Violazioni di dati nel settore sanitario: minaccia costante nonostante la riduzione dei costi

Il settore sanitario continua ad essere uno dei principali obiettivi per i criminali informatici, nonostante alcuni sviluppi incoraggianti nei costi legati alle violazioni. Nel 2024, il costo medio di una violazione dei dati è diminuito a 9,77 milioni di dollari rispetto alla media registrata nel 2023 di 10,93 milioni di dollari{{Footnote.N76502}}.

Tuttavia, questa riduzione non deve portare ad abbassare la guardia: la sanità rimane infatti il settore più bersagliato dagli attacchi informatici, con conseguenze potenzialmente devastanti sia per i pazienti che per i fornitori di servizi.

Vulnerabilità nella sicurezza dei dati sanitari

Le strutture sanitarie – siano essi studi medici, cliniche, ospedali, centri di diagnostica per immagini e test o laboratori di ricerca – affrontano una serie unica di sfide per la sicurezza dei dati, dovute a diversi fattori:

• La complessità del flusso dei dati medici sensibili scambiato tra numerosi dispositivi e sistemi diversi – come scanner CT, macchine per ecografie e computer amministrativi – finisce per creare molteplici punti di potenziale vulnerabilità per la perdita di dati.
• Molte organizzazioni non si dotano di un adeguato numero di specialisti in cybersicurezza e di strategie di sicurezza coerenti, finendo così spesso per adottare decisioni improvvisate sull'acquisto di apparecchiature e software nel momento in cui presenta un surplus di budget, ma senza seguire un piano di sicurezza complessivo. Il fenomeno è maggiormente frequente delle strutture più piccole, che risentono maggiormente della carenza diffusa di professionisti della cybersicurezza.

Queste vulnerabilità, sommate alla natura delicata delle operazioni sanitarie, costringono le organizzazioni a non fermarsi alle sole misure di sicurezza di tipo reattivo, dovendo piuttosto sviluppare anche strategie di protezione complete e proattive. Ignorare queste problematiche, lasciandole prive di risposta, può portare a gravi conseguenze di vasta portata.

L'ampio impatto delle violazioni dei dati

Quando un'organizzazione sanitaria subisce una violazione dei dati, le conseguenze si estendono ben oltre le perdite finanziarie immediate:

• La fiducia dei pazienti si erode rapidamente quando i dati medici vengono compromessi, potendosi produrre gravi conseguenze per la salute nel caso in cui le informazioni sul trattamento venissero alterate o rese inaccessibili.
• I fornitori di servizi spesso si trovano a dover fronteggiare significativi danni alla reputazione, con conseguente diminuzione delle iscrizioni dei pazienti e instabilità finanziaria.
• Le interruzioni operative possono arrivare a durare molto tempo, portando allo stanziamento di importanti risorse per il ripristino di sistemi e dati, proprio mentre si deve far fronte ad un aumento dei costi e a una riduzione delle entrate.

La dimensione di questo problema è tale che un sondaggio di Sophos del 2024{{Footnote.N76503}} ha rivelato che il 37% delle organizzazioni sanitarie ha impiegato più di un mese per riprendersi dagli attacchi ransomware, mentre quasi tutte le vittime hanno segnalato tentativi di compromettere i loro sistemi di backup.

La crescente minaccia del ransomware

Il ransomware continua ad essere una delle minacce più significative per le strutture sanitarie in tutto il mondo. Nel 2023, questi attacchi hanno rappresentato il 54% degli incidenti di cybersicurezza nell'Unione Europea. Ancora più preoccupante è il dato che vede solo il 27%{{Footnote.N76504}} delle strutture mediche intervistate dotata di programmi specifici per la protezione dal ransomware.

Le organizzazioni sanitarie sono obiettivi particolarmente attraenti a causa della natura delicata delle loro operazioni e della sensibilità dei loro dati. Quando i sistemi di assistenza ai pazienti vengono compromessi, le strutture mediche sono sottoposte a un'immensa pressione per ripristinare rapidamente i servizi, spesso rendendole più propense a pagare il riscatto richiesto rispetto alle organizzazioni in altri settori.

La posta in gioco è straordinariamente alta. Ritardi nel trattamento o nell'accesso alle cartelle cliniche possono influire direttamente sulle condizioni dei pazienti.

I moderni attacchi ransomware si sono evoluti, andando oltre la semplice crittografia dei dati per includere il furto di dati e strategie di doppia estorsione, dove gli attaccanti minacciano di pubblicare informazioni sensibili dei pazienti a meno che non vengano effettuati pagamenti aggiuntivi.

Questo mette i fornitori di servizi sanitari nella difficile posizione di dover soppesare le preoccupazioni per la privacy dei pazienti contro la continuità del servizio.

Nonostante la gravità di queste minacce, l'implementazione di difese specifiche contro il ransomware rimane inadeguata in tutto il settore. Molte strutture mancano di una corretta segmentazione della rete, di protocolli di backup robusti o di strategie che pianificano la reazione agli incidenti specificamente pensate per gli scenari di ransomware.

Districarsi tra le normative e la conformità in materia di cybersicurezza globale

I governi di tutto il mondo hanno riconosciuto la necessità di predisporre una protezione dei dati più forte nel settore sanitario. Di conseguenza, stanno implementando livelli crescenti di regolamentazioni - allo scopo di incentivare la comprensione della serietà delle minacce al settore.

L'Unione Europea ha predisposto il GDPR (Regolamento Generale sulla Protezione dei Dati) avente la finalità di proteggere i dati a livello generale, mentre la direttiva NIS2 affronta la sicurezza della rete e delle informazioni in specifici settori verticali - incluso quello sanitario.

Negli Stati Uniti, l'HIPAA (Health Insurance Portability and Accountability Act) continua ad evolversi, con recenti aggiornamenti che rafforzano le protezioni di cybersicurezza per le informazioni sanitarie elettroniche protette (note con l'acronimo "ePHI").

La Commissione Europea ha anche proposto un Piano d'azione sulla Cybersicurezza nel settore sanitario, finalizzato a migliorare la resilienza del settore contro gli attacchi, riconoscendo che le normative da sole sono insufficienti senza una corretta formazione e supporto.

Soddisfare questi requisiti normativi richiede soluzioni tecniche robuste, con la crittografia che gioca un ruolo particolarmente significativo nella protezione dei dati sensibili. Tuttavia, non tutte le soluzioni di crittografia forniscono uguali livelli di sicurezza e conformità.

Perché la crittografia hardware è essenziale per proteggere i dati sanitari

Le soluzioni di crittografia non hanno tutte la stessa capacità di proteggere i dati sanitari. La crittografia basata sull'hardware offre una protezione superiore rispetto alle alternative basate sul software, in particolare contro attacchi sofisticati e tentativi di manomissione. Aspetto, questo, particolarmente importante quando si trasferiscono dati sensibili su unità esterne.

Le moderne soluzioni di crittografate hardware, come la linea di prodotti Kingston IronKey, offrono solide misure di sicurezza. L'unità USB Kingston IronKey Vault Privacy 50 , con la sua certificazione FIPS 197 (in attesa di pubblicazione), fornisce protezione contro BadUSB attraverso firmware firmato digitalmente e previene gli attacchi di forza bruta.

A chi ha esigenza di un maggior spazio di archiviazione, l'SSD esterno Kingston IronKey Vault Privacy 80 offre crittografia XTS-AES a 256 bit certificata FIPS 197 con capacità fino a 7,68TB. Il suo design indipendente dal sistema operativo e l'interfaccia touch screen lo rendono ideale per l'archiviazione e il trasferimento sicuri dei dati in ambito sanitario. È particolarmente utile per le strutture di piccole e medie dimensioni in quanto può fornire un backup air-gapped, in grado di proteggere dal ransomware e portare a un recupero più rapido da qualsiasi interruzione.

Misure di protezione dei dati dei pazienti

La diminuzione del costo delle violazioni dei dati nell'Healthcare potrebbe portare a pensare a un'attenuazione del pericolo, ma l'industria deve fare attenzione a tenere alta la guardia, implementando misure di cybersicurezza efficaci. La protezione delle informazioni sensibili dei pazienti necessita di un approccio multiforme che unisce:

• Robusta crittografia hardware per l'archiviazione e il trasferimento dei dati
• Formazione continua del personale sulle pratiche di sicurezza e predisposizione di una strategia cd. di igiene della cybersicurezza
• Efficaci strategie di sicurezza pianificate da preferire a soluzioni adottate ad hoc
• Continuo adattamento alle novità normative
• Investimento in figure specializzate di cybersicurezza per affrontare il divario di competenze nel settore

Adottando queste misure, le organizzazioni sanitarie possono proteggere meglio i dati dei loro pazienti e preservare così la preziosa fiducia riposta in loro nel fornire cure efficaci. Proteggete i dati sanitari con la tipologia di crittografia adatta. Rivolgetevi con fiducia agli esperti del team Chiedi a un esperto di Kingston.