Covid-19 e cybersecurity: ospedali in prima linea come mai prima

Tra febbraio e marzo 2020 – i mesi che hanno segnato l'inizio della pandemia in Europa – i cyberattacchi contro gli ospedali sono aumentati del 475% – una cifra cinque volte superiore a quella dei tempi normali (secondo un altro giocatore di cybersecurity). Tanto, infatti, da essere motivo di intervento da parte di FBI e Interpol, che hanno dichiarato pubblicamente la rispettiva preoccupazione per la proliferazione degli attacchi informatici contro le infrastrutture critiche. 

A livello di infrastrutture digitali la crisi dovuta Covid-19 ha confermato in maniera a dir poco demoralizzante il fatto che i sistemi IT degli ambienti ospedalieri sono a tutt’oggi ipersensibili alle minacce informatiche. Ma questa situazione è solo il prodotto delle circostanze attuali, o è una chiara conseguenza delle debolezze e dei problemi che da anni affliggono il settore sanitario?

Covid-19 e gli ospedali: parco giochi per cybercriminali

Il CISO di un noto gruppo ospedaliero regionale francese ha di recente confermato che, oltre al notevole lavoro che il settore ha affrontato nella gestione della crisi e nella creazione di nuove unità tecnologiche dedicate, gli ospedali sono stati e sono tuttora bersaglio di attacchi a tema Covid-19 che spaziano dai tradizionali tentativi di phishing anche sofisticati, alle più ricercate frodi CEO, fino a frodi commerciali ai danni di strutture sanitarie realizzate basandosi sull’indisponibilità di sufficienti scorte di mascherine. L’Italia non è stata scevra da questi attacchi, tanto che nella seconda metà di marzo la Polizia Postale ha condiviso con il settore ospedaliero italiano 30 avvisi su possibili attacchi, per evitare ciò che è successo in ospedali “Covid” nel Regno Unito, nella Repubblica Ceca e in Romania, Polonia come in Francia, messi in ginocchio da ransomware o tormentati da tentativi di attacco DDoS ai server di posta elettronica. 

Mancanza di maturità informatica

Qual è la motivazione degli attacchi informatici contro gli ospedali? L'evidenza dimostra che gli Istituti Ospedalieri di ogni ordine e grado sono sempre stati il bersaglio privilegiato dei cyber-attaccanti. Esistono due tipi principali di attacchi a scopo di lucro contro gli ospedali: il tentativo di carpire dati sanitari e i ransomware. Alberto Brera, Country Manager Italy di Stormshield spiega: “i dati medici sono informazioni di valore strategico ultrasensibile nella gestione dei servizi ospedalieri – il che li rende un bersaglio privilegiato per i cybercriminali, essendo di maggior valore rispetto ai “normali” dati personali. E quando si tratta di ransomware, gli ospedali hanno purtroppo più probabilità di pagare rispetto ad altre organizzazioni a causa del loro obbligo di garantire la continuità delle cure. E non dimentichiamo che, come ogni altra azienda o organizzazione che si occupa di questa improvvisa crisi sanitaria, gli ospedali non erano preparati a questo doppio colpo", sottolinea Brera.
Rispetto ad altri settori strategici come l'industria o il sistema bancario, sembra anche che il settore della Sanità soffra in generale di una carente maturità in termini di sensibilità digitale e di sicurezza informatica. Ad esempio, l'adozione diffusa del telelavoro da parte di alcuni operatori sanitari non ha reso le cose più facili per i CISO ospedalieri già sovraccarichi di lavoro. Allo stesso modo, l’uso del teleconsulto per far fronte all’impossibilità di gestire i pazienti “in presenza”, ha aumentato la superficie di attacco dei servizi sanitari. La verità è che la repentinità della crisi ha aggravato una situazione già difficile. E i primi lampi di ottimismo all'inizio della crisi – con alcuni hacker come DoppelPaymer e Maze che hanno dichiarato che non avrebbero attaccato gli ospedali – sono rapidamente svaniti, evidenziando i problemi strutturali sottostanti.

Disinvestimento cronico nell'IT

A titolo esemplificativo bastino alcuni dati annoverati in una delle ultime ricerche Netics lo scorso febbraio: quasi il 20% delle strutture sanitarie italiane non avrebbe le capacità di rispondere velocemente a un attacco hacker, dove per velocemente si intendono almeno 4 ore. Un tempo interminabile per una procedura chirurgica in corso, ma anche solo per chi debba sapere quale terapia somministrare a un paziente. A livello di direzione centrale di ASL e Ospedali, solo il 4,3% del budget informatico è destinato alla sicurezza, inoltre la spending review della Pubblica Amministrazione del 2018 ha effettuato un taglio della spesa informatica per la Sanità di circa 160 milioni di euro in 3 anni. Ad aggravare ulteriormente i limiti imposti da questo grave deficit di budget vi è anche la mancanza di consapevolezza dei rischi informatici da parte degli operatori.
Questo disinvestimento cronico porta al mantenimento di vecchi macchinari ed infrastrutture che spesso utilizzano sistemi operativi obsoleti come Windows XP o Windows 2000", spiega Brera. Così, quando c'è un problema o un’apparecchiatura si rompe, i CISO si trovano bloccati: i dispositivi sono molto spesso soggetti a certificazione medica che impedisce l'applicazione di patch di sicurezza. "L'unica soluzione è quella di isolare questi dispositivi all'interno di reti specifiche, evitando il più possibile le connessioni con il mondo esterno e monitorando il flusso di dati in tempo reale”, dice Brera. Ma tali precauzioni hanno ovviamente un costo. Di fronte alla diminuzione dei finanziamenti pubblici e alle sempre maggiori richieste di ritorno dell'investimento, la sicurezza informatica per i dispositivi medici passa sempre più spesso in secondo piano.

La posta in gioco? L’intero sistema ospedaliero

Dato che la sanità in generale e gli ospedali di conseguenza si stanno comunque trasformando in sistemi connessi e automatizzati, è essenziale tenere presente il ruolo della sicurezza informatica in ambienti dotati di tecnologie operative (OT) per comprenderne le ulteriori vulnerabilità. All'interno di un edificio ospedaliero, tali tecnologie riguardano la gestione dell’energia e dei fluidi, come il condizionamento dell'aria, i livelli di pressione dell'aria e la sicurezza antincendio – fattori che sono alla base degli edifici intelligenti e delle loro infrastrutture collegate. E tanto più se si considera che gli ambienti ospedalieri sensibili come le sale operatorie, le macchine per la risonanza magnetica e le sale di rianimazione richiedono pressioni e temperature dell'aria costanti. "A causa della configurazione degli edifici ospedalieri e di alcuni spazi, la gestione dell'aria è di vitale importanza e i rischi per la salute sono evidenti. Purtroppo, è fin troppo facile immaginare l'importanza del rinnovo dell'aria nelle sale operatorie, e anche nelle stanze, per evitare la diffusione di batteri o virus. La gestione della temperatura e dell'umidità sono altrettanto cruciali; ad esempio, nei reparti neonatale e delle ustioni. Per non parlare dei potenziali danni economici che risultano ad esempio da un’errata manutenzione dei sistemi di raffreddamento di un macchinario per la risonanza magnetica. La prospettiva di un attacco cibernetico in grado di disturbare il sistema di trattamento dell'aria in una sala operatoria costituisce un rischio critico immediato. Più in generale "alcune attività mediche svolte da un ospedale – come la rianimazione, il pronto soccorso e la terapia intensiva sono sufficientemente critiche da giustificare l'uso di impianti specifici che forniscono un'alimentazione continua", continua Brera. Impianti altrettanto vulnerabili, come evidenziato dall'attacco all'ospedale universitario di Rouen in Francia, il cui direttore della comunicazione scrisse sul quotidiano francese Le Monde: "Spegnere l'intero sistema non è una cosa banale per un ospedale, dove tutto è informatizzato: prescrizioni, analisi, rapporti, ecc.”

Gli ospedali sono infrastrutture vitali, ma vulnerabili e soggetti a minacce molto specifiche. Hanno dimostrato la loro resilienza durante la recente crisi… ma per quanto tempo ancora? Quante settimane ancora prima che un altro si trovino nell'occhio del ciclone? Oltre alle enormi sfide che accompagnano il "ritorno alla normalità", prevediamo che la questione della sicurezza informatica sarà al centro delle discussioni sull'amministrazione ospedaliera. “Speriamo sia all’ordine del giorno anche il ripristino di budget adeguati a tutelare infrastrutture tanto critiche quanto la salute dei rispettivi pazienti”, conclude Brera.

Stormshield

Stormshield è un’azienda europea specializzata in cybersecurity di proprietà di Airbus. Da oltre vent’anni progetta e produce soluzioni pensate per mettere in sicurezza ambienti critici, siano essi impianti industriali o infrastrutture di fornitori di servizi essenziali. In quest'ottica l'impegno di Stormshield è quello di creare prodotti di indiscutibile qualità, validata da qualifiche e certificazioni uniche sul mercato, con lo scopo di offrire soluzioni in grado di rappresentare un vero e proprio pilastro nella strategia di difesa di qualsiasi azienda per solidità, affidabilità ed efficacia.

www.stormshield.com