La Cybercriminalità nel Settore Sanitario

Il whitepaper “La cybercriminalità nel settore sanitario” a cura di Maria Vittoria Zucca affronta in modo sistematico il fenomeno della cybercriminalità nel comparto sanitario, adottando un framework metodologico mutuato dalla prassi clinica. L’analisi si articola attraverso le fasi di anamnesi, diagnosi, terapia e prognosi, con l’obiettivo di fornire agli operatori del settore una mappatura esaustiva delle minacce, del quadro regolamentare di riferimento e delle strategie di mitigazione del rischio cyber.

Scenario di riferimento

La digitalizzazione del Sistema Sanitario Nazionale ha determinato una profonda trasformazione delle modalità di erogazione dei servizi assistenziali. L’adozione di tecnologie quali Electronic Health Records (EHR), piattaforme di telemedicina, sistemi di imaging diagnostico interconnessi e dispositivi IoMT (Internet of Medical Things) ha generato significativi incrementi in termini di efficienza operativa e qualità delle cure.

Tale evoluzione ha tuttavia ampliato in misura esponenziale la superficie d’attacco delle infrastrutture sanitarie, esponendole a vettori di minaccia sempre più sofisticati. Il settore healthcare si configura oggi come target privilegiato per organizzazioni cybercriminali strutturate, in ragione di tre fattori convergenti: l’elevato valore economico dei dati sanitari nei mercati illegali, la criticità dei servizi erogati — che incrementa la propensione al pagamento di riscatti — e la presenza diffusa di vulnerabilità sistemiche riconducibili a obsolescenza tecnologica, carenze di risorse dedicate e insufficiente maturità della governance cyber.

Struttura del documento

Anamnesi: Ricostruzione dell’evoluzione del paradigma sanitario dalla medicina tradizionale all’e-Health. Analisi delle componenti tecnologiche dell’ecosistema sanitario digitale: infrastrutture IT ospedaliere, sistemi informativi regionali, Fascicolo Sanitario Elettronico, dispositivi medicali connessi, applicazioni di intelligenza artificiale in ambito diagnostico e terapeutico.

Diagnosi: Tassonomia delle principali tipologie di minaccia cyber nel settore sanitario:

• Data breach: meccanismi di esfiltrazione, monetizzazione dei dataset sanitari, implicazioni in termini di violazione del GDPR e responsabilità del Titolare del trattamento;
• Ransomware: analisi delle campagne più significative a livello nazionale e internazionale, modelli operativi delle organizzazioni criminali (Ransomware-as-a-Service), impatti sulla continuità operativa delle strutture;
• Compromissione di dispositivi medicali: vulnerabilità dei medical devices, rischi per la patient safety, problematiche di security by design nel ciclo di vita dei dispositivi.

Terapia: Disamina del framework normativo e delle best practice di settore:

• Direttiva NIS2 e obblighi per i soggetti essenziali del comparto sanitario;
• Perimetro di Sicurezza Nazionale Cibernetica e misure per gli OSE;
• Regolamento (UE) 2017/745 (MDR) e requisiti di cybersecurity per i dispositivi medici;
• GDPR: Data Protection Impact Assessment, gestione dei data breach, accountability del Titolare;
• Linee guida ACN e framework di riferimento per la sicurezza delle infrastrutture sanitarie;
• Architetture defense-in-depth e modelli di risk management applicati al contesto healthcare.

Prognosi: Scenari evolutivi e raccomandazioni strategiche: sviluppo delle competenze cyber in ambito sanitario, integrazione della cybersecurity nei processi di procurement e nella gestione della supply chain, promozione di una cultura della sicurezza a tutti i livelli organizzativi, prospettive di cooperazione pubblico-privato per il rafforzamento della resilienza del settore.

A chi è rivolto

Il documento, messo a disposizione da ICT Security Magazine in maniera libera e gratuita, si rivolge a: Chief Information Security Officer (CISO), Data Protection Officer (DPO), Responsabili dei Sistemi Informativi sanitari, Risk Manager, funzionari delle Direzioni Sanitarie e Amministrative, consulenti in ambito compliance e cybersecurity, nonché a tutti gli stakeholder coinvolti nella governance della sicurezza delle infrastrutture critiche sanitarie.