Cybersecurity nell’Healthcare: quali sono i trend?

Occorre innanzitutto considerare che il numero, la varietà e l’interdipendenza dei diversi processi di business, ovvero dei processi a tutela della salute del paziente è molto vasta ed esprime una complessità interna enorme. L’adozione di soluzioni IT a supporto di tali processi non è stata uniforme e pianificata ma ha avuto evoluzioni diverse, spesso indipendenti e non condivise, a partire dai reparti intrinsecamente più tecnologici (come ad esempio la radiologia) e via via a ricoprire tutte le diverse funzioni.

Negli ultimi quindici anni la digitalizzazione e in generale l’adozione di soluzioni IT ha avuto una fortissima accelerazione avendo come obiettivo sia la razionalizzazione ed integrazione dell’esistente sia la copertura di nuovi processi. Tenuto conto della diversità e difformità di partenza, della mancanza di un coordinamento a livello nazionale e talvolta regionale, il risultato è mediamente un sistema informativo estremamente articolato, diversificato e stratificato sulle diverse linee evolutive.

Data la fortissima interdipendenza fra applicativi e processi, tenuto conto della numerosità e della tipologia degli utenti, risulta estremamente costoso, in termini organizzativi e formativi, sostituire un applicativo. La conseguenza principale è una forte presenza di soluzioni legacy, progettate e sviluppate con metodologie, framework e tecnologie talvolta obsolete e in un contesto ove la sicurezza non era uno dei requisiti principali.  Si è oggi in presenza di un ecosistema applicativo informativo complesso e frammentato, con soluzioni integrate fra loro con le più diverse tecnologie e metodologie, talvolta anche scarsamente documentate. Ne consegue che la vulnerabilità di un singolo applicativo spesso si riflette sull’intero sistema e risulta molto complessa anche un’analisi di tipo what-if.

A livello normativo il mondo healthcare è impattato in modo pervasivo dalle leggi a tutela della privacy e da alcune direttive sulla cybersecurity (ad esempio la Direttiva 2016/1148 sulla sicurezza delle reti e dei sistemi informativi, meglio nota come Direttiva NIS). La compliance normativa è molto importante e ai contenziosi legati ad errori, o presunti tali, nei processi di cura, si potrebbero aggiungere quelli derivanti dalle violazioni dei diritti tutelati dalla normativa sulla protezione dei dati personali.

Una struttura ospedaliera è caratterizzata dalla necessità di operare in continuità di servizio: non esistono finestre manutentive. Di conseguenza l’aggiornamento e il patching di sistemi e applicativi risultano essere complessi da realizzare, tenuto anche conto delle architetture spesso obsolete che non consentono di aggiornare i sistemi senza interrompere i servizi. Non è quindi inusuale avere un numero elevato di sistemi soggetti a vulnerabilità note anche da tempo e per le quali sono state rilasciate le relative patch ma che per le motivazioni di cui sopra non sono mai state applicate.

Da un punto di vista di dotazioni tecnologiche si è in presenza di apparati che storicamente hanno avuto come focus la ricerca della prestazione in termini diagnostici o di supporto alla diagnosi, trascurando quasi completamente gli aspetti di security. Ecco quindi che apparati estremamente sofisticati da un punto di vista biomedicale possono utilizzare sistemi operativi obsoleti e non più supportati. La situazione è ancor più gravata dal fatto che su tali apparati richiedono certificazioni che potrebbero essere compromesse qualora si cercasse di installare a posteriori, su tali sistemi operativi, soluzioni di sicurezza.

La criticità degli elettromedicali è oggi accentuata sia da un processo di miniaturizzazione che dal sempre maggior utilizzo di tecnologie wireless. Se da un lato questo consente la produzione di apparati che possono essere utilizzati in mobilità con grandi benefici sia per il personale addetto che per i pazienti, d’altro canto pongono problemi di sicurezza sempre maggiori. Inoltre, per garantire la continuità operativa delle proprie soluzioni, le case produttrici spesso offrono un servizio di monitoraggio da remoto che tuttavia richiede l’apertura di connessioni VPN, talvolta realizzate con apparati proprietari, che risultano complesse da gestire e monitorare. Tali connessioni, in alcuni casi, sono anche un prerequisito indispensabile per poter usufruire dell’assistenza sugli apparati stessi.

Nel valutare gli aspetti di security relativamente agli elettromedicali va tenuto conto che tali apparati non hanno solo un uso diagnostico ma sempre più spesso sono anche di supporto alle terapie e alle cure. Basti pensare all’uso della robotica nella chirurgia di precisione, alla radioterapia o agli ultimi ritrovati che combinando tecnologie diverse quali risonanza magnetica e ultrasuoni sono in grado di rimuovere cellule del cervello danneggiate. Poiché tali dispositivi intervengono direttamente sul paziente il problema non è più solo di security ma anche di safety: una loro compromissione può avere effetti anche gravissimi.

A tutela di entrambe si è mossa la Comunità Europea con leggi principalmente rivolte ai produttori di device medicali, ma la sicurezza, per essere efficace, deve basarsi su un modello di responsabilità condiviso, è quindi fondamentale garantire che l’infrastruttura IT in cui i dispositivi medicali vengono installati, soddisfi i requisiti di sicurezza condivisi.

“I produttori devono stabilire i requisiti minimi relativi all'hardware, alle caratteristiche delle reti IT e alle misure di sicurezza IT, inclusa la protezione contro l'accesso non autorizzato, necessari per eseguire il software come previsto”.  – Annex I, punto 17,4