del ripristino dei dati ISO 27001: Una guida completa ai requisiti](https://www.baculasystems.com/it/it-blog/ripristino-del-backup-iso-27001/)

Gennaio 10, 2025

[https://www.baculasystems.com/it/it-blog/backup-e-ripristino-del-mainframe/](https://www.baculasystems.com/it/it-blog/backup-e-ripristino-del-mainframe/)
[Backup e ripristino dei mainframe: strategie moderne per sistemi aziendali resilienti](https://www.baculasystems.com/it/it-blog/backup-e-ripristino-del-mainframe/)

Marzo 30, 2026

[https://www.baculasystems.com/it/it-blog/strategie-e-migliori-prassi-di-backup-del-ransomware-come-fare-per-proteggere-i-backup-dal-ransomware/](https://www.baculasystems.com/it/it-blog/strategie-e-migliori-prassi-di-backup-del-ransomware-come-fare-per-proteggere-i-backup-dal-ransomware/)
[Strategie e migliori prassi di backup del ransomware. Come fare per proteggere i backup dal Ransomware?](https://www.baculasystems.com/it/it-blog/strategie-e-migliori-prassi-di-backup-del-ransomware-come-fare-per-proteggere-i-backup-dal-ransomware/)

Ottobre 13, 2025

[https://www.baculasystems.com/it/it-blog/strategia-di-backup-aziendale/](https://www.baculasystems.com/it/it-blog/strategia-di-backup-aziendale/)
[Le migliori pratiche e la guida per la strategia di backup aziendale](https://www.baculasystems.com/it/it-blog/strategia-di-backup-aziendale/)

Febbraio 22, 2024

[https://www.baculasystems.com/it/it-blog/guida-al-backup-di-solaris/](https://www.baculasystems.com/it/it-blog/guida-al-backup-di-solaris/)
[Guida al backup di Solaris: Migliori pratiche e strumenti per il backup dei sistemi Solaris](https://www.baculasystems.com/it/it-blog/guida-al-backup-di-solaris/)

Luglio 10, 2025

[https://www.baculasystems.com/it/it-blog/che-cose-la-continuita-aziendale-il-recupero-dei-disastri/](https://www.baculasystems.com/it/it-blog/che-cose-la-continuita-aziendale-il-recupero-dei-disastri/)
[Che cos'è la Business Continuity e il Disaster Recovery? La differenza tra BC e DR](https://www.baculasystems.com/it/it-blog/che-cose-la-continuita-aziendale-il-recupero-dei-disastri/)

Maggio 1, 2024