Cyber security per ospedali e strutture sanitarie
In un ospedale un attacco informatico non ferma solo gli uffici: ferma il pronto soccorso, i laboratori, la diagnostica per immagini e le sale operatorie. Aiutiamo aziende sanitarie, strutture private, laboratori e industria farmaceutica a rispettare NIS2 e le norme collegate, partendo da quello che deve continuare a funzionare per i pazienti.
Quando si ferma il sistema, si torna alla carta
Nel maggio 2023 un ransomware ha colpito la ASL 1 Abruzzo: per circa due settimane i servizi sono stati ridotti alle urgenze, le prenotazioni si facevano su carta e il gruppo criminale ha poi pubblicato centinaia di gigabyte di referti e cartelle cliniche. Nel giugno 2024 l’attacco a Synnovis, il laboratorio di analisi di diversi ospedali londinesi, ha costretto due grandi ospedali londinesi a rinviare, in meno di quattro mesi, oltre 10.000 visite ambulatoriali e oltre 1.700 interventi programmati.
Sono casi diversi con la stessa lezione: in sanità la cybersecurity è continuità dell’assistenza, e i dati sanitari restano esposti anche dopo che i sistemi ripartono.
- Sistemi clinici: sistema informativo ospedaliero, cartella clinica, pronto soccorso, laboratorio, Fascicolo sanitario elettronico
- Dispositivi medici: monitor, pompe infusionali, apparecchiature collegate in rete, spesso con software che il fabbricante aggiorna di rado
- Diagnostica: RM, TC, ecografi e archivi delle immagini (PACS)
- Impianti: gas medicali, climatizzazione delle sale, gruppi di continuità, building management
- Fornitori: teleassistenza dei produttori, servizi in cloud, laboratori e servizi esternalizzati
Chi è coinvolto
La sanità è uno dei settori ad alta criticità del D.Lgs. 138/2024, che recepisce la NIS2. Le soglie dimensionali valgono di norma dalle medie imprese in su; le aziende sanitarie locali sono comprese anche tra le amministrazioni pubbliche elencate dal decreto. L’inclusione va comunque verificata caso per caso, anche alla luce della registrazione sulla piattaforma ACN.
Alla NIS2 si sommano altre regole: la resilienza dei soggetti critici (D.Lgs. 134/2024), il GDPR per i dati sanitari, le misure minime di sicurezza ICT dell’AgID (circolare n. 2/2017) per le amministrazioni pubbliche e, per i dispositivi medici, il Regolamento (UE) 2017/745.
- Prestatori di assistenza sanitaria: ospedali, aziende sanitarie, case di cura, strutture private e laboratori
- Laboratori di riferimento dell’Unione
- Ricerca e sviluppo di medicinali e fabbricazione di prodotti farmaceutici di base e preparati farmaceutici
- Fabbricanti di dispositivi medici: quelli critici in caso di emergenza di sanità pubblica tra i settori ad alta criticità, gli altri tra gli altri settori critici (Allegato II)
Cosa facciamo
Un ospedale non può spegnere un reparto per applicare una patch. Per questo partiamo dall’analisi dei processi clinici: quali sistemi servono per accettare un paziente, refertare un esame, somministrare una terapia, e cosa si fa quando non ci sono.
Per i dispositivi medici il Regolamento (UE) 2017/745 chiede al fabbricante di sviluppare il software secondo lo stato dell’arte, sicurezza informatica compresa, e di indicare i requisiti minimi di rete e di sicurezza, inclusa la protezione dagli accessi non autorizzati. Quelle indicazioni vanno chieste in gara e usate in reparto.
- Verifica di applicabilità NIS2, registrazione, misure di base e notifiche
- Inventario dei dispositivi medici collegati in rete e segmentazione della rete clinica
- Requisiti di sicurezza nei capitolati per apparecchiature, software clinico e servizi in cloud
- Procedure di lavoro in assenza dei sistemi, con moduli cartacei e priorità di ripristino per reparto
- Regole per la teleassistenza dei fornitori e dei produttori di apparecchiature
- Protezione dei dati sanitari e valutazioni d’impatto, anche con l’incarico di DPO
- Sistemi di gestione ISO/IEC 27001, con i controlli della ISO 27799:2025 per la sanità
- Esercitazione War Room su uno scenario realistico: pronto soccorso senza sistema informativo durante un ransomware
Un incidente, più comunicazioni
In sanità quasi ogni incidente informatico coinvolge dati sanitari, che il GDPR tratta come categorie particolari. Per questo il flusso di gestione degli incidenti deve tenere insieme CISO, referente CSIRT, DPO e direzione sanitaria, che decide come proteggere i pazienti mentre i sistemi sono fermi.
- NIS2 (CSIRT Italia): pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese
- Soggetti critici (D.Lgs. 134/2024): se l’incidente perturba in modo significativo il servizio essenziale, notifica all’autorità di settore e al Punto di contatto unico entro 24 ore
- Garante privacy: entro 72 ore, se la violazione di dati personali presenta un rischio per gli interessati
- Continuità dell’assistenza: deviazione delle ambulanze, rinvio delle attività programmate, comunicazione ai pazienti
Come lavoriamo
Il lavoro lo svolge lo staff di 823 Consulting, coordinato da Giacomo Pesce, CISO in un soggetto essenziale NIS2 incluso nel Perimetro, DPO e Lead Auditor ISO/IEC 27001. Il lavoro si appoggia a Prometeo, la piattaforma che usiamo con i clienti per tenere insieme misure NIS2, rischi, fornitori ed evidenze.
- Ricognizione: strutture, reparti, sistemi, dispositivi, fornitori e qualifica NIS2
- Analisi d’impatto: cosa succede ai pazienti se si ferma ciascun sistema
- Piano: misure di base, priorità per reparto, responsabili e scadenze
- Esercitazione: uno scenario con direzione sanitaria, sistemi informativi e reparti
- Riesame: dopo incidenti, audit e cambi di fornitore
Fonti
D.Lgs. 138/2024, Allegati I, II e III; D.Lgs. 134/2024; Regolamento (UE) 2016/679, art. 9 e 33; Regolamento (UE) 2017/745, Allegato I, punti 17.2 e 17.4, e linee guida MDCG 2019-16. Casi: Cybersecurity360 sull’attacco alla ASL 1 Abruzzo (maggio 2023); NHS England sull’attacco a Synnovis (aggiornamento del 26 settembre 2024). Altre norme: circolare AgID n. 2/2017; ISO 27799:2025.
Prima che si fermi un reparto
Raccontateci come è organizzata la vostra struttura e quali sistemi usate. Vi diciamo quali norme vi riguardano e da dove partire.