Non è più tempo di lesinare negli investimenti di cyber security specie se il settore da proteggere è quello sanitario: questo il messaggio che emerge dalla lettura delle recenti linee guida di Enisa in materia di approvvigionamenti per la sicurezza informatica di ospedali e fornitori di servizi sanitari.
Lo scopo è chiaro: aiutare ospedali e strutture sanitarie a integrare gli obiettivi di sicurezza informatica nelle proprie catene di fornitura. La supply chain diventa sempre di più un tema da non dover sottovalutare specie quando si tratta di dati sanitari.
Indice degli argomenti
Appalti sanitari: le principali novità nelle linee guida Enisa
Dalla lettura delle linee guida, le principali novità riguardano il ciclo di vita dell’approvvigionamento, offrendo indicazioni pratiche per affrontare i rischi di sicurezza informatica in modo completo.
D’altronde, vista la complessità sempre maggiore dell’ecosistema sanitario (includendo dispositivi medici e IVD, sistemi informativi sanitari, infrastrutture cloud e on-premise e tecnologie operative che supportano sia funzioni cliniche che amministrative) la cyber security è ormai un tema sempre più rilevante da affrontare in modo olistico rispetto all’intera infrastruttura tecnologica sanitaria e ai servizi associati.
Non solo, visione di insieme ma anche integrata, essendo fondamentale integrare la cyber security in ogni fase del ciclo di vita degli acquisti per prodotti e servizi ICT legati alla sanità.
Qualche dato sulle minacce nel settore sanitario
Secondo l’Enisa Threat Landscape 2024: “il settore sanitario rappresenta l’8% del totale degli incidenti di ransomware, rendendolo uno dei settori più colpiti”; e secondo il NIS Investments (2022) solo il 27% delle organizzazioni nel settore sanitario dispone “di un programma dedicato alla difesa contro il ransomware, mentre il 40% manca di programmi di sensibilizzazione sulla sicurezza per il personale non IT (tecnologia dell’informazione)”. Tanto basta.
Appalti sanitari: le criticità dei prodotti sanitari supportati dalla AI
Il settore sanitario già critico per sua natura, lo diventa ancor di più nell’attuale epoca storica in cui i rischi di approvvigionamento legati all’AI si propagano ai prodotti abilitati alla intelligenza artificiale.
Rischi che aumentano nella misura in cui la funzionalità dell’AI viene integrata in un altro prodotto o servizio, accessibile tramite un servizio o un’interfaccia di AI di terze parti, ovvero utilizzata da un fornitore/subappaltatore tecnico (che sviluppa software, supporto tecnico, test di sicurezza, documentazione, analisi dei dati ecc.).
Cosa devono fare le strutture sanitarie
Le entità sanitarie devono determinare se e come l’AI risulti coinvolta in tutta la catena di fornitura, inclusi i successivi cambiamenti al servizio o alle funzionalità dell’AI stessa.
Quando i dati di clienti/pazienti possono essere utilizzati per lo sviluppo, l’addestramento o il miglioramento ulteriore di modelli di AI, i fornitori debbono chiaramente identificare:
- gli scopi di elaborazione rilevanti;
- la corretta base giuridica.
I dati particolari sulla salute non devono essere sottoposti a servizi di AI esterni né utilizzate per lo sviluppo di modelli di AI a meno che “non siano espressamente ed esplicitamente autorizzate a seguito di valutazioni legali, di protezione dei dati, di cyber security e di rischio clinico appropriate”, si legge testualmente nelle linee guida in parola.
Gli accordi tra le parti poi devono specificare tutta una serie di questioni, tra cui gli obblighi di restituzione e il tema della cancellazione dei dati al momento della risoluzione del contratto, inclusi ove applicabile, input degli utenti, output generati dall’AI, i log e altri dati derivati. In assenza, occorre disciplinarne le conseguenze anche dal punto di vista giuridico.
Le misure di cybersecurity negli appalti sanitari
Le linee guida di Enisa fanno poi tutto un elenco, cui si rinvia, di gruppi di misure di cyber security organizzati per fase di appalti, con lo scopo di trattare l’intero processo di approvvigionamento: dalle pratiche generali, alla preparazione dei sistemi fino a requisiti di sicurezza specifici su misura per ogni fase di acquisto.
Le misure di sicurezza sono suddivise per macrocategoria e, in particolare:
- misure generali, solo a livello oggettivo, poiché rappresentano pratiche orizzontali che attraversano tutte le fasi degli appalti. Per migliorare la leggibilità, ogni misura include i seguenti componenti;
- misure di piano relative alla fase di pianificazione;
- misure di sorgente inerenti alla fase di sorgente.
L’implementazione delle misure
Le linee guida prevedono poi una sezione di “implementazione” che dettaglia “…i passaggi pratici, responsabilità o migliori pratiche che supportano l’attuazione di ogni misura”.
L’ENISA stabilisce poi delle misure cd “raccomandate” da intendersi quali “pratiche essenziali di igiene informatica come l’uso di password forti, l’abilitazione della MFA, il mantenimento aggiornato del software, l’installazione di un antivirus e l’implementazione di backup regolari dei dati basati sul tipo e l’ambito di ciascun servizio o prodotto fornito”.
Esistono poi misure che offrono livelli di sicurezza (più) avanzati, andando oltre la protezione di base. La differenza dipende, testualmente, “dalla tolleranza al rischio dell’organizzazione, dalle risorse e dal settore, con misure raccomandate per la protezione essenziale e elementi convenienti per una difesa superiore”.
Cyber security negli appalti sanitari: gli scenari
L’Enisa nelle sue linee guida tratteggia alcuni scenari, al fine di dimostrare l’applicabilità pratica di dette misure di sicurezza e cioè:
- l’acquisto di apparecchiature mediche da parte di un grande ospedale;
- l’acquisizione di servizi digitali basati su cloud.
Si tratta di scenari che rappresentano processi ad alto rischio e ad alto impatto frequenti negli ospedali e negli operatori sanitari e che coinvolgono interazioni complesse con gli stakeholder, flussi di dati sensibili e requisiti normativi rigorosi, rendendoli casi di test ideali per valutare l’efficacia, la robustezza e l’adattabilità delle misure di sicurezza proposte in contesti reali.
Primo scenario
Il primo caso d’uso riguarda “l’approvvigionamento di apparecchiature radiologiche in un grande ospedale” tipico scenario che richiede una strategia proattiva di cyber security dalle fasi di pianificazione, ricerca e gestione del processo di approvvigionamento.
In questi casi occorre implementare misure come:
- valutazione del rischio;
- due diligence, specifiche di sicurezza;
- gestione delle patch;
- formazione del personale, ospedali e fornitori di servizi sanitari.
Ciò non solo garantisce il rispetto della NIS2, ma protegge anche l’assistenza ai pazienti, mantenendo la continuità operativa, proteggendo la struttura da conseguenze in termini di danni reputazionali e legali, incalcolabili.
Secondo scenario
Il secondo caso d’uso riguarda “l’acquisto di servizi cloud da un centro medico privato”. Scenario che tipicamente richiede una strategia proattiva di cyber security dalle fasi di pianificazione, ricerca e gestione del processo di approvvigionamento.
In questi casi occorre implementare misure come le valutazioni dei rischi, la due diligence e specifiche di sicurezza, monitoraggio.
Non meno importante è la formazione, sempre nel rispetto della Direttiva NIS2, oltre che della protezione dei dati dei pazienti, mantenendo un livello di “fiducia” elevato.
Terzo scenario
Il terzo e ultimo caso d’uso ipotizzato da ENISA nelle linee guida in parola concerne riguarda “l’acquisto di un sistema EHR pronto all’uso da parte di un Medico di base”.
I medici di base di solito esercitano la professione senza particolare struttura alle spalle (segreterie o personale aggiuntivo oltre al potenziale assistente amministrativo).
Vero è che costoro non sono soggetti alla direttiva NIS2 e quindi non sono tenuti a rispettare i rispettivi requisiti di cyber sicurezza. Tuttavia, meritevoli di apprezzamento sono le cosiddette “buone pratiche per gli approvvigionamenti” grazie a checklist tese a identificare le “misure rilevanti nelle fasi di pianificazione, origine e gestione”.
Conclusioni
Concludiamo con l’autorevole voce di Federica Maria Rita Livelli, Business Continuity & Risk Management Consultant, BCI Cyber Resilience Committee Member, CLUSIT Direttivo: “la sicurezza informatica nel settore sanitario non si esaurisce più nel perimetro IT, ma coinvolge l’intera supply chain. Ogni fornitore – tecnologico e non – può incidere sulla continuità delle cure e deve quindi essere parte integrante della gestione del rischio.
Le Linee guida ENISA evidenziano, di fatto, la necessità di mappare le dipendenze critiche, rafforzare la governance della filiera attraverso requisiti contrattuali, audit e monitoraggio continuo, ed estendere tali controlli anche ai sistemi di intelligenza artificiale.
La resilienza diventa così una responsabilità del vertice aziendale e un processo condiviso tra direzione, area clinica, IT, sicurezza, compliance e partner esterno. Concludendo, la compliance non rappresenta più un mero adempimento normativo, ma una leva strategica per garantire continuità operativa, tutela dei pazienti e sostenibilità dell’organizzazione”.
Del tutto condivisibile.
Partecipa alla community