Nella notte tra il 9 e il 10 settembre del 2020 un attacco informatico mette fuori uso 30 server e blocca le attività dell’ospedale Universitario di Düsseldorf, una struttura con oltre 30 cliniche e che impiega circa 6mila dipendenti. Il 10 settembre, un donna che doveva essere ricoverata urgentemente, è stata quindi dirottata verso l’ospedale di Wuppertal, a circa 30 chilometri. La donna muore durante il trasporto. Si aprirà in seguito un’indagine per omicidio colposo. Dal 2020 a oggi si sono verificati molti altri episodi di attacchi informatici a strutture sanitarie in tutta Europa.
I pericoli per la sanità
Oggi le minacce e gli attacchi informatici ai sistemi sanitari sono in aumento e stanno dimostrando tutta la loro efficacia e, al contempo, la debolezza delle infrastrutture. Una situazione allarmante che impatta la sicurezza dei dati sanitari e l’efficienza dei servizi erogati ai cittadini. Tale scenario mette in crisi le strategie Ue in materia di dati e servizi sanitari, i quali tendono a modelli tecnologicamente evoluti di digitalizzazione ed all’utilizzo della robotica e dell’IA. Come spesso accade, ad essere presi di mira sono soprattutto quei contesti dove è maggiore il rapporto tra la probabilità di riuscita dell’attacco (guadagno per l’attaccante) e la complessità e le risorse necessarie per portare a termine con successo l’azione (probabilità di successo). Durante il convegno “La minaccia cibernetica al settore sanitario” (a Palazzo Lombardia, ottobre 2024) è emerso un dato scioccante: «Una cartella clinica può valere tra i 300 e i milledollari» (Acn).
Le minacce informatiche
L’Ocse nel documento “Ready for the Next Crisis? Investing in Health System Resilience” (2023), analizza come il sistema sanitario Ue, messo già a dura prova dal Covid, deve in realtà prepararsi ad affrontare grosse minacce all’orizzonte e deve intervenire per migliorare la capacità di reagire con efficacia agli shock. Tra queste anche quelle informatiche. Un grande ospedale in Europea deve gestire numeri esorbitanti: il Policlinico Universitario Gemelli ad esempio, il primo ospedale italiano (Best Hospital 2023), nel 2022 ha erogato oltre 7 milioni di prestazioni ambulatoriali, quasi 81mila interventi chirurgici e più di 68mila accessi al pronto soccorso. Questa complessità necessita di un sistema organizzativo che migliori sempre e nel quale l’Information Technology rivesta un ruolo sempre più significativo. Tutto oggi viene gestito attraverso applicazioni e infrastrutture digitali; la gestione del building e delle facilities, i servizi ai pazienti, come la prenotazione di una visita, l’assegnazione e l’organizzazione di una sala operatoria, la gestione del personale sanitario, le reti su cui operano i sistemi, gli approvvigionamenti, etc.
Ospedali sempre più a rischio
Nel 2023 i paesi dell’Ue hanno segnalato 309 incidenti di cybersicurezza significativi che hanno provocato furto di dati e disservizi e perdite economiche per il ripristino della normalità. Ue Action Plan Cybersecurity for Hospital rappresenta una roadmap ambiziosa per proteggere meglio i propri sistemi sanitari, in continuità con quanto già tracciato dalla NIS2. Il documento si concentra in particolare sullo sviluppo della capacità di prevenire, gestire, rispondere e riprendersi velocemente (resilienza), oltre alla necessità di avere un centro europeo di supporto alla cybersecurity dedicato agli ospedali e un framework specifico. Gli ospedali, inoltre, sono infrastrutture dove la componente IoT è critica ed è direttamente connessa alla salute del paziente. Per intervenire sono necessari approcci e soluzioni tecnologiche specifiche. Una componente importante dell’ecosistema healthcare è basata su dispositivi e sistemi IoT, per i quali sono necessari approcci specifici. Infatti la maggior parte degli attacchi a dispositivi IoT sfrutta vulnerabilità già note, quindi evitabili con le dovute precauzioni.