Nell’ultimo anno, le aziende sanitarie hanno segnalato più attacchi ransomware rispetto a qualsiasi altro settore di infrastrutture critiche. La sanità ha anche registrato i costi medi più alti per violazione dei dati: circa 10 milioni di dollari per incidente. Basandoci sull’esperienza maturata dal nostro team globale di Cybersecurity, Data and Privacy nella gestione di numerosi incidenti che hanno colpito fornitori di servizi sanitari, compagnie assicurative, ospedali, farmacie, e altre realtà, riportiamo di seguito le nostre cinque principali raccomandazioni per i dirigenti del settore sanitario.
Indice degli argomenti
Calibrare i piani di risposta agli incidenti in base al proprio ruolo nella catena di fornitura sanitaria
La vicinanza dell’azienda all’assistenza diretta ai pazienti è un fattore chiave nella strategia di risposta agli incidenti. Garantire la sicurezza dei pazienti e l’accesso alle cure sono considerazioni fondamentali in qualsiasi incidente di cybersecurity che colpisca il settore sanitario. Anche se la vostra azienda non ha un ruolo diretto nell’assistenza ai pazienti, la strategia di risposta agli incidenti dovrebbe anticipare i potenziali effetti a valle, nonché le esigenze dei fornitori, affinché le problematiche dei pazienti possano essere affrontate nel modo più efficace possibile.
Allinearsi sulla sequenza raccomandata di informazioni e testarla attraverso simulazioni di crisi
La complessità delle relazioni all’interno dei sistemi sanitari complica ulteriormente la comunicazione di aggiornamenti. Durante una violazione, le organizzazioni sono giudicate in base alla loro capacità di fornire informazioni accurate e in modo rapido ai principali destinatari. Tuttavia, i sistemi sanitari sono costruiti su relazioni estremamente complesse. All’interno di un ospedale, ad esempio, è necessario considerare l’ordine con cui comunicare con i capi dipartimento, i medici, i praticanti, gli infermieri, il personale di supporto e i fornitori, nonché gli altri interlocutori esterni, in linea con il sistema di gestione degli incidenti dell’azienda . Anche i fornitori terzi e i fornitori di servizi, che supportano l’infrastruttura sanitaria, devono mappare la loro rete di clienti, in modo da sapere quando e come raggiungerli in caso di incidente. E’ fondamentale quindi prepararsi in anticipo attraverso lo sviluppo di piani di comunicazione di crisi cyber che includano le linee guida di risposta e i messaggi per ogni stakeholder chiave, interno ed esterno all’organizzazione, e testare il top management attraverso simulazioni di crisi ad hoc per verificare la capacità di resilienza complessiva.
Il rapido progresso dell’intelligenza artificiale, inoltre, ha aumentato, la diffusione di deepfake che rappresentano una reale minaccia nell’ambito della sicurezza informatica in quanto posso causare gravi conseguenze tra cui frodi finanziarie e crimini informatici ma anche disinformazione sistematica e danneggiamento della reputazione. Occorre prepararsi a gestire tali minacce dotandosi di un protocollo aziendale capace di contrastare i deepfake che includa un sistema di monitoraggio avanzato, piani di comunicazione su misura e contro narrative, best practice e formazione interna.
Creare più soluzioni alternative per accedere ai sistemi e ai dati critici
Le interdipendenze amplificano l’effetto negativo delle interruzioni operative dovute ad un attacco cyber. La responsabilità della sanità non è infatti nelle mani di una singola azienda. La presenza di numerose dipendenze tra enti e aziende nel sistema sanitario comporta che l’intero sistema è tanto forte e sicuro quanto lo è il suo anello più debole. I sistemi sanitari riuniscono aziende di tutte le dimensioni e livelli di maturità tecnologica. Anche se la vostra società ha adottato misure per rafforzare la propria sicurezza e resilienza della rete, la vostra capacità di fornire servizi critici potrebbe essere a rischio se si verifica un incidente di cybersecurity in qualsiasi altro punto della catena di fornitura sanitaria.
Rivedere i passaggi che la vostra società sta intraprendendo per proteggere i dati dei pazienti prima che si verifichi una crisi
Le violazioni dei dati dei pazienti possono avere conseguenze gravi. I dati dei pazienti sono personali, sensibili e variano ampiamente, dai registri di pagamento alle diagnosi, ai piani di trattamento e alle immagini mediche. Le violazioni dei dati possono causare danni emotivi significativi ai pazienti e danni reputazionali alle istituzioni.
Recentemente, una rete ospedaliera statunitense ha pagato 65 milioni di dollari per risolvere una causa collettiva intentata a seguito di una violazione dei dati in cui i criminali informatici hanno pubblicato immagini di pazienti oncologici nudi sul dark web. Esempi come questo dimostrano come i criminali informatici stiano utilizzando i dati sanitari e altri dati sensibili come armi. Man mano che vengono divulgati più dati dei pazienti, aumentano i rischi di uso improprio intenzionale e non intenzionale degli stessi. Le risorse di supporto tradizionali come il monitoraggio del credito e le protezioni contro il furto di identità non affrontano il carico emotivo di una violazione. È fondamentale quindi rivedere regolarmente i dati in possesso della propria azienda e crittografare i dati sensibili, sia archiviati che in via di condivisione.
Interagire con gli enti governativi anche oltre all’aspetto regolatorio
È molto importante mantenere una linea di comunicazione aperta con le agenzie governative durante il processo di indagine e notifica regolamentare, e prepararsi ad un dialogo approfondito con le stesse.
I governi non sono solo responsabili della regolamentazione del settore sanitario, ma svolgono anche un ruolo critico nel finanziare i programmi di sanità pubblica e nel fornire assistenza ai dipendenti governativi, ai membri delle forze armate e ai veterani. Sebbene vi siano importanti differenze tra il sistema statunitense e i sistemi sanitari nazionali consolidati in tutto il mondo, tutte le aziende del settore sanitario dovrebbero essere pronte a interagire con molte autorità governative a livello nazionale e locale durante una violazione. Un coinvolgimento diretto delle autorità aiuta a limitare eventuali sorprese nel modo in cui le agenzie e i loro leader presentano e definiscono gli incidenti informatici pubblicamente.
