Cyber security per la sanità privata
Referti, diagnosi e terapie sono i dati che più valgono per chi ricatta. Per poliambulatori, laboratori, RSA e cliniche la sicurezza informatica è anche continuità della cura.
Cyber security in sanità: un dato che non si può cambiare
Una carta di credito rubata si blocca in cinque minuti. Una diagnosi, una cartella psichiatrica o l'esito di un test genetico restano veri per sempre. Per questo la cyber security in sanità parte da un fatto semplice: chi sottrae dati sanitari può ricattare due volte, prima la struttura e poi i singoli pazienti.
Le strutture private hanno spesso una combinazione sfavorevole: tanti utenti con accessi diversi (medici a contratto, tecnici, amministrativi, turnisti), software gestionali di fornitori diversi, apparecchi diagnostici collegati alla rete e un'IT affidata a un consulente esterno che passa una volta alla settimana. In una RSA o in una clinica, inoltre, l'attività non si interrompe di notte né nei festivi.
Gli episodi tipici sono ricorrenti: l'email che finge di arrivare dal fornitore del sistema di prenotazione, la password del portale referti riutilizzata altrove, il server dell'archivio immagini raggiungibile da Internet per comodità del radiologo che refertava da casa.
Sicurezza dei dati sanitari: cosa chiedono GDPR e NIS2
Il GDPR vale per ogni struttura, anche lo studio con due ambulatori. La NIS2 dipende dalla dimensione.
GDPR: categorie particolari di dati
I dati relativi alla salute sono "categorie particolari" dell'articolo 9: il loro trattamento richiede misure di sicurezza adeguate al rischio (articolo 32), un registro dei trattamenti accurato e, per i trattamenti su larga scala come quelli di un ospedale, un responsabile della protezione dei dati.
Violazioni dei dati
Un data breach va notificato al Garante entro 72 ore da quando ne vieni a conoscenza; con dati sanitari esposti, il rischio per i pazienti è spesso tale da dover avvisare anche loro. La nostra guida al data breach in 72 ore spiega i passaggi.
NIS2: il settore sanitario
Il decreto legislativo 138/2024 colloca la sanità fra i settori ad alta criticità. Vi rientrano i prestatori di assistenza sanitaria, pubblici o privati, che sono almeno medie imprese: le medie sono soggetti importanti, le grandi soggetti essenziali. Le aziende sanitarie locali sono incluse in quanto pubbliche amministrazioni.
Dossier, fascicolo e accessi
Le regole del Garante sul dossier sanitario e quelle sul Fascicolo sanitario elettronico chiedono di tracciare chi consulta i dati del paziente. A questo si aggiunge il provvedimento sugli amministratori di sistema.
Dispositivi medici. Il regolamento (UE) 2017/745 chiede ai fabbricanti requisiti di sicurezza informatica sui dispositivi con software. La struttura che li usa resta però responsabile della rete in cui li collega: un ecografo con un sistema operativo non più aggiornato è un computer come gli altri, solo più difficile da sistemare.
Le priorità per poliambulatori, laboratori, RSA e cliniche
Quattro passi, ognuno legato a un servizio Dottor Box. Puoi attivarne uno solo e aggiungere gli altri più avanti.
Sapere dove sono i dati sanitari
Il registro dei trattamenti segue l'articolo 30 del GDPR campo per campo. Se usi Google Drive, la piattaforma ne legge solo i metadati e segnala, fra i casi di conservazione da verificare, i documenti sanitari finiti nei posti sbagliati.
Censire ciò che è collegato in rete
L'Asset Management e la mappa di rete mostrano anche gli apparecchi senza agent: diagnostica, stampanti di etichette, centralini, telecamere. Le scansioni sono non invasive, e puoi escludere i dispositivi medici più sensibili per indirizzo IP, porta o MAC.
Chiudere le porte d'ingresso più usate
Scansione della rete esterna e del portale referti con il controllo delle applicazioni web, credenziali del personale cercate nei data breach dal Dark Web Monitoring, phishing simulato gestito da Dottor Marc con Cyber Awareness.
Preparare la gestione della violazione
Con Incident Response e registro data breach la squadra di risposta ha ruoli già assegnati e ogni evento segue le fasi, dalla rilevazione alle lezioni apprese. Le nomine degli autorizzati per medici, infermieri e collaboratori escono dalla Modulistica GDPR.
Una struttura che sa rispondere al Garante e ai pazienti
Accessi tracciati
Il registro dei log di accesso, con avvisi sui tentativi falliti ripetuti e, se usi Microsoft 365, sugli accessi da paesi mai visti. L'eventuale blocco dell'account avviene solo su conferma di una persona.
Documenti GDPR allineati al personale
Nomine, istruzioni e informative generate dall'anagrafica, da rigenerare quando entra un nuovo medico.
Una traccia del prima
Scansioni datate e report archiviati dimostrano quali misure c'erano già il giorno della violazione.
Copertura anche di notte
Per chi assiste ospiti e pazienti 24 ore su 24, il livello MDR + SOC 24/7 aggiunge un numero dedicato per le emergenze.
Domande sulla cyber security in sanità
Un poliambulatorio privato rientra nella NIS2?
Rientra se è un prestatore di assistenza sanitaria e supera le soglie di piccola impresa, cioè ha almeno 50 dipendenti oppure un fatturato o un bilancio annuo di almeno 10 milioni di euro. Sotto quelle soglie, di regola, non è soggetto alla NIS2, salvo designazione specifica dell'autorità. Gli obblighi del GDPR sui dati sanitari valgono comunque, a prescindere dalla dimensione.
Perché i dati sanitari richiedono più protezione degli altri?
Il GDPR li inserisce fra le categorie particolari di dati dell'articolo 9, perché una loro diffusione può causare discriminazione, danni alla reputazione o al lavoro dell'interessato. Le misure di sicurezza dell'articolo 32 vanno quindi tarate su un rischio più alto. In caso di violazione è più probabile che si debbano informare anche i pazienti coinvolti.
Una RSA deve nominare il DPO?
Il GDPR lo rende obbligatorio quando l'attività principale consiste nel trattamento su larga scala di dati sanitari. Un ospedale o una grande struttura residenziale di solito ricade in questa ipotesi; il singolo medico o un piccolo studio, in genere, no. La valutazione va fatta e documentata caso per caso, e il Garante ha pubblicato indicazioni specifiche per la sanità.
Si possono scansionare le reti dove ci sono dispositivi medici?
Sì, con alcune cautele. Le scansioni di Dottor Box sono non invasive e si pianificano nei giorni e negli orari che scegli. Gli apparecchi diagnostici che il fabbricante chiede di non sollecitare si escludono per indirizzo, porta o MAC, e restano comunque visibili nell'inventario come dispositivi presenti in rete.
Entro quanto va notificato un data breach con dati sanitari?
Al Garante entro 72 ore dal momento in cui la struttura ne viene a conoscenza, salvo che sia improbabile un rischio per le persone. Se il rischio è elevato vanno informati anche gli interessati, senza ingiustificato ritardo. Se la struttura è anche soggetto NIS2, l'incidente significativo segue in parallelo i tempi verso il CSIRT Italia: preallarme entro 24 ore e notifica entro 72.
I moduli più usati dalle strutture sanitarie
Registro dei trattamenti
Il registro dell'articolo 30 GDPR, con i trattamenti proposti dall'analisi del tuo Drive.
Scopri di più GovernareModulistica GDPR
Nomine, informative e lettere di incarico per tutto il personale, generate in un passaggio.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più VedereAsset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più VedereDark Web Monitoring
Credenziali aziendali compromesse e citazioni del marchio nei siti di leak e ransomware.
Scopri di più VedereCyber Awareness
Campagne di phishing simulato preparate e gestite da Dottor Marc, con i risultati in piattaforma.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.