Grazie a grandi e importanti innovazioni tecnologiche, il sistema sanitario è stato in grado negli ultimi anni di rendere ancora più semplice ed efficace il lavoro dei vari operatori, a tutti i livelli. La possibilità di avere accesso immediato alle cartelle cliniche dei pazienti, di consultare risorse e colleghi in tutto il mondo e di sfruttare macchinari sempre più complessi ha infatti rivoluzionato il campo della medicina.

A questi vantaggi si accompagnano però dei potenziali pericoli. Medici e ospedali sono, per loro natura, custodi di numerose informazioni personali sui propri pazienti, che, se non conservate in sicurezza, potrebbero finire nelle mani sbagliate.

Negli ultimi anni si sono visti sempre più di frequente attacchi informatici diretti contro ospedali o addirittura interi sistemi sanitari, che sono stati a volte costretti a interrompere completamente i loro servizi, con conseguenze anche gravissime.

Nel 2017, ad esempio, l’NHS, il servizio sanitario nazionale del Regno Unito, è stato vittima di un attacco malware basato su WannaCry, che ha colpito diversi ospedali dotati di sistemi informatici obsoleti e quindi vulnerabili ad attacchi di questo tipo. Nello stesso attacco, eseguito su scala mondiale, sono state coinvolte anche decine di aziende, come Nissan e Renault in Francia, e di infrastrutture, come la linea ferroviaria tedesca.

Nel 2019, uno studio americano ha osservato come in un solo anno ben 38 milioni di cartelle cliniche fossero state esposte a violazioni. In altre parole, i dati di circa il 12% della popolazione statunitense sono stati rubati o divulgati.

Più di recente, a marzo del 2020, si è notato un aumento degli attacchi malware basati su Kwampirs, che sembrerebbe aver colpito anche l’Ospedale Spallanzani di Roma, anche se la notizia non è mai stata confermata da fonti ufficiali.

Possibili scenari di rischio

Non è però solo la possibilità che vengano trafugati dati personali a essere in discussione. Ci sono molti altri modi in cui un attacco informatico a un ospedale o a un sistema sanitario potrebbe avere conseguenze per
gli operatori, per i pazienti e per intere comunità.

Molti macchinari diagnostici sono oggi collegati alla rete interna degli ospedali, e un attacco potrebbe renderli inutilizzabili o addirittura provocare danni. Ad esempio, una macchina per risonanze magnetiche
difettosa potrebbe danneggiare altri dispositivi elettronici vicini, oppure potrebbe restituire dati non veritieri e compromettere così le diagnosi effettuate.

Un attacco a un ospedale potrebbe impedirne l’effettiva gestione, costringendo la struttura a respingere i nuovi pazienti e a trasferire quelli già ricoverati. È proprio quello che è accaduto nel 2019 in una cittadina
degli Stati Uniti, il cui ospedale principale e diverse cliniche satellite sono stati completamente bloccati in seguito a un attacco ransomware. L’ospedale ha quindi dovuto chiudere il pronto soccorso per circa mezza
giornata, con notevoli problemi nella pronta gestione delle emergenze, e ha dovuto rinviare analisi e interventi chirurgici precedentemente programmati. Sono state necessarie circa due settimane per tornare alla normale organizzazione.

Proteggere dati e reti

Uno dei problemi più grandi è la scarsa sicurezza delle reti locali interne agli ospedali e dei dispositivi utilizzati. In molte strutture si utilizzano infatti ancora computer con versioni obsolete di Windows, non
aggiornate alle minacce più recenti. Inoltre, il personale non è formato sulle pratiche di sicurezza basilari che sarebbero in grado di evitare molti attacchi. Infine, non esistono standard di sicurezza applicabili ai dispositivi medici collegati alla Rete, che risultano così estremamente vulnerabili.

Per risolvere questo problema è necessaria prima di tutto una nuova normativa che obblighi le varie strutture a preoccuparsi della sicurezza informatica. A livello europeo si sta già lavorando a nuove regolamentazioni che dovrebbero sostituire quelle in vigore, ormai obsolete, ma la loro implementazione completa potrebbe richiedere ancora tempo.

A livello delle singole strutture, è necessario che il personale sia formato sull'uso dei vari dispositivi e sia a conoscenza dei rischi alla sicurezza e dei metodi per proteggere sé stessi e i propri pazienti. Ad esempio, è necessario spiegare quanto sia fondamentale fare attenzione ai tentativi di phishing o truffa e quanto sia importante affidarsi a servizi sicuri per la gestione di dati sensibili.

A questo proposito, è opportuno consigliare l'uso di una VPN online quando si opera su Internet o su una rete locale. Attraverso una VPN gratis, la connessione risulterebbe protetta da eventuali attacchi esterni, e anche se un attacco dovesse andare a buon fine, il traffico sarebbe comunque crittografato e quindi i dati e le informazioni sensibili sarebbero protetti. Le VPN sono già ampiamente utilizzate in ambito aziendale, dove i segreti commerciali vengono difesi con vigore; pertanto, non avrebbe senso non sfruttarle anche in ambito istituzionale.