Proteggere il sistema sanitario: lo stato di salute dell’IT nel settore

Già prima dell’invasione dell’Ucraina da parte della Russia, si temeva che l’escalation militare si sarebbe riversata nel cyberspazio e sarebbe stata seguita da un’ondata di attacchi digitali d’impatto con implicazioni internazionali.

Un settore in cui la posta in gioco non potrebbe essere più alta è quello sanitario. Le minacce digitali che incombono su di esso e sulle infrastrutture critiche nel loro complesso sono in aumento da anni e il conflitto in corso ha ulteriormente aumentato il livello di minaccia. In risposta, il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti, ad esempio, ha emesso un’allerta per il settore, indicando HermeticWiper, un nuovo data wiper scoperto dai ricercatori di ESET, come esempio di rischio elevato.

La posta in gioco non è solo di tipo economico: uno studio del 2019 ha affermato che anche le violazioni dei dati possono aumentare il tasso di mortalità a 30 giorni delle vittime di infarto. In effetti, sebbene non si ritenga che un incidente ransomware possa causare direttamente il decesso di un paziente, se i sistemi salvavita vengono messi offline l’impatto potenziale sul mondo reale degli attacchi virtuali, potrebbe essere importante.

Poiché le organizzazioni sanitarie europee continuano a digitalizzarsi in risposta alle pressioni della pandemia, di una forza lavoro sempre più remota e dell’invecchiamento della popolazione, questi rischi sono destinati ad aumentare. Ma costruendo la resilienza informatica attraverso una migliore cyber-hygiene e altre best practice, e migliorando il rilevamento e la risposta agli incidenti, c’è una strada da percorrere per il settore.

Secondo le stime più recenti, il settore sanitario in Europa impiega quasi 15 milioni di persone, pari al 7% della popolazione attiva. L’assistenza sanitaria è unica anche per l’ampiezza delle sfide da affrontare, il che la rende più esposta alle minacce informatiche rispetto ad altri settori. Tra queste vi sono:

• la carenza di competenze informatiche, che riguarda l’intero settore, ma spesso gli HCO non possono competere con gli stipendi più alti offerti da altri settori.
• Il COVID-19, che ha esercitato una pressione senza precedenti sul personale, compresi i team di sicurezza informatica che operano con infrastrutture IT obsolete.
• Il lavoro da remoto, che può esporre le HCO ai rischi presentati da lavoratori distratti, endpoint non protetti e infrastrutture di accesso remoto vulnerabili/malconfigurate.
• Enormiquantità di dati personali e onere elevato per soddisfare i requisiti normativi.
• La proliferazione degli strumenti, che può sovraccaricare di avvisi i team di risposta alle minacce.
• L’adozione del cloud, che può aumentare la superficie di attacco. Molte HCO non hanno le competenze interne per gestire e configurare in modo sicuro questi ambienti e/o hanno una visione errata della loro responsabilità condivisa in tema di sicurezza.
• Complessità dei sistemi IT adottati per un lungo periodo di tempo.
• Dispositivi connessi, che includono tecnologia operativa legacy negli ospedali, come scanner per risonanza magnetica e macchine a raggi X. Inoltre, molti dei dispositivi sono mission critical per essere messi offline per applicare le patch, oppure hanno concluso il servizio di assistenza.
• Dispositivi IoT, sempre più diffusi per la distribuzione di farmaci e per il monitoraggio dei parametri vitali dei pazienti.
• I criminali informatici che vedono le strutture sanitarie come un bersaglio facile, poiché devono gestire un numero elevato di pazienticolpiti da COVID-19. I dati dei pazienti, che possono includereinformazioni sensibili e dettagli finanziari, sono una merce redditizia per gli hacker.

Di fronte alle crescenti pressioni, le strutture sanitarie devono trovare un modo per mitigare il rischio informatico in modo più efficace, senza spendere troppo e senza incidere sulla produttività del personale che vi opera. La buona notizia è che molte delle best practice che possono costruire la resilienza in altri settori critici funzionano anche in questo caso. Tra questi:

• Ottenere visibilità della superficie di attacco, compresi tutti gli asset IT, il loro stato di patch e la loro configurazione. Un CMDB regolarmente aggiornato è utile per catalogare l’inventario.
• Assicurarsi che questi asset siano configurati e patchati correttamente attraverso programmi continui di gestione delle patch basati sul rischio.
• Comprendere l’impatto del rischio della supply chain attraverso audit e monitoraggi regolari.
• Costruire una solida prima linea di difesa contro il phishing euna migliore formazione degli utenti.
• Affrontare la gestione delle identità e degli accessi con l’autenticazione a più fattori (MFA) ovunque e con un approccio all’accesso basato sul minimo privilegio.
• Considerate l’ipotesi di sviluppare quanto sopra con un approccio Zero Trust.
• Raccogliere e analizzare la telemetria dagli strumenti di sicurezza in tutto l’ambiente per una rapida individuazione e risposta agli incidenti.

Gli HCO europei hanno obblighi di conformità non solo alla direttiva UE sulla sicurezza delle reti e delle informazioni per la continuità del servizio, ma anche al GDPR, nonché alle leggi e ai regolamenti locali. L’ENISA auspica la creazione di gruppi di risposta agli incidenti di sicurezza informatica dedicati al settore sanitario in ogni Stato membro. Nel frattempo, però, gli HCO devono fare da soli.

ESET mette a disposizione delle aziende sanitarieun approccio completo alla sicurezza che, attraverso un’unica console disponibile anche in cloud, è in grado di mantenere alti i livelli di protezione di tutti i dispositivi presenti all’interno della rete aziendale sanitaria. Questo sistema di sicurezza non si ferma solo alla protezione degli endpoint contro gli attacchi ransomware e le minacce zero-day, ma si estende anche a mantenere protetti i server aziendali che contengono le informazioni necessarie allo svolgimento dell’operatività; soluzioni di cifratura e di doppia autenticazione innalzano ulteriormente la sicurezza dei dati aziendali evitando che in caso di furto o perdita del dispositivo possa esserci la perdita o condivisione non autorizzata di informazioni sensibili. Da non dimenticare la necessità di adottare una tecnologia XDR che consenta di monitorare 24/7 la rete aziendale, identificando la presenza di eventuali comportamenti anomali e violazioni, in grado anche dirispondere agli incidenti, effettuare indagini e azioni di remediation.

ESET risponde alle necessità delle aziende. Un caso di successo sviluppato recentemente nel settore sanitario italiano è l’Azienda Ospedaliera Universitaria“Ospedali Riuniti” di Foggia: ha affidato ad ESET la protezione di oltre 2.000 postazioni traendpoint, laptop e server, ottenendo benefici in termini di: semplicità di gestione dell’intera infrastruttura informatica, affidabilità dei sistemi, riducendo così il rischio di blocco nell’erogazione di servizi essenziali diassistenza, e tranquillità nel poter gestire in sicurezza migliaia di datisensibili dei propri pazienti, raccolti durante l’erogazione deipropri servizi.

(di Fabio Buccigrossi, Country Manager di ESET Italia)