Cybersecurity nel settore sanitario: il punto di vista di Horsa

La trasformazione digitale porta innovazione, cambiamento e modernità; sull’altra faccia della medaglia appare invece la crescente necessità di protezione dal cybercrimine, per cui servono soluzioni concrete che agiscano preventivamente e non solo ad attacco avvenuto.

Horsa supporta realtà di tutti i settori, compreso quello sanitario, per affrontare al meglio il tema della protezione informatica.

Lucio Graziani, Innovation Manager di Horsa Tech, spiega come lo stato dell’arte della cybersecurity non possa contare solo su strumenti, ma debba essere pensato come un processo, in constante evoluzione, fatto di formazione e informazione quotidiana a utenti e personale, e servizi qualificati per raggiungere gli standard necessari per una protezione adeguata.

Quella sulla cybersicurezza è una guerra, non più solo un business

La premessa è doverosa: il cybercrime non è più solo un business, ma una guerra; i cybercriminali non sono più “nerd” isolati che lavorano in autonomia, ma sistemi estremamente strutturati, al pari di ogni altra azienda. Si tratta di vere e proprie organizzazioni con molte risorse e tempo a disposizione per elaborare i loro attacchi. Come in ogni guerra nel mondo reale, i primi obiettivi sono quelli definiti “sensibili”, ovvero militari, sanitari e legati alle riserve energetiche.

Ed è per questo che il mondo della sanità, tra gli ambiti che compongono la Pubblica Amministrazione, è quello che, in termini di cybersecurity, deve essere maggiormente attenzionato: per sua natura, infatti, tratta dati sensibili che sono il bersaglio perfetto per i criminali informatici. Compromettere o bloccare le funzionalità di un’azienda sanitaria ha un impatto molto più grave che in altri settori, dato che il caos che ne deriverebbe non solo potrebbe compromettere i sistemi, ma anche mettere a rischio i pazienti in cura.

Va da sé perciò che, per fare fronte ad attacchi così strutturati, non basta utilizzare singoli strumenti, ma è necessario orchestrare un processo di mitigazione dell’attacco, con una pianificazione di azioni precise – come il ciclo PDCA (Plan – Do – Check – Act) – che ha l’obiettivo di prevenire gli attacchi.

Non è possibile dire con precisione quale sia lo stato attuale di protezione delle aziende sanitarie. Senz’altro ci sono realtà più virtuose di altre, e questo divario spesso dipende dai costi elevati che il processo di standardizzazione di sicurezza – di per sé lungo e in continuo aggiornamento – richiede.

Nelle Aziende Sanitarie, per i motivi elencati finora, l’attenzione agli standard di sicurezza previsti dalla normativa deve essere molto alta: si tratta ovviamente di standard internazionali (nel settore sanitario la ISO 9001), non interni, che determinano il numero di controlli da eseguire, periodicamente, e best practices da seguire, per ricavare la corretta security posture, ovvero lo stato di sicurezza delle reti, delle informazioni e dei sistemi di un’azienda in base alle risorse (ad esempio persone, hardware, software, politiche) e alla capacità di gestire gli attacchi.

Il punteggio ottenuto indica la sequenza di azioni che l’Azienda deve intraprendere per migliorare il suo livello di sicurezza, a partire dalla chiusura di eventuali falle nel sistema, e mettere in atto processi ricorsivi per mantenerla nel tempo, attraverso penetration e vulnerability test.

In termini di strumenti, per le strutture sanitarie, la soluzione che più si avvicina all’elevato standard di protezione richiesta, è il SOC – Security Operation Center – che per definizione opera 24/7 con team di professionisti altamente qualificati in grado di rispondere alle esigenze in modo superiore rispetto ai sistemi automatici. A maggior ragione se i dati trattati sono sensibili, i monitoraggi umani sono fondamentali per garantire la sicurezza necessaria al sistema e all’utente. È stato calcolato che, per garantire questo tipo di monitoraggio, ogni azienda dovrebbe avere a disposizione 10-12 persone dedicate solo alla sicurezza del sistema aziendale; un capitale umano che non tutte le strutture possono permettersi.

È qui che Horsa trova la sua reason why. Grazie al nostro servizio gestito Managed Detect & Response siamo in grado di intercettare e rispondere agli incident di tipo security 24/7. L’iter vede il personale altamente qualificato del nostro SOC interfacciarsi con un primo livello di AI che elimina i falsi positivi e, in caso di incertezze sull’esistenza o no di minacce, l’input scala all’operatore umano, che inizia la sequenza di risposta. Nella pletora di strumenti a supporto della mitigazione degli attacchi – che va ricordato, non possono essere eliminati al 100% – riteniamo sia sicuramente il servizio più importante per strutture delicate e a rischio come quelle sanitarie.

L’approccio di Horsa

Come ricordavamo però, servizi di questo tipo per la tecnologia utilizzata e il livello di competenza richiesto, hanno costi proibitivi per alcune aziende; ma la PA e il settore sanitario, che hanno in gestione dati sensibili dei cittadini, non possono a nostro avviso avere come primo benchmark di valutazione il fattore economico.

Valutare la qualità di un servizio di cybersecurity è complesso, perché tanti sono gli elementi che lo compongono. La difficoltà risiede anche nel comprendere quali di questi devono essere considerati come prioritari rispetto ad altri.

Faccio un esempio; spesso si sottovaluta l’importanza di avere, durante l’attacco, che di per sé è un momento di grande stress per una azienda, la possibilità di comunicare – di parlare, nel vero senso della parola – tempestivamente con qualcuno che comprenda la propria lingua senza altri mediatori. Il Managed Detect & Response di Horsa risponde, tra le altre, a questa esigenza perché basato su team qualificati di professionisti in grado di supportare i clienti sin dal primo momento dell’attacco, dall’Italia.

Oltre a garantire la vicinanza territoriale, l’approccio di Horsa si distingue per porsi come unico interlocutore verso il cliente, ma senza ricoprire tutti i ruoli – controllato, controllore e il risolutore delle crisi – nonostante abbia le competenze per farlo.

Questo per evitare “conflitti di interesse”. È nostra convinzione infatti che assegnare l’ownership di ogni fase di processo a un soggetto diverso sia garanzia di maggiore efficienza e serietà del servizio, oltre a una visione più chiara della trasmissione e del check dei dati. L’imparzialità, soprattutto in caso di errore, permette a nostro avviso un’azione più rapida nell’identificazione e risoluzione della falla, senza bias, aggiungendo valore al servizio offerto.

L’augurio, dunque, è che nel settore sanitario si continui a investire per aumentare e mantenere costantemente aggiornato il livello di cybersicurezza, non focalizzandosi solamente su singoli strumenti e soluzioni, ma includendo più iniziative, a partire dalla formazione e informazione quotidiana di utenti e personale, spesso prima causa involontaria di breccia nel sistema. Le scelte più efficaci, in questo momento in cui le minacce cibernetiche sono in piena evoluzione, non sono basate su aspetti economici, ma su una attenta analisi della qualità dei servizi offerti da chi si candida a difensore.