La cybersecurity negli ospedali

Secondo la normativa europea, gli ospedali sono “infrastrutture critiche” per la cybersecurity. I potenziali rischi per la sicurezza sono di natura tecnica (migliaia di dispositivi medici e di stazioni di lavoro collegati alla rete, sistemi obsoleti, lavoro in smart working) ma anche di comportamento, visto che più operatori lavorano spesso sugli stessi terminali, e in situazioni di fretta, il che induce l’uso poco attento di password o mail. Trovare soluzioni è stato l’obiettivo di “Panacea”, un H2020 in via di ultimazione, coordinato dall’Università Cattolica di Roma in collaborazione con il Policlinico Gemelli, che ha funto da “cavia” - insieme con una Asl greca e a 7 ospedali irlandesi - per gli strumenti sviluppati da partner esperti in diverse discipline: tecnologia, psicologia, certificazione, risk management. “Abbiamo realizzato un tool-kit che comprende 7 diversi strumenti, 4 di natura tecnica e 3 legati al fattore umano”, spiegano la professor Sabina Magalini dell’Università Cattolica, coordinatrice del Progetto, il Project Manager Pasquale Mari e l’esperto di cybersecurity Fabio Rizzoni del “Gemelli”. Si parte da un software che simula cyber-attacchi all’intera rete informatica dell’ospedale per individuare i “nodi” critici da proteggere. Il secondo strumento trasferisce in sicurezza le informazioni mediche dei pazienti tra ospedali (e tra nazioni); il terzo riconosce l’operatore con una biometria facciale user friendly, evitando l’uso delle password. Infine, una soluzione di security by design verifica se le apparecchiature hanno garanzie di sicurezza informatica quando vengono collegate alla rete dell’ospedale. Per il fattore umano è stata messa a punto una metodologia che individua i comportamenti più nocivi per la sicurezza e studia piccole soluzioni quotidiane (‘nudges’) per evitarli. Si sono anche realizzati videoclip, da far girare sulle tv interne e nei moduli di e-learning, per influenzare i comportamenti degli operatori. Infine, metodi per “governare” la sicurezza: modelli organizzativi per ogni ospedale che affiancano al Ciso (Chief Information Security Officer) referenti area per area; una lista di controlli per individuare i punti più deboli; criteri di priorità degli investimenti. Concluso “Panacea”, come trasferire i risultati al mondo sanitario? “I sette strumenti possono vivere anche individualmente, ma insieme hanno un effetto sinergico notevolissimo. Da qui l’idea di un accordo post-progetto per un’offerta congiunta di servizi di consulenza, indirizzati a singoli ospedali e alle Regioni”.