Come costruire una cultura security awareness nella sanità olandese

Nessun altro settore nei Paesi Bassi registra così tante violazioni dei dati come quello sanitario. Solo nel 2024 sono stati segnalati 6.873 casi.

Recentemente, un attacco ransomware a Clinical Diagnostics Nederland ha portato al furto di ben 300GB(!) di dati, tra cui numeri di previdenza sociale e risultati di test medici.

Molti di questi dati sono finiti anche sul dark web. L'incidente ha colpito anche Bevolkingsonderzoek Nederland e diversi ospedali e medici di base. I criminali informatici hanno avuto accesso ai dati di 850.000 persone. L'evento è stato abbastanza grave da far scattare interrogazioni parlamentari.

È evidente che ci sono molti motivi per cui il settore sanitario deve investire seriamente in una solida cultura della sicurezza. Una cultura in cui ogni dipendente comprenda il potenziale impatto di un attacco informatico e il ruolo che svolge nel prevenirlo. Tuttavia, in molte organizzazioni sanitarie, la security awareness rimane una priorità bassa o semplicemente una sfida troppo ardua.

Ogni ospedale, struttura sanitaria e laboratorio dei Paesi Bassi si trova a un clic disattento dalla stessa notizia. Non perché i loro sistemi siano deboli, ma perché il loro personale è impreparato.

In questo articolo analizzeremo lo stato della security awareness in ambito sanitario, il motivo per cui molte iniziative non riescono a decollare e come risolvere il problema.

Innanzitutto, che aspetto ha una sana cultura security awareness ?

Nel settore sanitario, una forte cultura security awareness è essenziale per proteggere i dati medici sensibili, mantenere la fiducia dei pazienti e garantire la continuità delle cure.

Perché? Perché una fuga di dati medici può essere molto più dannosa di quanto si possa immaginare.

Come ha detto Stefan Behrens, amministratore delegato di un'organizzazione di assistenza psicologica: "I dati medici sono tra i dati personali più sensibili, ma preferisco trovare online la mia radiografia dentale piuttosto che gli appunti del mio terapeuta. Questo livello di vulnerabilità colpisce molto più in profondità".

Il modo migliore per combattere l'errore umano che porta a una fuga di dati è creare una cultura forte. Una mentalità condivisa in tutta l'organizzazione, secondo cui la sicurezza è responsabilità di tutti, non solo dell'IT.

Ecco come si presenta nella pratica:

• La sicurezza fa parte del comportamento quotidiano. I dipendenti ci pensano due volte prima di cliccare su un link, inoltrare dati sensibili o effettuare il login su una rete pubblica. Sanno cosa segnalare e si sentono sicuri nel farlo.
• Gli errori vengono discussi, non puniti. In ambienti ad alto stress, gli errori sono inevitabili. Ciò che conta è come vengono gestiti. Nelle culture forti, le persone si assumono la responsabilità e segnalano da sole i problemi. Non perché hanno paura, ma perché ci tengono.
• La consapevolezza è visibile nelle riunioni e nelle metriche. I team esaminano regolarmente quali temi di sicurezza necessitano di maggiore attenzione, discutono dei rischi recenti e condividono suggerimenti. Non è più un esercizio da spuntare. Fa parte della settimana lavorativa.

In definitiva, una sana cultura security awareness nella sanità è quella in cui tutti, dai team di cura al personale amministrativo, capiscono che la protezione dei dati dei pazienti è parte integrante della fornitura di cure sicure e di alta qualità.

O come dice Behrens di Psyned: "Con tutte le misure tecniche in atto, il comportamento umano sbagliato è tra i nostri maggiori rischi per la sicurezza e la security awareness del nostro personale è un fattore critico".

Quali sono le maggiori minacce per la sanità olandese?

L'ultimo Cyber Threat Landscape di Z-CERT traccia un quadro chiaro delle minacce informatiche più pressanti che affliggono oggi il settore sanitario:

• Attacchi ransomware, in particolare a laboratori, ospedali e organizzazioni di assistenza ai giovani
• Spiare le strutture di ricerca
• Attacchi ransomware rivolti ai fornitori
• Attacchi DDoS ai fornitori
• Phishing con bypass dell'MFA, poiché molte organizzazioni si affidano ciecamente all'MFA per la sicurezza
• Malware
• Minacce insider
• Frode finanziaria
• Perdite di dati causate da un uso improprio degli strumenti di IA, ad esempio l'inserimento da parte del personale di dati sensibili dei pazienti in ChatGPT.

Alcune di queste minacce possono essere mitigate solo assicurando che i dipendenti abbiano un forte senso di security awareness. Indipendentemente dal numero di protezioni tecniche implementate, un luogo di lavoro sicuro dal punto di vista informatico inizia e finisce con un comportamento umano responsabile.

Perché security awareness nel settore sanitario è unica

L'assistenza sanitaria si differenzia da altri settori per diversi aspetti. Un attacco informatico non si limita a interrompere le operazioni aziendali, ma può avere un impatto diretto sulla salute dei pazienti. Basti pensare agli interventi chirurgici ritardati, ai farmaci sbagliati o alla diagnostica temporaneamente interrotta.

La posta in gioco è alta anche per quanto riguarda la fiducia. La fuga di dati medici danneggia la reputazione dell'ospedale e distrugge la fiducia che i pazienti ripongono nella sicurezza delle loro informazioni più sensibili.

Poi c'è il costo. Dal recupero alle richieste di risarcimento e alle multe, le ricadute finanziarie sono molto pesanti. In molti casi, i premi assicurativi aumentano drasticamente dopo una violazione, se la copertura viene offerta.

Come la sanità si differenzia da altri settori

Molte organizzazioni lottano con la security awareness, ma il settore sanitario si trova ad affrontare sfide uniche:

• Continuità: mentre una banca o una fabbrica possono sospendere le operazioni, gli ospedali non possono farlo: funzionano 24 ore al giorno, 7 giorni su 7.
• Dati sensibili alla privacy: i dati medici sono molto intimi e quindi preziosi, il che li rende un obiettivo primario per i criminali.
• Cultura del lavoro: infermieri e medici si vedono principalmente come assistenti, non come "dipendenti che devono seguire i protocolli di cybersecurity". Questa mentalità rende la consapevolezza più difficile da incorporare.
• Carico di lavoro elevato e stress: durante i turni di notte o le crisi, le persone sono più propense a commettere errori che normalmente non commetterebbero.

Perché security awareness è una sfida nel settore sanitario

Security awareness è un tema caldo in tutti i settori, ma l'assistenza sanitaria deve affrontare ostacoli particolari.

Ritmo clinico vs ritmo d'ufficio

La maggior parte dei programmi di sensibilizzazione sono progettati per gli ambienti aziendali: persone che lavorano da 9 a 5, con orari flessibili, computer personali e accesso alle piattaforme di e-learning.

Nel settore sanitario, questo è raramente il caso. Il personale fa turni di notte, si sposta da una sede all'altra e deve affrontare emergenze in qualsiasi momento. Spesso non hanno un computer dedicato. È difficile trovare il tempo e il luogo per una formazione regolare.

La formazione non si adatta alla realtà sanitaria

Molti programmi presuppongono un contesto aziendale. Non affrontano situazioni specifiche del settore sanitario, come la gestione dei dati dei pazienti, la riservatezza medica o la discussione dei casi con i colleghi. Questi dettagli sono importanti e ignorarli limita i risultati.

Mancanza di proprietà

Security awareness riguarda tutti, ma la responsabilità deve ricadere su una persona o un team. È qui che spesso le cose vanno storte. In molte organizzazioni, la responsabilità è condivisa tra IT, compliance, risorse umane o capi reparto, il che significa che nessuno ne è veramente responsabile.

Stanchezza normativa

Mentre alcuni piccoli operatori sanitari sono intrinsecamente motivati a rafforzare la security awareness, altri mostrano resistenza. Considerano gli standard come la norma NEN 7510 come una burocrazia. Le iniziative di sensibilizzazione si aggiungono al carico amministrativo, oltre ad altri requisiti di sicurezza come la sicurezza antincendio o la gestione delle aggressioni.

Punti ciechi della catena di approvvigionamento

Nel 2024, la società olandese di comunicazione con i clienti AddComm è stata vittima di un attacco ransomware che ha colpito molti dei suoi clienti, tra cui ABN Amro e Infomedics. L'attacco ha dimostrato quanto siano vulnerabili le catene di fornitura e perché la sicurezza dei fornitori debba essere parte integrante della strategia. I fornitori dovrebbero essere tenuti a rispettare degli standard minimi.

A livello interno, spesso c'è lo stesso punto cieco: studenti e liberi professionisti con accesso a dati sensibili sono esclusi dai programmi di sensibilizzazione.

Politica senza pratica

Secondo il rapporto 2024 sulle violazioni dell'Autorità olandese per la protezione dei dati, il 40% degli incidenti informatici segnalati non deriva da una mancanza di politiche, ma da politiche non attuate o monitorate.

Spesso tutto sembra a posto durante una verifica di conformità, ma la consapevolezza svanisce una volta terminata la verifica. Le politiche rimangono sulla carta. Ecco perché la leadership deve vedere la consapevolezza come qualcosa di più della conformità.

Come costruire una cultura security awareness nella sanità

La maggior parte degli operatori sanitari è già sommersa da protocolli, audit e moduli di e-learning obbligatori. Ulteriori regole o piattaforme più grandi non risolveranno il problema.

Ciò che funziona è trattare la consapevolezza come un prodotto vivo: qualcosa che viene fornito regolarmente, misurato continuamente e adattato costantemente alle situazioni sanitarie reali.

Formazione settimanale, mobile e basata sui ruoli

Il personale sanitario non ha tempo per lunghe sessioni in aula o per un generico e-learning. La formazione deve essere breve, pratica e pertinente (3-5 minuti per sessione) e adattata al loro ruolo. Medici e infermieri hanno bisogno di scenari diversi da quelli di un contabile o di un esperto di marketing.

Fornite la formazione dove più vi aggrada: su cellulare, durante una pausa o direttamente in Microsoft Teams. L'apprendimento deve integrarsi perfettamente nella routine quotidiana.

→ Scoprite il programma di security awareness di Guardey per l'assistenza sanitaria

KPI incentrati sul comportamento

Gli obiettivi sono due. Primo, tenere sotto controllo il livello di consapevolezza all'interno dell'organizzazione. In secondo luogo, essere in grado di dimostrare la conformità ai requisiti NEN 7510. Le metriche chiave includono:

• Tasso di segnalazione: quanti dipendenti segnalano attivamente gli incidenti phishing o sospetti?
• Tempo di segnalazione: quanto velocemente agiscono dopo aver notato qualcosa di insolito?
• Rapporto tra phish e segnalazioni: quanti attacchi simulati vengono riconosciuti e segnalati correttamente?

Queste metriche mostrano se si sta costruendo una vera cultura della sicurezza.

Facilità di reporting e feedback immediato

La segnalazione dovrebbe essere facile come fare clic su un pulsante. Con un pulsante di segnalazione integrato in Outlook o Teams, i dipendenti possono inoltrare istantaneamente le e-mail sospette. Il feedback immediato è fondamentale, non settimane dopo un rapporto. Fate in modo che la segnalazione sia positiva: un momento di successo, non un rimprovero.

Coaching just-in-time

Aspettare valutazioni semestrali non funziona in un ambiente 24 ore su 24, 7 giorni su 7. Quando qualcuno clicca su un'e-mail phishing - o ne segnala correttamente una - il feedback deve seguire rapidamente. Consigli brevi e personali mantengono le persone all'erta, soprattutto contro attacchi avanzati come AiTM o il furto di credenziali.

Includere l'intero ecosistema

La consapevolezza non deve limitarsi ai dipendenti fissi. Volontari, stagisti, appaltatori e fornitori hanno spesso lo stesso accesso al sistema. I criminali non fanno distinzioni e nemmeno il vostro programma dovrebbe farlo.

Una governance che funziona

La consapevolezza non deve essere un hobby dell'IT, ma una priorità dall'alto verso il basso. Assegnate un responsabile esecutivo, definite chiare responsabilità RACI e discutete i progressi mensilmente. In questo modo la consapevolezza rimane viva e fa parte dell'agenda della leadership.

Se abbiamo imparato qualcosa nel corso degli anni, è che ogni programma di security awareness che non sia pienamente supportato dal management fallisce nel giro di pochi mesi.

Collegamento alla continuità operativa

Un programma di sensibilizzazione ha un valore reale solo quando si manifesta durante una crisi. Eseguite scenari in cui la consapevolezza gioca un ruolo chiave: cosa succede se un fornitore viene colpito da un ransomware, se un DDoS mette fuori uso i sistemi del vostro laboratorio o se il vostro EHR è offline per ore?

Se la consapevolezza non è visibile nella risposta alle crisi, non è mai stata veramente incorporata.

Conclusione: Dal compito di conformità al cambiamento culturale

L'assistenza sanitaria è in cima alla classifica delle violazioni di dati e dei cyberattacchi, con conseguenze che vanno ben oltre le multe o la cattiva stampa. Sono in gioco la sicurezza dei pazienti, la continuità delle cure e la fiducia del pubblico.

Security awareness non può essere un esercizio annuale di checkbox. Richiede una cultura in cui il personale comprenda il proprio ruolo, possa commettere errori e imparare da essi, e in cui la leadership tratti la cybersecurity con la stessa serietà della cura del paziente o della salute finanziaria.

La chiave sta in piccoli passi pratici: formazione breve e pertinente, facilità di reporting, feedback immediato e integrazione della consapevolezza nella gestione delle crisi. È così che la consapevolezza si trasforma da un obbligo in una parte naturale dell'assistenza sanitaria professionale.

Cosa potete fare oggi

1. Adottare un programma di security awareness : trovare un programma che offra contenuti formativi specifici per il settore sanitario, come Guardey.
2. Misurate il comportamento, non la conoscenza: iniziate a monitorare KPI come il tasso di segnalazione e il tempo di segnalazione.
3. Rendete le segnalazioni facili e gratificanti: aggiungete un pulsante di segnalazione e fornite un feedback immediato.
4. Coinvolgete tutti coloro che hanno accesso: anche gli stagisti, i volontari e i fornitori fanno parte della vostra catena.
5. Assegnare la responsabilità ai dirigenti: senza il sostegno della leadership, la consapevolezza rimane un progetto secondario.

→ Per saperne di più sul programma di security awareness di Guardey per il settore sanitario