Le organizzazioni sanitarie devono essere pronte ad affrontare i rischi legati alla sicurezza dei dati e le interruzioni operative causate dagli attacchi informatici. L’adozione delle migliori pratiche migliora la resilienza informatica, garantendo una risposta efficiente e un rapido ripristino quando si verificano questi incidenti.
“La resilienza nel settore sanitario è fondamentale”, afferma David Houlding, direttore della strategia globale per la sicurezza e la conformità nel settore sanitario di Microsoft. “Senza di essa, l’accesso tempestivo e affidabile ai dati è compromesso, il che può avere un impatto critico sull’assistenza ai pazienti. L’accesso ai dati presso il punto di cura è essenziale e qualsiasi interruzione può ostacolare in modo significativo l’erogazione dell’assistenza sanitaria, compromettendo la qualità dell’assistenza ai pazienti o, nei casi peggiori, mettendo a rischio la loro sicurezza».
Per rafforzare la resilienza e garantire un accesso ininterrotto ai dati critici, le organizzazioni sanitarie dovrebbero implementare le seguenti best practice.
1) Condurre una valutazione approfondita dei rischi
Una valutazione completa dei rischi aiuta le organizzazioni sanitarie a identificare e risolvere le lacune di sicurezza prima che possano essere sfruttate dalle minacce informatiche.
La norma di sicurezza HIPAA impone ai soggetti interessati di condurre una valutazione dei rischi e di attuare misure adeguate per affrontare le aree chiave e proteggere le informazioni sanitarie protette in formato elettronico. Risk Analysis dovrebbe essere un processo continuo in cui i soggetti interessati e i partner commerciali valutano costantemente i rischi e le misure di sicurezza. Valutazioni efficaci identificano e classificano i rischi in ordine di priorità, aiutando le organizzazioni a concentrare il tempo e le risorse limitate sui rischi di massima priorità. Per ciascun rischio identificato, è quindi possibile individuare le vulnerabilità associate, tra cui reti non protette, sistemi privi di patch e molte altre nell’ambito dell’IT.
«Misurare il livello di sicurezza attraverso valutazioni dei rischi è fondamentale per identificare le lacune e mitigare i rischi», osserva Houlding. «I framework di conformità affidabili aiutano anche a indirizzare le risorse limitate dove possono migliorare al meglio la sicurezza e ridurre i rischi».
Durante una valutazione dei rischi, i professionisti della sicurezza identificano i rischi relativi alla riservatezza, all’integrità e alla disponibilità dei dati sanitari sensibili, per poi classificarli in ordine di priorità in base all’impatto e alla probabilità che si verifichino. Sebbene una valutazione dei rischi non possa eliminare gli attacchi informatici, essa contribuisce a indirizzare le risorse limitate verso i rischi di massima priorità, dove possono essere più efficaci nel migliorare il livello di sicurezza. Ciò rende gli attacchi più difficili per gli autori delle minacce e offre al team di sicurezza una migliore visibilità, migliorando le attività di monitoraggio, rilevamento, risposta e Recovery.
2) Implementare politiche e procedure rigorose in materia di sicurezza informatica
Dopo aver identificato le lacune di sicurezza attraverso una valutazione dei rischi, le organizzazioni sanitarie dovrebbero implementare rigorosi controlli di sicurezza informatica e rafforzare le procedure per ridurre il verificarsi e l’impatto degli attacchi informatici. Ad esempio, la segmentazione dei sistemi critici dalla rete può aiutare a impedire agli autori delle minacce di muoversi lateralmente all’interno dell’organizzazione sanitaria e di accedere ai sistemi essenziali, riducendo al minimo il rischio di interruzioni dell’assistenza ai pazienti.
Come misura preventiva, gli addetti alla sicurezza dovrebbero affrontare le vulnerabilità note e proteggere i dispositivi medici soggetti a sfruttamento. Le vulnerabilità comuni e le configurazioni non sicure nel settore sanitario includono vulnerabilità delle applicazioni web e software non supportato, come dimostrano i dati della Cybersecurity and Infrastructure Security Agency.
Garantire che tutti i sistemi siano protetti dall’autenticazione a più fattori (MFA) è un altro modo per ridurre la frequenza e l’impatto degli attacchi informatici. I dati del programma HHS 405(d) hanno dimostrato che, sebbene oltre il 90% degli ospedali utilizzi l’autenticazione MFA, la sua applicazione non uniforme crea delle lacune. L’implementazione dell’autenticazione MFA su tutti i sistemi rafforza la sicurezza della rete e ostacola gli autori delle minacce.
Anche i backup dei dati e una crittografia avanzata sono fondamentali per risparmiare tempo e denaro in caso di violazione. Le best practice comprovate, tra cui la segmentazione della rete, l’autenticazione a più fattori (MFA) e la gestione delle vulnerabilità, possono aiutare le organizzazioni a mitigare i rischi e a prepararsi agli attacchi.
3) Sviluppare piani di risposta e ripristino
Il primo passo è riconoscere che un attacco informatico o una violazione dei dati sono probabili. Da lì, gli esperti di sicurezza possono pianificare le misure di risposta e ripristino in preparazione a un incidente. L’HIPAA richiede che le entità interessate sviluppino un piano di risposta agli incidenti, insieme a un piano di backup dei dati, ripristino informatico e funzionamento in modalità di emergenza per mantenere la conformità.
Quando si verifica un incidente informatico, le organizzazioni sanitarie devono essere pronte a collaborare con le parti interessate, i consulenti legali, le forze dell’ordine e i pazienti. Condurre esercitazioni teoriche con le principali parti interessate prima che si verifichi un incidente informatico può aiutare le organizzazioni a rispondere in modo più efficiente ed efficace nel caso di un evento informatico reale.
I piani di risposta agli incidenti dovrebbero includere strategie di comunicazione, modalità alternative per accedere alle cartelle cliniche dei pazienti durante i periodi di inattività del sistema EHR e procedure volte a garantire la disponibilità dei dati sanitari critici. Una volta contenuta la minaccia, l’attenzione si sposta sull’esecuzione di un piano di ripristino che riporti i dati e i sistemi alla normalità il più rapidamente possibile.
«Il cloud offre una sicurezza superiore rispetto ai singoli ospedali, consentendo alle organizzazioni sanitarie di implementare piani di risposta e ripristino più efficaci, trasferendo in modo sicuro le infrastrutture e concentrandosi sull’innovazione e sull’efficienza», osserva Jaimie Fox, Senior Technology Strategist presso Microsoft.
Sebbene un attacco informatico possa essere inevitabile, la valutazione dei rischi, l’adozione delle migliori pratiche di sicurezza e l’attuazione di procedure di risposta agli incidenti e di ripristino sono aspetti che le organizzazioni sanitarie possono controllare.
4) Collaborare con un partner strategico nel campo della tecnologia e dei servizi
La collaborazione con un fornitore di soluzioni per la protezione dei dati specializzato in resilienza informatica e Recovery nel settore sanitario offre numerosi vantaggi fondamentali. Le organizzazioni sanitarie con infrastrutture miste (on-premise, ibride, cloud, multi-cloud) necessitano di un partner in grado di unificare la resilienza informatica e la protezione dei dati in tutti gli ambienti, garantendo sicurezza e disponibilità costanti. Il consolidamento dei sistemi di backup in un’unica soluzione riduce i costi, elimina le infrastrutture ridondanti e minimizza il debito tecnico, portando a una maggiore efficienza. Un partner specializzato nel recupero dei dati migliora inoltre la resilienza informatica garantendo il ripristino in ambienti puliti, riducendo il rischio di reinfezione dopo un attacco.
Infine, un fornitore di servizi di protezione dei dati e gestione delle informazioni che offre funzionalità avanzate in materia di archiviazione, portabilità e accessibilità dei dati può consentire il trasferimento e il riutilizzo dei dati senza soluzione di continuità, supportando il cloud e migliorando la continuità operativa. L’automazione basata sull’intelligenza artificiale semplifica ulteriormente i processi di protezione, governance e ripristino dei dati, riducendo gli oneri amministrativi per i team IT e consentendo un ripristino più rapido e sicuro da ransomware e altre minacce.
La soluzione Cleanroom Recovery di Commvault offre una soluzione innovativa per le organizzazioni sanitarie vittime di attacchi ransomware, garantendo il ripristino in un ambiente pulito e riducendo il rischio di reinfezione. Convalidata dall’Enterprise Strategy Group, questa soluzione sfrutta la sua esclusiva portabilità “any-to-any” per un recupero dei dati efficiente e sicuro. Questa funzionalità è fondamentale per rafforzare la resilienza informatica e consentire alle organizzazioni sanitarie un ripristino rapido e sicuro dopo un attacco.
“Commvault è un partner fondamentale per le organizzazioni sanitarie che cercano cyber-resilienza nel cloud e su Azure”, afferma Karen Cox, Global Healthcare Partner Strategy Leader di Microsoft. “Grazie alla profonda integrazione con la sicurezza Microsoft, le soluzioni avanzate di Commvault proteggono i dati e le applicazioni sanitarie in ambienti cloud ibridi”.
