La sicurezza delle informazioni nel settore sanitario: perché è diversa e dove si verificano le criticità

La sicurezza informatica nel settore sanitario significa proteggere i dati dei pazienti e garantire il regolare svolgimento delle cure; in questo settore, infatti, questi due aspetti costituiscono un unico problema. Una cartella clinica trapelata non può essere recuperata come invece si può reimpostare una password rubata, e un sistema di archiviazione bloccato non causa solo disagi: comporta il rinvio delle procedure e l’impossibilità di consultare le anamnesi terapeutiche. Ecco perché in questo ambito la sicurezza è una questione di sicurezza dei pazienti piuttosto che una semplice preoccupazione informatica.

Di seguito analizziamo perché questo settore sia un obiettivo così allettante, quali norme si applicano e cosa venga effettivamente richiesto, dove si verificano gli intoppi in una normale giornata lavorativa e come organizzare la componente umana senza rallentare l’assistenza vera e propria.

Perché il settore sanitario è un bersaglio

I dati sanitari hanno un valore maggiore per un criminale rispetto al numero di una carta di credito, poiché non possono essere bloccati né sostituiti. Una cartella clinica riunisce i dati identificativi, la storia clinica e le informazioni assicurative, e rimane valida per tutta la vita. Ciò la rende appetibile per frodi, estorsioni ai danni di privati e rivendita.

A ciò si aggiunge la pressione a cui sono sottoposte le strutture sanitarie. Un malintenzionato che crittografa i sistemi di un ospedale o di una struttura assistenziale sa bene che non è possibile aspettare: l’assistenza non può essere sospesa mentre si indaga con calma sulla situazione. È proprio su questa urgenza che si basa l’estorsione, e i criminali lo sanno bene.

Infine, il settore rappresenta un obiettivo insolitamente complesso da difendere. L'assistenza sanitaria si basa su turni di lavoro con personale che cambia, postazioni di lavoro condivise, dispositivi personali, apparecchiature mediche connesse con cicli di vita lunghi e un’ampia cerchia di soggetti esterni: fornitori, laboratori, medici di base, farmacie. Ogni connessione rappresenta un punto di accesso e poche di esse possono essere semplicemente disattivate.

Le norme applicabili: NEN 7510, AVG e NIS2

Il settore sanitario olandese dispone di uno standard proprio in materia di sicurezza delle informazioni. Lo standard NEN 7510 si basa sulla struttura internazionale della norma ISO 27001 e aggiunge requisiti specifici relativi ai dati dei pazienti, il che significa che richiede un sistema di gestione operativo piuttosto che un elenco di prodotti acquistati. Se sia o meno un requisito di legge è una questione a sé stante, che affrontiamo nel nostro articolo dedicato all’obbligatorietà dello standard NEN 7510.

Accanto ad esso vi è la norma NEN 7513, che riguarda la registrazione delle attività: la possibilità di stabilire a posteriori chi abbia consultato quale documento. Tale norma esiste perché l’incidente più comune in materia di privacy nel settore sanitario non è un attacco esterno, bensì un collega che consulta un file che non avrebbe dovuto aprire.

A ciò si aggiunge il regolamento AVG, e i dati sanitari rientrano nella categoria dei dati sensibili, soggetti ai requisiti di trattamento più rigorosi. Le organizzazioni sanitarie di maggiori dimensioni potrebbero inoltre rientrare nell’ambito di applicazione della direttiva NIS2, che prevede obblighi in materia di gestione dei rischi, segnalazione degli incidenti e formazione documentabile per il personale e la dirigenza. Cosa ciò comporti per ciascuna tipologia di organizzazione è illustrato nel nostro articolo su come la direttiva NIS2 influisca sul settore sanitario.

Il filo conduttore di tutti questi aspetti è lo stesso: conoscere i rischi, organizzare correttamente gli accessi ed essere in grado di dimostrare che il proprio personale sa cosa fare. È proprio su quest’ultimo requisito che la maggior parte delle organizzazioni presenta le prove più deboli.

Dove si verificano gli errori nella pratica quotidiana

Raramente tramite un attacco sofisticato, e quasi sempre tramite qualcosa che in quel momento sembrava sensato. Il lavoro di cura è veloce, soggetto a interruzioni e condiviso, e le misure di sicurezza che ignorano questi aspetti vengono aggirate nel giro di una settimana.

• Account condivisi su postazioni di lavoro condivise. Un unico accesso al computer del reparto, perché effettuare il login e il logout tra un paziente e l’altro richiede minuti che nessuno ha a disposizione. Funziona, finché non occorre stabilire chi ha consultato una cartella clinica.
• Schermi visibili dal corridoio. Una postazione di lavoro al bancone, un tablet su un carrello, un monitor in una sala trattamenti con la porta aperta. La fuga di dati più comune nel settore sanitario non ha alcuna componente tecnica.
• Conversazioni con i pazienti tramite app di messaggistica. Foto di una ferita inviate su WhatsApp perché è più veloce rispetto al canale ufficiale. Di solito con buone intenzioni, ma raramente disciplinate da un accordo.
• Phishing ai danni del personale sanitario. Un’e-mail su una modifica al turno di lavoro, una richiesta urgente che sembra provenire da un responsabile, una pagina di accesso contraffatta al sistema di gestione delle cartelle cliniche. La fretta è la migliore alleata dell’autore dell’attacco.
• Curiosità nel sistema di archiviazione dei dati. Cercare informazioni su un collega, un vicino o un paziente noto. Si tratta di una violazione della privacy anche quando nessuna informazione esce dall’edificio, ed è proprio la registrazione di tali operazioni a renderla evidente.
• Un accesso che va oltre la durata del contratto. Stagisti, personale a tempo determinato e colleghi che hanno lasciato l’azienda, i cui account rimangono attivi perché la gestione della disattivazione degli account non è di competenza di nessuno in modo chiaro.

Ciò che accomuna questi casi è che si tratta tutte di decisioni umane prese sotto pressione, non di guasti tecnici. Non è possibile porvi rimedio, ma è possibile esercitarsi ad affrontarle.

Come affrontarlo senza rallentare l'assistenza

Le misure efficaci nel settore sanitario sono quelle che si adattano al ritmo del lavoro. Dal punto di vista tecnico, ciò significa un sistema di accesso unico (single sign-on) con cambio rapido di account, in modo che disconnettersi non sia più una seccatura, l’autenticazione a più fattori per l’accesso remoto, backup collaudati conservati offline e la segmentazione della rete, affinché una postazione infetta non possa raggiungere le apparecchiature mediche.

Dal punto di vista umano, la sessione annuale in aula è il formato meno adatto a questo settore: chi lavora a turni la perde, il personale interinale non vi partecipa mai e, quando arriva quella successiva, le minacce sono già cambiate. Una formazione breve e ricorrente funziona meglio proprio perché si inserisce tra due turni, e una simulazione di phishing mostra ciò che le persone fanno realmente piuttosto che ciò che hanno risposto in un quiz. Il modo in cui un’organizzazione di assistenza integri tutto ciò nella propria cultura è un argomento che abbiamo approfondito nel nostro articolo sulla cultura della consapevolezza della sicurezza nel settore sanitario olandese.

In questo ambito, più che in qualsiasi altro, un principio è fondamentale: la segnalazione deve essere impeccabile e rapida. In un settore in cui un errore viene percepito come un fallimento nei confronti del paziente, l’istinto è quello di tacere, ed è proprio il silenzio a trasformare un semplice clic in un incidente che finisce nel sistema di registrazione.

In che modo Guardey supporta le organizzazioni sanitarie

Il corso di formazione sulla sicurezza informatica di Guardey si basa su sfide settimanali della durata di circa tre minuti, con elementi di gamification quali classifiche e serie di risultati consecutivi, oltre a contenuti che tengono conto delle minacce effettivamente in circolazione. Questo formato è fondamentale nel settore sanitario: si inserisce in una pausa anziché richiedere un intero pomeriggio dedicato, e il personale può seguire la formazione tramite l’app mobile per iOS e Android o semplicemente dal browser, il che permette di coinvolgere anche i colleghi che non lavorano mai alla scrivania.

Le simulazioni integrate di phishing dimostrano se la consapevolezza si traduce in comportamenti concreti, mentre i report pronti per l’audit trasformano la partecipazione e i progressi in prove a sostegno della conformità alla norma NEN 7510, all’AVG e alla NIS2. Organizzazioni sanitarie quali Psyned, Odion e la Roosevelt Kliniek collaborano con Guardey, e la nostra pagina dedicata alla formazione sulla sicurezza informatica nel settore sanitario illustra come funziona per ogni tipo di organizzazione. La configurazione richiede pochi minuti.

Domande frequenti sulla sicurezza delle informazioni nel settore sanitario

La norma NEN 7510 è obbligatoria per tutti gli operatori sanitari?

Funge da norma di riferimento del settore per il trattamento dei dati dei pazienti e, nella pratica, è ciò che i superiori, gli assicuratori e i clienti si aspettano che tu rispetti, sebbene l’obbligo preciso dipenda dal tuo ruolo e dagli accordi che hai stipulato. La certificazione è una scelta distinta dal rispetto dello standard; molte organizzazioni adottano il secondo senza il primo.

Cosa si intende per violazione dei dati nel settore sanitario?

Qualsiasi situazione in cui i dati personali siano stati esposti al rischio di perdita o di trattamento illecito: un file inviato al destinatario sbagliato, la perdita di un dispositivo, la consultazione non autorizzata di un documento o un sistema che è stato crittografato. L’obbligo di segnalazione dipende dal rischio per le persone coinvolte e, nel caso dei dati medici, tale soglia viene raggiunta rapidamente.

Come formiamo il personale che lavora a turni?

Abbandonando il presupposto che tutti possano trovarsi nella stessa stanza, brevi moduli accessibili da cellulare, disponibili ogni volta che se ne presenta l’occasione, raggiungono il personale delle agenzie e quello notturno, che una sessione in aula non riesce strutturalmente a coinvolgere. Ciò che conta è il ritmo piuttosto che la durata: pochi minuti alla settimana sono meglio di un pomeriggio all’anno.

Possiamo parlare dei pazienti su WhatsApp?

Le app di messaggistica destinate ai consumatori non sono progettate per i dati di categoria speciale e, in genere, non sono conformi agli accordi che un’organizzazione sanitaria deve stipulare in materia di trattamento e conservazione dei dati. La soluzione pratica non consiste semplicemente nel vietarne l’uso, ma nell’offrire un’alternativa altrettanto veloce, perché una regola che richiede tempo non può competere con un’app che ne fa risparmiare.

Il successo o il fallimento della sicurezza informatica nel settore sanitario dipende dal fatto che le misure adottate siano adeguate al contesto lavorativo. Una politica che presuppone un’attenzione meticolosa verrà aggirata da chi non ha il tempo di seguirla, mentre una piccola abitudine che si inserisce tra un paziente e l’altro ha maggiori possibilità di durare nel tempo. Le organizzazioni che riescono a gestire al meglio questa situazione non sono quelle con le regole più rigide, ma quelle in cui segnalare qualcosa di insolito è normale quanto lavarsi le mani.