Come si usano gli iPad in sanità e come proteggerli

Abilitando flussi di lavoro clinici in mobilità, gli iPad nella sanità sono diventati fondamentali per migliorare la qualità e l’efficienza dell’assistenza ai pazienti. iPhone e iPad favoriscono la collaborazione e la comunicazione e rafforzano il rapporto tra il personale e i pazienti. Le tecnologie alla base di questi vantaggi, però, possono introdurre rischi e problemi di conformità se non vengono implementate, governate e mantenute correttamente.

Questa guida spiega come gli iPad e gli altri dispositivi mobili stanno migliorando la sanità e quali misure puoi adottare per metterli in sicurezza ed evitare problemi di privacy, conformità e affidabilità in futuro.

Le situazioni d’uso più comuni degli iPad in sanità

iPad, tablet e altri dispositivi mobili migliorano notevolmente l’efficienza dei flussi di lavoro e il coinvolgimento dei pazienti in diversi modi:

• Collaborazione a distanza del personale sulle cartelle cliniche, con protezione dei dati conforme all’HIPAA
• Comunicazione sicura e in tempo reale tramite testo, audio o video, sia per la comunicazione interna sia per consulti a distanza e telemedicina
• Informazioni per i visitatori, come video, mappe ed elenchi di reparti
• Informazione dei pazienti, accettazione e raccolta del consenso

Queste situazioni d’uso richiedono che i dispositivi siano sempre disponibili e che le risorse al loro interno siano immediatamente accessibili, sia nelle mani del personale sia in quelle dei pazienti.

Le sfide di sicurezza degli iPad negli ambienti clinici

La natura pubblica degli ambienti clinici e la facilità di accesso ai dispositivi mobili come gli iPad usati in sanità pongono sfide di sicurezza non trascurabili. Le ipotesi che valgono di solito per i dispositivi da ufficio (un singolo utente responsabile del proprio dispositivo) non reggono in sanità, dove i dispositivi sono spesso condivisi tra più utenti con ruoli diversi e possono spostarsi tra reparti o attività.

I dispositivi mobili, inoltre, vengono smarriti o rubati più facilmente. I dati che contengono sono anche più spesso tutelati da normative stringenti sulla privacy come l’HIPAA: un iPad protetto in modo inadeguato o compromesso rappresenta quindi un rischio sia operativo sia di conformità.

Altri aspetti legati all’HIPAA e alla conformità normativa

L’HIPAA si applica a qualsiasi organizzazione che tratti dati sanitari personali (PHI) e prevede gravi conseguenze legali e reputazionali se non vengono adottate misure sufficienti per proteggerli. Prevenire le violazioni dell’HIPAA è determinante per la continuità operativa delle organizzazioni sanitarie negli Stati Uniti, e altre aree geografiche hanno normative analoghe con requisiti propri in materia di privacy e protezione dei dati.

Spetta a te assicurarti che la tua implementazione copra le normative applicabili alla tua organizzazione, al personale e all’utenza: nessuna guida può coprire tutti i passaggi necessari. Fai riferimento al testo originale delle leggi e degli standard di settore che devi rispettare e collabora con esperti tecnici in grado di garantirne il pieno rispetto.

Conciliare sicurezza e conformità degli iPad con l’usabilità clinica

La governance IT allinea la pianificazione e l’implementazione tecnica agli obiettivi dell’organizzazione. In sanità, la governance IT deve allinearsi anche agli esiti clinici. I controlli di sicurezza e le misure di conformità vanno implementati senza introdurre attriti nei flussi di lavoro clinici critici e senza rallentare le attività amministrative, perché le inefficienze possono ripercuotersi su altre aree o portare a errori evitabili.

I reparti IT interni e i managed service provider (MSP) che gestiscono dispositivi mobili come iPad e iPhone in sanità dovrebbero assicurarsi di adottare strumenti e configurazioni che:

• Riducono al minimo i tempi di accesso e di nuova autenticazione (per esempio ripristinando le sessioni)
• Impediscono l’accesso non autorizzato ai dati protetti
• Consentono un rapido passaggio del dispositivo da un utente all’altro e da un’attività all’altra
• Supportano l’uso offline o, quanto meno, reggono una connettività intermittente

Gran parte di questi aspetti non riguarda solo la configurazione dei dispositivi mobili, ma dipende dalla tua infrastruttura IT complessiva. Per esempio, la copertura e l’affidabilità della rete Wi-Fi, così come l’autenticazione a più fattori (MFA) adattiva e l’accesso condizionale, incidono molto su quanto sopra.

Anche il comportamento degli utenti finali va considerato nella governance e nelle misure di sicurezza. Controlli scomodi o troppo restrittivi possono causare ritardi e spingere gli utenti a non adottare pratiche sicure o, peggio, a cercare scorciatoie come la condivisione delle credenziali di accesso.

Per gli iPad condivisi e in modalità kiosk la gestione remota è indispensabile

I dispositivi condivisi dovrebbero essere sottoposti a supervisione remota per prevenirne l’uso improprio, tracciarne la posizione e applicare policy di sicurezza come la crittografia e i controlli degli accessi. Deve inoltre essere possibile bloccare da remoto i dispositivi smarriti finché non vengono ritrovati, oppure cancellarli e disattivarli in modo permanente se vengono rubati. La gestione dei dispositivi mobili (MDM) conforme all’HIPAA è lo strumento ideale per questo scopo e può essere usata anche per altre attività di gestione remota, come la distribuzione delle app.

I dispositivi destinati all’uso pubblico (cioè da parte di pazienti e visitatori) dovrebbero avere restrizioni aggiuntive. “Modalità kiosk” è il termine comunemente usato per indicare il blocco di un dispositivo su una singola app (o su un sottoinsieme di app), con l’accesso alle funzioni di sistema come le impostazioni disattivato. Su iPad questa caratteristica si chiama Accesso Guidato o modalità App singola. Queste modalità con restrizioni sono utili anche per garantire che i dispositivi configurati per attività specifiche vengano usati dal personale solo per lo scopo previsto.

Trattare gli iPad sanitari come infrastruttura critica

Il personale sanitario si affida sempre di più ai dispositivi mobili, iPad e iPhone compresi, per portare a termine attività mission-critical. Prestazioni scadenti, falle di sicurezza o guasti di questi dispositivi non si traducono soltanto in risultati negativi per l’organizzazione, come accade nella maggior parte dei settori: in ambito sanitario possono incidere sulla salute o sul benessere delle persone. I dispositivi possono inoltre essere integrati o collegati ad apparecchiature medicali specialistiche che dipendono da loro per funzionare.

In sanità, quindi, i dispositivi mobili andrebbero trattati come infrastruttura critica, per garantire risultati rapidi e affidabili. Il che presuppone disponibilità continua, sicurezza e adeguatezza allo scopo.

A questo fine, i team IT dovrebbero scegliere strumenti che permettano di automatizzare le attività ricorrenti di manutenzione e sicurezza, monitorare da remoto i dispositivi per individuare i problemi e intervenire in modo proattivo, e offrire canali di helpdesk comodi con cui il personale possa segnalare i problemi. Il patching regolare (una necessità di sicurezza) va gestito con attenzione, per evitare che gli strumenti introducano problemi di compatibilità o che l’installazione avvenga mentre i dispositivi sono in uso.

Una governance efficace e l’assegnazione chiara della responsabilità di ciascun dispositivo al personale in reparto sono determinanti per il successo di questi processi: i dispositivi devono trovarsi in posizioni prevedibili per non andare persi, essere reperibili in qualsiasi momento ed essere funzionanti e connessi.

Aspetti operativi e di ciclo di vita dei dispositivi mobili condivisi

I dispositivi obsoleti rappresentano una vulnerabilità di sicurezza, perché non ricevono più patch per le vulnerabilità di cybersecurity note. Potrebbero inoltre non supportare gli standard aggiornati, impedendoti di utilizzare i software sanitari o di produttività più recenti.

La pianificazione del ciclo di vita è fondamentale per assicurarsi che i dispositivi obsoleti vengano ritirati dall’uso e smaltiti in sicurezza. Le distribuzioni dovrebbero sfruttare tecnologie come il deployment zero-touch e l’MDM, così che ogni dispositivo sia configurato correttamente con impostazioni predefinite coerenti e sicure. Gli strumenti di gestione degli asset ti permettono di tenere traccia di tutti i dispositivi della tua organizzazione.

L’integrità dei dispositivi iPad va monitorata, incoraggiando il personale a segnalare malfunzionamenti e dispositivi rotti. Quando un dispositivo deve essere dismesso, va cancellato in modo sicuro, per impedire che i dati al suo interno vengano letti in seguito da persone non autorizzate. Il provisioning zero-touch che registra i dispositivi in MDM permette ai dispositivi nuovi e a quelli sostitutivi di essere operativi pochi minuti dopo che l’utente finale li ha tolti dalla confezione.

Queste misure evitano che i dispositivi vecchi passino inosservati accumulando rischi.

Una soluzione unificata per proteggere iPad e dispositivi mobili e raggiungere gli obiettivi di conformità su larga scala

L’adozione rapida e diffusa degli iPad in sanità ha aperto opportunità di ottimizzazione dei flussi di lavoro e di miglioramento dell’assistenza, e permette persino nuovi modi di seguire e curare i pazienti. Questi dispositivi, però, introducono nuovi rischi se non vengono governati e protetti correttamente, e comportano oneri di conformità aggiuntivi.

La gestione centralizzata tramite MDM contribuisce molto ad affrontare questi rischi e queste criticità, ma i team tecnici e gli MSP hanno bisogno di qualcosa di più della semplice gestione dei dispositivi. NinjaOne è una piattaforma unificata di gestione, monitoraggio e automazione IT che offre una base conforme all’HIPAA comprensiva di MDM, gestione e monitoraggio remoti (RMM), backup, controllo remoto, helpdesk e documentazione, con caratteristiche di automazione che semplificano la gestione di qualsiasi tipo di dispositivo.