La sensibilizzazione alla sicurezza informatica e il settore sanitario

La sensibilizzazione alla sicurezza informatica è una questione fondamentale per ogni organizzazione. Tuttavia, è semplicemente indispensabile nel settore sanitario, dove i dati sono particolarmente sensibili.

Gli ingenti volumi di dati riservati, uniti a sistemi di sicurezza spesso vulnerabili e a una vasta rete di dispositivi medici connessi, rendono il settore sanitario un bersaglio privilegiato per i criminali informatici.

Il settore sanitario è uno dei più esposti, afflitto da una miriade di problemi legati alla sicurezza informatica, come incidenti di sicurezza, violazioni a livello organizzativo e furti di dati provenienti da fonti interne ed esterne.

La sicurezza informatica nel settore sanitario è in condizioni critiche

L’anno scorso, le violazioni dei dati e gli attacchi ransomware sono costati agli operatori sanitari circa 4 miliardi di dollari. Infatti, il 67% delle organizzazioni sanitarie ha subito un incidente di sicurezza informatica negli ultimi dodici mesi.

Forse l’incidente più tristemente famoso è successo nel 2017, quando un devastante attacco informatico globale ha paralizzato i computer degli ospedali in tutto il Regno Unito. L’impatto dell’attacco WannaCry è stato enorme: l’incidente informatico ha interrotto i servizi in un terzo delle strutture ospedaliere e in circa l’8% degli studi medici. Secondo il Dipartimento della Salute e dell’Assistenza Sociale, il costo totale stimato per ripristinare i sistemi colpiti ha raggiunto i 92 milioni di sterline.

Più di recente, gli operatori sanitari e gli enti di ricerca medica hanno registrato un’impennata degli attacchi di phishing legati alla crisi del Covid-19 ancora in corso. L’Ospedale Universitario di Brno, nella Repubblica Ceca, che è uno dei centri di test per il Covid-19 del Paese, è stato colpito da un ransomware che ha portato al rinvio di tutti gli interventi chirurgici.

In un momento in cui si registra un forte aumento degli attacchi di phishing legati al coronavirus in tutto il mondo, anche il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) è stato vittima di un attacco DDoS (Distributed Denial of Service), che mirava a ostacolare la risposta dell’organizzazione alla pandemia di Covid-19.

Il Centro nazionale per la sicurezza informatica del Regno Unito (NCSC) e l’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) hanno segnalato una serie di attacchi contro enti sanitari, in particolare quelli che sono stati coinvolti nella gestione della pandemia.

Preoccupazioni relative alla sicurezza informatica nel settore sanitario

È chiaro che gli hacker continueranno a sferrare attacchi informatici contro il settore sanitario finché ci saranno profitti da fare, sia vendendo i dati rubati dei pazienti sia tenendo in ostaggio i sistemi sanitari finché le richieste dei criminali non saranno soddisfatte.

Negli ultimi anni il settore sanitario ha subito una trasformazione significativa grazie all’adozione di nuove tecnologie volte a facilitare l’integrazione dei dati, il coinvolgimento dei pazienti e il supporto clinico.

Con questo passaggio dai metodi tradizionali cartacei si aprono tantissime opportunità per i criminali informatici, come i malware che compromettono la privacy dei dati dei pazienti, fino agli attacchi DDoS (Distributed Denial of Service) che impediscono di fornire assistenza ai pazienti.

Tuttavia, spesso le organizzazioni sono troppo prese a difendersi dalle minacce esterne per affrontare i rischi davvero reali e pericolosi che potrebbero nascondersi proprio tra le loro fila.

La minaccia interna

Avendo a portata di mano una grande quantità di informazioni sanitarie altamente riservate e protette (PHI), gli operatori sanitari hanno accesso a grandi volumi di dati dei pazienti che devono essere consultabili dal personale, sia in sede che da remoto, e su diversi dispositivi.

È risaputo che i criminali informatici prendono di mira il punto più debole delle difese di un’organizzazione e, fin troppo spesso, questo punto sono proprio i dipendenti. L’anno scorso, l’Information Commissioner’s Office (ICO) del Regno Unito ha rivelato che l’errore umano è stato la causa del 90% delle violazioni dei dati informatici.

In fin dei conti, gli operatori sanitari sono i custodi dei dati e le minacce informatiche rappresentano ormai un grave problema di salute pubblica.

Per ridurre il rischio, la sensibilizzazione alla sicurezza deve diventare parte integrante della strategia di sicurezza complessiva del settore sanitario, al fine di prevenire potenziali attacchi informatici.

Prevenzione prima della cura

Dato che gli attacchi informatici stanno diventando sempre più sofisticati e mirati, la sensibilizzazione alla sicurezza informatica nel settore sanitario è l’arma più potente contro queste minacce e tecniche in continua evoluzione. Nonostante ci siano già diversi livelli di sicurezza in atto, la sensibilizzazione alla sicurezza informatica rimane una sfida fondamentale per molte organizzazioni. Spesso si adotta un approccio improvvisato, ma è importante rendersi conto che la consapevolezza informatica va ben oltre le semplici simulazioni di phishing.

Per cambiare davvero i comportamenti in materia di sicurezza informatica, le organizzazioni devono impegnarsi in un programma di sensibilizzazione che permetta al personale di riconoscere e assumersi il ruolo importante che ha nella protezione dei dati sensibili dell’azienda.

Visto che il settore sanitario è sempre più esposto ad attacchi informatici dannosi, la chiave per migliorare la consapevolezza in materia di sicurezza informatica in questo settore è mettere in atto una campagna efficace di sensibilizzazione e creare una cultura della sicurezza informatica.

Come realizzare una campagna efficace di sensibilizzazione alla sicurezza informatica

• • Inizia dalla leadership dell’amministratore delegato

La sicurezza informatica è una responsabilità di tutti, ma le organizzazioni resilienti possono contare su una forte leadership da parte dell’amministratore delegato. Se l’amministratore delegato prende sul serio la sicurezza informatica, questo atteggiamento si diffonderà in tutta l’organizzazione e contribuirà a creare una cultura caratterizzata da una maggiore consapevolezza in materia di sicurezza informatica.

• • Conoscere le tolleranze dell’organizzazione

Prenderti il tempo necessario per identificare correttamente i rischi può aiutarti a definire i messaggi, le modalità di diffusione e un targeting efficace del tuo programma di sensibilizzazione sulla sicurezza informatica.

• • Difendi il tuo patrimonio informativo

Devi capire quali sono le tue risorse informative più preziose, dove si trovano e chi ci ha accesso. Ogni risorsa dovrebbe essere classificata (ad esempio, pubblica, privata o riservata) e protetta in base al suo valore. Questo è fondamentale per identificare i rischi e stabilire le priorità nelle aree che vanno difese.

• • Attenzione ai gruppi ad alto rischio

La chiave per un programma di sensibilizzazione alla sicurezza efficace è assicurarsi che la formazione giusta sia rivolta alle persone giuste. Tutti gli utenti sono esposti alle minacce informatiche; tuttavia, alcuni dipendenti presentano un profilo di rischio più elevato rispetto ad altri. Ad esempio, i reparti Risorse Umane e Finanza saranno spesso bersaglio di attacchi di phishing a causa del loro accesso privilegiato a dati sensibili.

• • Rendilo coinvolgente con una narrazione efficace

Raccontare storie è uno dei modi più efficaci per dare vita alla tua campagna di sensibilizzazione sulla sicurezza informatica. Ammettiamolo, la sicurezza informatica può essere un argomento un po’ arido, ma è fondamentale trovare il modo di coinvolgere il tuo staff se vuoi influenzare positivamente i comportamenti all’interno della tua organizzazione. Il messaggio è semplicemente troppo importante per perdersi tra le comunicazioni aziendali formali

• • Aggiornare la gestione delle polizze

Le politiche sono fondamentali per stabilire i limiti di comportamento per le persone, i processi, le relazioni e le transazioni all’interno della tua organizzazione. Forniscono un quadro di riferimento per la governance, individuano i rischi e aiutano a definire la conformità, aspetto importante nell’odierno panorama normativo sempre più complesso.

• • Inizia subito a prepararti a una violazione dei dati

Non si tratta più di chiedersi “se” la tua organizzazione subirà un attacco, ma “quando”. Devi iniziare a prepararti all’inevitabile e mettere in atto un piano che garantisca un intervento adeguato e tempestivo in caso di violazione della sicurezza.

• • Recluta i campioni della sicurezza informatica

Nominare dei campioni di sicurezza informatica è un ottimo modo per responsabilizzare il personale e dotarlo delle competenze necessarie per prevenire un attacco informatico.

• • Considera la tua catena di fornitura

Ogni fornitore e soggetto esterno che interagisce con la tua azienda rappresenta un potenziale rischio, quindi è fondamentale effettuare valutazioni dettagliate dei rischi legati a soggetti esterni per affrontare eventuali problemi che potrebbero costituire una minaccia per la tua sicurezza. In questo modo potrai stabilire quali misure di sicurezza è necessario adottare per proteggere i tuoi dati.

• • Garantisci un controllo adeguato e revisioni periodiche

Il panorama delle minacce è in continua evoluzione, quindi anche il tuo programma di sensibilizzazione alla sicurezza informatica deve evolversi di pari passo. È importante effettuare verifiche periodiche sul livello di preparazione del personale per individuare i punti deboli e stabilire se le politiche e la formazione attuali debbano essere aggiornate.

Crea una forza lavoro più attenta alla sicurezza

Il corso “Cyber Security Awareness for Leaders ” è una risorsa indispensabile per promuovere un cambiamento comportamentale e creare una cultura della sicurezza informatica.

In questa guida imparerai:

• • Le minacce informatiche più comuni che prendono di mira le persone al giorno d’oggi, tra cui l’usurpazione d’identità, i rischi interni e gli attacchi alla catena di approvvigionamento

• • In che modo la gestione dei rischi legati alle persone aiuta le organizzazioni a rafforzare la propria difesa contro tali rischi

• • Come allineare la consapevolezza informatica con framework come ISO 27001 e NIST CSF 2.0

• • Il ruolo della leadership, della cultura aziendale e dei meccanismi di segnalazione nel rafforzare la resilienza informatica a lungo termine

Clicca qui per ricevere la tua copia gratuita di “Cyber Security Awareness for Leaders”.