A cura di Frederik Mennes, Senior Manager of Market and Security Strategy – VASCO Data Security
L’integrazione della tecnologia nel settore sanitario continua a creare cambiamenti significativi nel modo in cui gli individui ricevono cure mediche. Eppure, nella loro fretta di adottare tecnologie progettate per migliorare il servizio fornito, le organizzazioni del settore sanitario si espongono alla minaccia molto reale che i dati sensibili dei pazienti finiscano nelle mani dei criminali informatici.
Per i cyber-criminali, infatti, i dati rubati hanno tanto più valore quanto più sono personali. Non c’è nulla di meglio, quindi, delle informazioni contenute in una cartella clinica. Basti pensare che solo negli Stati Uniti, secondo un rapporto dell’Ufficio dei Diritti Civili (parte del Dipartimento USA per la Salute e i Servizi Umani) nel 2015 si sono verificate 268 violazioni che hanno causato la perdita di oltre 113 milioni di record. Nelle mani di criminali, queste informazioni rendono possibili diversi tipi di reati, come il furto di identità o la fornitura di cure mediche a un terzo, in nome della vittima.
C’è più valore in informazioni di tipo sanitario che in altre categorie di dati personali. Una carta di credito rubata, per esempio, ha una durata limitata perché una volta che il cliente ha scoperto le frodi la annulla. Le informazioni personali sanitarie, invece, contengono dati identificativi, come numeri previdenziali e indicazioni mediche, che in tutti i casi sono permanenti. Non è un caso se, come riportano alcuni esperti, tali dati sono venduti sul mercato nero globale da 10 a 50 dollari per record, circa da 10 a 20 volte il valore di un numero di carta di credito rubato (1).
La protezione dei dati sanitari e la necessità di Strong Authentication
Mentre la tecnologia offre sempre migliori standard di cura, quindi, in un’epoca in cui i criminali informatici ambiscono ai dati sanitari, le prestazioni di assistenza medica dipendono dalla perfetta integrazione di efficaci sistemi di sicurezza in tutto il settore.
Tuttavia, enti sanitari, ospedali e medici hanno iniziato a preoccuparsi della sicurezza solo negli ultimi anni, anche sotto la spinta delle normative e della maggiore consapevolezza acquisita a causa del numero di violazioni avvenute, e il processo verso il conseguimento di un ambiente sicuro è ancora lento.
Alcune aziende sanitarie non riescono a capire i rischi che corrono riguardo al furto di dati sensibili. Il settore sanitario viene da un mondo in cui i file sono stati mantenuti su carta per un lungo periodo di tempo e che, poi, si è mosso verso l’uso dell’IT per elaborare le informazioni per ragioni di efficienza. L’efficienza è stato il più importante driver per l’adozione dell’IT nel settore sanitario. La sicurezza è stata solo una riflessione secondaria.
Ci sono alcuni difetti comuni su come gli ospedali integrano nel loro ambiente IT soluzioni di sicurezza a protezione dei dati dei pazienti. La maggior parte di essi utilizzano software per la gestione delle informazioni dei pazienti, ma accade che i controlli di accesso a tali applicazioni sono spesso molto approssimativi, facilitando episodi di violazione dei dati.
Anche alcune pratiche diffuse nel settore contribuiscono al rischio di furto di dati. Gli istituti di assistenza sanitaria fanno copie su copie dei dati, che poi vengono trasmessi, in vari formati, a più entità. Quando si pensa alla prescrizione elettronica e all’invio di informazioni ad assicurazioni e verso chiunque sia necessario, alla fine le informazioni del paziente sono state copiate tante volte e andate in molti posti diversi. Senza dimenticare, inoltre, che all’interno di ampie regioni geografiche, come l’Unione Europea, vi è una crescente necessità di condividere i dati dei pazienti tra i sistemi sanitari.
Pertanto, gli sforzi per sfruttare la tecnologia nell’assistenza sanitaria e, a sua volta, identificare e autenticare i partecipanti all’interno del sistema, continua ad un ritmo rapido, in particolare nell’Unione Europea. In Belgio, ad esempio, un eID, che include un microchip che registra l’indirizzo di un individuo e certificati digitali, in combinazione con un numero di identificazione personale, consente alle persone di accedere ai propri dati sanitari, mentre il Regno Unito è un passo avanti in Europa con la sua adozione di cartelle cliniche elettroniche.
In alcuni ospedali, i medici sono dotati di una smart-card in grado di dialogare con un lettore basato su tecnologia wireless. Quando vanno a un terminale, si siedono, se necessario immettono un codice PIN e vengono quindi autenticati. Questo è molto pratico e anche sicuro, ma non è così che funziona nella maggior parte degli ospedali.
Dato l’ampio uso di tecnologia nel settore, e la frequente diffusione dei dati verso più parti in causa, l’ideale è che ogni piattaforma utilizzata per visualizzare i dati dei pazienti, qualunque essa sia, consenta di identificare e autenticare gli utenti nuovi ed esistenti in un modo minimamente invasivo che bilanci il bisogno di sicurezza con la praticità.
Questo è un obiettivo perseguibile con i sistemi di Strong (o multifactor) Authentication, un meccanismo usato per verificare che l’utente che accede sia legittimato. Questo meccanismo può basarsi su una password, su un token per one-time password, su caratteristiche biometriche o su una combinazione tra questi elementi che autentichi l’utente in modo sicuro.
Il ricorso alla Strong Authentication sarebbe particolarmente auspicabile per gestire gli accessi in alcuni contesti sanitari per loro natura critici. Ad esempio, nelle applicazioni per il “Fascicolo Sanitario Elettronico”, contenente dati per definizione altamente sensibili; per regolare l’accesso remoto di dipendenti e utenti alle risorse IT e ai portali delle organizzazioni sanitarie, dove il rischio di violazione o compromissione dipende anche dalla sicurezza dei dispositivi utilizzati, che non sono controllabili; per la protezione delle applicazioni mediche mobili, che facilitando la condivisione di immagini mediche e cartelle cliniche espongono a potenziale compromissione i dati sensibili, soprattutto quando vi si accede con un dispositivo personale e/o tramite reti Wi-Fi insicure.
La sicurezza, in conclusione, non può rimanere una riflessione secondaria. Le violazioni impattano negativamente sul paziente, sull’ecosistema sanitario nel suo insieme e ovviamente sulle singole organizzazioni che le subiscono. Non dimentichiamo, infatti, il conseguente danno di immagine e i costi legati allo svolgimento di indagini sull’accaduto, all’implementazione di misure di prevenzione contro successive violazioni, alle notifiche alle vittime e a probabili sanzioni normative.
I criminali contano molto sulle lacune delle procedure di autenticazione di un’organizzazione. Nel settore sanitario, quindi, raccogliere i benefici connessi con la tecnologia richiede la capacità di fornire Strong Authentication. Non riuscire a farlo introduce rischi inutili e non specificati e pone i dati critici dei pazienti a portata di mano dei criminali informatici.
La struttura dell’ecosistema sanitario, in particolare il numero di operatori e dispositivi associati, richiede una soluzione end-to-end di verifica dell’identità che indirizzi l’autenticazione e l’identificazione degli utenti e faciliti lo scambio sicuro di informazioni tra tutti i punti di accesso, in tutto l’ecosistema. Inoltre, la soluzione deve essere indipendente dalla piattaforma e fornire lo stesso livello di servizio attraverso tecnologie mobili, desktop e proprietarie, nonché consentire l’integrazione di vari protocolli tecnologici tra cui Bluetooth, token e smart card.
