Punti chiave
- La visibilità su tutti i sistemi viene prima di qualsiasi valutazione del rischio: endpoint clinici, dispositivi medici e sistemi remoti devono essere censiti prima di poter individuare le lacune di sicurezza.
- Non tutte le vulnerabilità meritano la stessa attenzione: i sistemi che elaborano o supportano direttamente l’assistenza al paziente vanno sistemati per primi. Trattare ogni problema allo stesso modo fa perdere tempo e lascia scoperti i rischi più critici.
- Se i team di sicurezza e conformità lavorano separatamente, si aprono delle lacune: quando la gestione delle vulnerabilità, la risposta agli incidenti e i requisiti HIPAA sono affidati a team diversi, i problemi passano inosservati e sono più difficili da giustificare durante gli audit.
- Le valutazioni annuali non stanno al passo con l’evoluzione degli ambienti sanitari: cicli di valutazione continui o regolari, per esempio trimestrali, forniscono ai team di sicurezza informazioni aggiornate. Dati vecchi di mesi non sono una base affidabile per le decisioni di oggi.
Le organizzazioni sanitarie si affidano soprattutto a sistemi connessi per gestire le attività cliniche, la diagnostica per immagini, la comunicazione tra reparti e l’assistenza ai pazienti. Man mano che questi ambienti crescono, però, aumenta il numero di dispositivi e applicazioni, insieme ai servizi che erogano. Questo significa avere più elementi da proteggere e monitorare di continuo.
Questa guida illustra come i processi di valutazione del rischio in ambito sanitario aiutano le organizzazioni a individuare i rischi di sicurezza e a ridurre l’esposizione al ransomware e alle fughe di Protected Health Information (PHI). Verranno affrontati anche aspetti come il miglioramento della visibilità su dispositivi medici ed endpoint, per far procedere senza intoppi le attività cliniche.
Perché il rischio informatico in sanità è complesso dal punto di vista operativo
La cybersecurity in sanità è difficile da gestire perché ospedali e strutture sanitarie dipendono da moltissimi sistemi connessi. Questi sistemi supportano l’assistenza ai pazienti, la comunicazione, la diagnostica e altre attività quotidiane.
Le organizzazioni sanitarie devono gestire:
- Sistemi clinici
- Dispositivi medici connessi
- Endpoint sanitari remoti
- Applicazioni cloud
- Attività su più sedi
- Infrastrutture legacy
Se le attività si interrompono, ne risentono sia l’assistenza ai pazienti sia la continuità dell’organizzazione.
Perché serve una governance centralizzata
Se un’organizzazione sanitaria non viene governata tramite un servizio di monitoraggio e gestione da remoto (RMM) per la sanità, può andare incontro a:
| Rischio | Dettagli |
| Visibilità incompleta sugli asset | Rende difficile individuare tutti i dispositivi e i sistemi connessi all’interno dell’ambiente. |
| Rimedio delle vulnerabilità in ritardo | I problemi di sicurezza restano irrisolti perché i team non dispongono di processi di risposta coordinati. |
| Scarsa definizione delle priorità di rischio | In questo caso le vulnerabilità critiche vengono trattate come i problemi a basso rischio. |
| Reporting frammentato | I dati di sicurezza sono distribuiti su più strumenti e team, rendendo i flussi di lavoro confusi e inefficienti. |
| Totale assenza di visibilità | Limita la capacità di verificare se i sistemi soddisfano i requisiti sanitari e di sicurezza. |
Costruire visibilità con la valutazione del rischio in sanità
Le organizzazioni sanitarie devono mantenere una consapevolezza continua dei propri ambienti operativi. Le pratiche che seguono aiutano a costruire la visibilità necessaria per individuare prima i rischi e gestire più efficacemente la cybersecurity in sanità.
Visibilità su asset ed endpoint
La cybersecurity delle attività sanitarie dipende dal sapere quali sistemi e dispositivi sono connessi all’interno dell’ambiente. Senza una visibilità chiara, è facile farsi sfuggire asset vulnerabili o non gestiti. Per questo le organizzazioni dovrebbero mantenere costantemente visibili i seguenti elementi:
- Endpoint clinici
- Dispositivi medici
- Server
- Sistemi remoti
- Infrastrutture connesse al cloud
La visibilità sugli asset migliora la consapevolezza del rischio e aiuta i team a reagire più rapidamente ai problemi.
Individuare i sistemi ad alto rischio
Per i team di cybersecurity è fondamentale sapere quali sistemi presentano il rischio operativo e di sicurezza più elevato. Questi sistemi vanno messi in cima alle priorità, così che l’organizzazione possa concentrarsi sulla risoluzione dei problemi che contano davvero:
- Sistemi che elaborano PHI
- Infrastrutture cliniche critiche
- Dispositivi non più supportati
- Servizi esposti su internet
- Dipendenze da software di terze parti
Definendo delle priorità, i team IT riescono a rispondere più rapidamente ai problemi.
Mantenere la consapevolezza operativa
La cybersecurity in sanità richiede un monitoraggio continuo di sistemi, dispositivi e attività quotidiane. Se manca visibilità, i problemi di sicurezza possono restare sotto traccia finché non finiscono per interrompere il lavoro di tutti i giorni. Ecco perché le organizzazioni sanitarie dovrebbero monitorare:
- L’esposizione alle vulnerabilità
- La conformità degli endpoint
- Lo stato delle patch
- Gli incidenti di sicurezza
- Le dipendenze operative
Se i team IT mantengono una consapevolezza costante, possono intervenire rapidamente sui problemi e mantenere stabili i sistemi.
Come condurre una valutazione del rischio informatico in sanità
Le valutazioni del rischio in ambito sanitario devono coprire sistemi, dispositivi, utenti e servizi connessi. Le pratiche che seguono permettono alle organizzazioni di trovare le lacune di sicurezza, stabilire le priorità di intervento e migliorare la visibilità sull’intero ambiente.
Individuare l’esposizione alle vulnerabilità
Le organizzazioni sanitarie devono sapere dove si trovano i loro potenziali punti deboli, per poterli affrontare senza difficoltà. Una valutazione continua permette ai team di capire quali sistemi richiedono attenzione prima che vengano sfruttati.
Le organizzazioni dovrebbero esaminare con attenzione:
- Patch mancanti
- Autenticazione debole e non sicura
- Sistemi non più supportati
- Configurazioni errate
- Esposizione dovuta a software legacy
Una visibilità costante aiuta i team a risalire alle cause dei problemi e a mantenere la sicurezza nei diversi ambienti sanitari.
Valutare l’impatto sul business e sull’attività clinica
Una valutazione del rischio in sanità deve misurare in che modo i problemi di sicurezza possono incidere sulle attività quotidiane che riguardano personale e pazienti.
Le valutazioni del rischio dovrebbero stabilire le priorità delle vulnerabilità in base a:
- Interruzione dell’assistenza ai pazienti
- Dipendenza dai sistemi clinici
- Esposizione normativa
- Impatto sulla continuità operativa
I problemi che riguardano l’assistenza ai pazienti e i sistemi clinici devono salire in cima all’elenco degli interventi.
Coordinare i flussi di lavoro di rimedio
Negli ambienti sanitari, gli interventi di sicurezza raramente ricadono su un solo team. Il rimedio funziona meglio quando le persone giuste sono coinvolte fin dall’inizio.
Le organizzazioni dovrebbero allineare:
- Security operations
- Team IT clinici
- Gestione della conformità
- Amministrazione dell’infrastruttura
Quando questi team lavorano sulle stesse informazioni, gli interventi si chiudono più in fretta e meno problemi passano inosservati.
Rafforzare la governance della sicurezza in sanità
Una buona cybersecurity in sanità non nasce per caso. Richiede una governance coerente su ogni ambiente gestito dall’organizzazione: dai sistemi clinici agli endpoint remoti, fino ai dispositivi medici connessi.
Allineare sicurezza e conformità
I team di sicurezza e di conformità che lavorano separatamente tendono a lasciare lacune che nessuna delle due parti riesce a intercettare.
Le organizzazioni dovrebbero coordinare:
- I requisiti di conformità all’Health Insurance Portability and Accountability Act of 1996 (HIPAA)
- La gestione delle vulnerabilità
- La risposta agli incidenti
- Il reporting sul rischio
- La governance degli endpoint
Quando questi ambiti sono allineati, è più facile individuare le lacune di conformità e giustificare le decisioni di sicurezza durante gli audit.
Standardizzare reporting e visibilità
Senza un reporting coerente, è difficile sapere in qualsiasi momento a che punto si trova l’ambiente.
Le organizzazioni sanitarie dovrebbero mantenere:
- Dashboard centralizzate
- Reporting sul rischio
- Visibilità sugli interventi di rimedio
- Sintesi per la direzione
- Documentazione di conformità
Un reporting coerente offre sia ai team tecnici sia alla direzione un quadro chiaro dello stato della sicurezza, senza dover rincorrere informazioni sparse su più fonti.
Mantenere cicli di valutazione continui
Una sola valutazione annuale non riesce a stare al passo con la rapidità con cui cambiano gli ambienti sanitari. È meglio svolgere valutazioni a cadenza regolare, per migliorare la visibilità su:
- Vulnerabilità emergenti
- Esposizione dei dispositivi medici
- Deriva della configurazione degli endpoint
- Preparazione alla conformità
Cicli di valutazione regolari significano che i team di sicurezza lavorano su informazioni aggiornate e non su uno snapshot vecchio ormai di mesi.
Errori frequenti nella valutazione del rischio informatico in sanità
Negli ambienti sanitari questi errori comuni tendono ad accumularsi nel tempo, se non vengono affrontati subito.
| Errore nella valutazione del rischio | Perché è importante |
| Considerare le valutazioni solo come un adempimento di conformità | Svolgere le valutazioni solo in funzione degli audit significa che le lacune di sicurezza resteranno invisibili tra un ciclo e l’altro. |
| Trascurare l’esposizione dei dispositivi medici | I dispositivi medici connessi spesso non sono aggiornati e raramente rientrano nelle scansioni standard. |
| Mantenere una visibilità frammentata sulla sicurezza | Quando i dati di sicurezza risiedono in strumenti separati, i team non colgono collegamenti tra vulnerabilità che sarebbero dovuti essere evidenti fin da subito. |
| Rimandare il coordinamento degli interventi di rimedio | Più a lungo una vulnerabilità nota resta senza risposta, più tempo hanno gli attaccanti per sfruttarla. |
| Ignorare le dipendenze operative | Risolvere un problema di sicurezza senza conoscerne le dipendenze può interrompere l’assistenza ai pazienti. |
Mantenere nel tempo la resilienza della sicurezza in sanità
La sicurezza in sanità non si regge da sola. Per restare efficace mentre l’ambiente cambia, richiede attenzione costante sugli ambiti giusti.
I programmi di sicurezza sanitaria più maturi danno priorità a:
- Visibilità continua sulle vulnerabilità
- Governance centralizzata
- Consapevolezza sui dispositivi medici
- Interventi di rimedio basati sul rischio
- Allineamento con la conformità
- Coordinamento tra funzioni diverse
- Continuità operativa
Le organizzazioni che mantengono questi ambiti attivi e collegati tra loro si trovano in una posizione molto più solida quando emergono nuove minacce o cambiano gli ambienti.
Gli audit sul rischio in sanità migliorano la cybersecurity in ambito medico
Le valutazioni del rischio informatico in sanità portano valore solo se vengono svolte in modo continuo, non solo prima di un audit. Le organizzazioni che mantengono visibilità su sistemi clinici, dispositivi medici ed endpoint, e che fanno lavorare i team di sicurezza e conformità sulle stesse informazioni, sono più in grado di intercettare i problemi prima che incidano sull’assistenza ai pazienti.
Collegare la gestione delle vulnerabilità a una governance della sicurezza più ampia è ciò che trasforma un esercizio una tantum in un programma che riduce davvero il rischio nel tempo.
Argomenti correlati:
