Il settore sanitario è sempre più sotto attacco da parte dei criminali informatici, con violazioni dei dati e attacchi ransomware sempre più frequenti e sofisticati. Pertanto, le organizzazioni sanitarie, per proteggere i dati dei pazienti e altre informazioni sensibili, dovranno considerare sempre più un’architettura zero-trust per migliorare la loro posizione di sicurezza informatica.
Indice degli argomenti
Cloud Security Alliance (CSA) Report – Medical Devices in a Zero-Trust Architecture
Cloud Security Alliance (CSA) – l’organizzazione leader mondiale dedicata alla definizione di standard, certificazioni e best practice per garantire un ambiente di cloud computing sicuro – ha recentemente pubblicato un report in cui si evince che il settore sanitario sta rapidamente abbracciando l’architettura zero-trust, sempre più necessaria, dato che ogni dispositivo medico connesso ha un’identità e, pertanto, deve essere preso in considerazione all’interno di uno zero-trust framework.
Asl Abruzzo, il disastro è completo: pubblicati tutti i dati
L’Architettura Zero-trust
Risulta oramai evidente che l’attuale modello di sicurezza basato sul perimetro utilizzato dalla maggior parte delle organizzazioni sanitarie – data la natura interconnessa del futuro con i dispositivi medici IoMT (Internet of Medical Things), la realtà aumentata, la robotica e altro ancora – non sarà più efficace.
Ne consegue che le organizzazioni sanitarie dovranno dimostrare di essere in grado di affrontare minacce e vulnerabilità, problemi tecnologici, rischi software e rischi correlati al fattore umano.
È doveroso ricordare che l’architettura zero-trust si basa sul principio del privilegio minimo – i.e. agli utenti e ai dispositivi viene concesso l’accesso solo alle risorse di cui hanno bisogno per eseguire le loro attività specifiche.
Inoltre, l’architettura zero-trust aiuta a garantire una maggiore conformità alle normative e regolamentazioni vigenti, diventando più facile proteggere adeguatamente i dati.
Programmi di gestione dei dispositivi medici
Le organizzazioni sanitarie, considerando lo scenario articolato in cui si trovano ad operare, hanno bisogno di strumenti per:
- gestire la micro-regolamentazione della loro rete;
- applicare le politiche;
- identificare le vulnerabilità;
- fornire il rilevamento e la risposta degli endpoint.
Pertanto, è quanto mai auspicabile dotarsi di un programma che consenta di avere la visibilità di tutti i dispositivi. Inoltre, un programma di gestione dovrebbe fornire un inventario completo di tutti i dispositivi e della loro posizione, oltre a includere dispositivi di rilevamento delle impronte digitali per inventariare con sufficiente specificità e dettagli ed attuare un processo di autorizzazione efficace – quasi in tempo reale – a fronte delle richieste di risorse.
Oggigiorno, esistono molti prodotti specifici sul mercato per la gestione dei dispositivi medici in grado anche di identificare le vulnerabilità e i rischi associati ad essi.
Modello Zero-trust
Il modello zero-trust – come descritto dal rapporto di CSA – è un principio architettonico che si fonda su cinque pilastri.
Ogni pilastro include dettagli generali relativi a visibilità e analisi, automazione e orchestrazione e governance.
Vediamo cosa contempla ciascun pilastro.
Identità
Le funzioni del modello di maturità delle Identità sono:
- autenticazione;
- archivi identità;
- valutazione dei rischi.
L’identità costituisce, di fatto, un componente fondamentale dell’architettura zero-trust. Il modello di maturità si fonda su semplici password oppure su una combinazione di fattori per convalidare e per verificare continuamente tutte le interazioni e fa riferimento a un attributo o a un insieme di attributi che descrivono – in modo univoco – un utente o un’entità.
Le organizzazioni sanitarie devono, innanzitutto, effettuare un censimento dei dispositivi e conoscere tipologie, funzioni, scopi e posizione, interazione con altre macchine, applicazioni/porte utilizzate dai dispositivi medici. Ne consegue che dovranno dotarsi di un metodo affidabile per rilevare, classificare e inventariare tutti i dispositivi medici presenti nell’ambiente, oltre a verificare l’esistenza di procedure atte a stabilire l’utilizzo di credenziali archiviate e iniettate in modo sicuro e/o con modalità diverse – quali ad esempio i certificati – come parte del processo di autenticazione e di autorizzazione.
L’ambiente delle operazioni di sicurezza deve utilizzare le caratteristiche del dispositivo medico per creare un contesto composito per lo “stato di attendibilità” dell’ambiente dinamico che combina l’identificazione del dispositivo, del suo ambiente operativo e delle sue condizioni in essere. Di fatto, l’utilizzo di un programma di gestione dei dispositivi medici consente alle organizzazioni sanitarie di raccogliere tutte le informazioni pertinenti su ciascun dispositivo medico comprese quelle utilizzate per determinare quali criteri devono essere applicati a ciascun dispositivo.
ASL 1 Abruzzo, le vite di mille pazienti violate su internet
Dispositivo
Si tratta qualsiasi risorsa hardware in grado di connettersi a una rete, inclusi i dispositivi IoMT (Internet of Medical Things) e gli end-point nelle funzioni di gestione correlate e gli end-point interattivi “umani”. Pertanto, è quanto mai fondamentale garantire l’integrità dei dispositivi per accedere a servizi e ai dati.
Di fatto, il modello di maturità zero-trust spinge l’applicazione delle policy verso l’edge, aumentando le opportunità di rendere i servizi e i dati disponibili direttamente agli utenti e ai dispositivi senza avvalersi dei tradizionali strumenti “umani”.
Di seguito sono riportate alcune sfide in termini di gestione della sicurezza dei dispositivi medici connessi e, precisamente:
- Mancanza di una chiara visibilità dei dispositivi medici e comprensione della loro esposizione al rischio.
- Rischi considerevoli a fronte di vulnerabilità invisibili.
- Incapacità delle organizzazioni sanitarie di contrastare le minacce.
- Problemi di conformità dovuti alle architetture di sicurezza legacy.
- Dispositivi IoMT fisicamente accessibili a persone non autorizzate che possono manomettere il dispositivo o rubarlo allo scopo di estrarre dati sensibili.
- Dispositivi IoMT non aggiornati o non corretti che impediscono di rilevare eventuali vulnerabilità.
- Dispositivi IoMT non modificabili e quindi non in grado di offrire funzioni moderne di autenticazione.
- Mancanza di rilevamento dei dispositivi e di valutazione accurata e completa dei rischi.
- Difficoltà di applicazione dei criteri di accesso minimo.
- Difficoltà ad implementare un monitoraggio continuo e la funzione di prevenzione delle minacce.
Rete
Si riferisce a mezzi di comunicazione aperti, tra cui reti interne, wireless e Internet. Le funzioni del modello di maturità della rete sono:
- Segmentazione.
- Protezione dalle minacce.
- Crittografia.
Le organizzazioni sanitarie devono allineare la segmentazione e le protezioni della rete in base alle esigenze dei flussi di lavoro delle applicazioni. Solitamente, i dispositivi su LAN aziendali – quando si devono connettersi ad altri dispositivi – richiedono uno standard per identificarsi vicendevolmente.
Inoltre, un programma di gestione dei dispositivi medici è in grado di sapere su quale segmento si trova il dispositivo e può identificare la trasmissione del dispositivo specifico, rendendo più difficile lo spoofing del dispositivo.
Come già precedentemente accennato, quando si parla di reti in un contesto sanitario, è quanto mai importante la micro-segmentazione in grado di ridurre i rischi e di adattare la sicurezza agli ambienti IT dinamici. Di fatto, la micro-segmentazione crea zone sicure negli ambienti cloud e nei data center per isolare i carichi di lavoro l’uno dall’altro e proteggerli individualmente.
Inoltre, le policy firewall limitano il traffico est-ovest tra i carichi di lavoro in base a un approccio di sicurezza zero-trust per ridurre le superfici di attacco e impedire lo spostamento laterale delle minacce in modo tale da evitare le violazioni.
Il programma di gestione dei dispositivi medici può, altresì, spingere le policy al punto di applicazione fornendo configurazione e applicazione dinamiche.
Inoltre, il traffico dei dispositivi medici deve essere continuamente monitorato, utilizzando un programma di gestione dei dispositivi medici unitamente ad un software di monitoraggio e risposta alla sicurezza, quale: EDR, MDR, NDR e XDR. Ancora, tutto il traffico di rete deve essere crittografato.
Cyber security in sanità, all’ospedale di Careggi a Firenze gira ancora Windows XP
Applicazioni
Si prendono in considerazione tutte applicazioni che vengono eseguite on-premise e nel cloud. Le funzioni del modello di maturità delle applicazioni comprendono:
- Autorizzazione di accesso.
- Protezione dalle minacce.
- Accessibilità.
- Sicurezza delle applicazioni.
Le organizzazioni sanitarie devono integrare rigorosamente le protezioni con i flussi di lavoro delle applicazioni in modo tale che le protezioni abbiano la massima visibilità e la comprensione necessarie per fornire una sicurezza adeguata, considerando che la sicurezza delle applicazioni dei dispositivi medici è fondamentale per prevenire le violazioni degli stessi.
Di fatto, un architettura zero-trust è una sorta di ecosistema di soluzioni che, in modo orchestrato, lavorano insieme per garantire – come già precedentemente accennato – che nessun utente o dispositivo sia considerato attendibile per impostazione predefinita dall’interno o dall’esterno della rete. Pertanto, le organizzazioni sanitarie, per proteggere le applicazioni dei dispositivi medici, dovranno garantire:
- Autenticazione prima dell’accesso – Gli utenti interni ed esterni non hanno accesso prima dell’autorizzazione, riducendo così le possibilità che questi elementi vengano compromessi.
- Modello di accesso con privilegi minimi – È necessario stabilire policy basate sul privilegio minimo in base al ruolo dell’utente ed i necessari protocolli di comunicazione.
- Micro-segmentazione – Le reti fisiche sono divise in micro-segmenti logici garantendone la protezione e riducendo il rischio dato che l’accesso è garantito solo a coloro che sono stati autorizzati. La micro-segmentazione mira a mantenere la superficie di attacco il più piccola possibile, impedendo movimenti laterali non autorizzati.
- Verifica/monitoraggio continuo – Dopo aver fornito l’accesso all’applicazione a un determinato utente, da una determinata posizione, su un determinato dispositivo, è necessario un monitoraggio continuo in modo tale che, se il livello di rischio cambia, la connettività possa essere interrotta per ridurre al minimo il rischio. I programmi di gestione dei dispositivi medici e XDR consentono il monitoraggio da un punto di vista della rete, condizione fondamentale per rilevare e rispondere alle anomalie.
- Crittografia dei dati – È essenziale la crittografia dei dati in movimento e a riposo, sia internamente sia esternamente, per garantire la sicurezza delle applicazioni.
Dati
È quanto mai fondamentale proteggere i dati sui dispositivi, nelle applicazioni e nelle reti. Le funzioni del modello di maturità dei dati sono costituite da:
- Gestione dell’inventario.
- Determinazione dell’accesso.
- Crittografia.
Le organizzazioni sanitarie dovrebbero implementare un approccio alla sicurezza incentrato sui dati che devono essere identificati, classificati e inventariati.
È doveroso ricordare che i dispositivi medici producono un grande volume di informazioni sanitarie protette elettronicamente e che servono a molti scopi (i.e. diagnostica, monitoraggio e trattamento dei pazienti, analisi sulla salute della popolazione e l’analisi preventiva). Pertanto, i dati devono essere protetti sia in transito sia a riposo.
Inoltre, in un ambiente zero-trust, i dati sensibili devono essere identificati, tutti i flussi di dati mappati e si deve conoscere dove essi sono archiviati. Di fatto, la visibilità di tutti i dati è garantita attraverso la costante contabilizzazione dei dati e la definizione di aree di attendibilità e controlli di accesso abbinati a: posizione, privilegi, requisiti delle applicazioni e comportamenti.
Le organizzazioni sanitarie possono proteggersi da attacchi e minacce attraverso l’analisi predittiva che utilizza il rilevamento anomalo e l’apprendimento automatico all’interno dell’architettura zero- trust ed è in grado di registrare tutti i tentativi di accesso e comportamenti insoliti o attività sospette, negando automaticamente una richiesta di accesso ed emettendo un avviso.
È altresì necessario e fondamentale crittografare sia i dati a riposo sia quelli in transito e dotarsi di una soluzione di prevenzione della perdita di dati (DLP – Data Loss Prevention) in modo da garantire le seguenti funzioni:
- Controllo del dispositivo, i.e. il mezzo per definire come i dati possono essere utilizzati a livello di dispositivo.
- Controllo in base al contenuto, i.e. applicazione e regolazione dei controlli in base al contenuto dei dati.
- Crittografia forzata , i.e. la crittografia dei dati inattivi.
- Data discovery, i.e. rilevamento dei dati sensibili.
Telemedicina e trattamento dati sanitari: ecco perché serve maggiore tutela della privacy
Conclusioni
Lo scenario contingente e futuro sarà sempre più caratterizzato da attacchi cyber a fronte del processo di digitalizzazione ed innovazione in atto anche nel settore sanitario. Pertanto, proteggere gli ambienti sanitari è diventata una priorità.
Come si evince dal rapporto di CSA, un approccio zero-trust – in cui nessuno è attendibile e qualsiasi utente o servizio che accede ai dati è sempre verificato – consente alle organizzazioni sanitarie di automatizzare i processi di autenticazione in modo da potersi concentrarsi sulla cura dei pazienti invece di affrontare le conseguenze di un attacco informatico.
Si tratta, di fatto, di adottare un approccio risk -based e resilience-based che presuppone sempre più l’implementazione dei principi di risk management, business continuity e cyber security all’interno delle organizzazioni sanitarie, coinvolgendo tutti gli attori in modo da rendere il settore maggiormente resiliente.
