L’anno scorso, il Dipartimento della Salute e dei Servizi Umani ha lanciato un severo monito agli ospedali statunitensi, sottolineando le crescenti minacce informatiche al settore sanitario. Il rapporto dell’agenzia federale sulla resilienza informatica degli ospedali ha rilevato che la diffusione capillare delle tecnologie informatiche in ambito sanitario, promossa dalla legge HITECH (Health Information Technology for Economic and Clinical Health), dall’Affordable Care Act e dal 21st Century Cures Act, ha accresciuto la vulnerabilità del settore sanitario agli attacchi informatici.
«Gli attacchi ransomware mirati direttamente a interrompere le operazioni cliniche rappresentano una minaccia informatica enorme e crescente per gli ospedali», ha sottolineato l’HHS. «Il ransomware è attualmente la minaccia più grave per questo settore e merita un’attenzione immediata, soprattutto considerando l’impatto che l’indisponibilità dei servizi può avere sulla cura e sulla sicurezza dei pazienti».
Gli attacchi ransomware sono spesso associati al furto di dati sensibili dei pazienti. Secondo il programma di sicurezza informatica dell’HHS, le cartelle cliniche elettroniche (EHR) sono gli obiettivi principali degli attacchi informatici perché contengono preziose informazioni sanitarie protette (PHI) quali nomi, numeri di previdenza sociale, dati geografici e dati biometrici. Questi dati sono molto redditizi per i criminali informatici e difficili da proteggere una volta esposti.
Norme di sicurezza relative alle cartelle cliniche elettroniche (EMR/EHR) secondo l’HIPAA
L’avviso dell’HHS evidenzia gravi vulnerabilità nei sistemi informativi sanitari che espongono le organizzazioni ad attacchi ransomware, violazioni dei dati e altre minacce informatiche. Gli operatori sanitari devono considerare questi avvisi come inviti urgenti ad agire, piuttosto che come semplici raccomandazioni di routine. Le implicazioni vanno oltre le semplici questioni tecniche: una sicurezza inadeguata delle cartelle cliniche elettroniche (EHR) comporta responsabilità legali, compromette l’assistenza ai pazienti e danneggia la reputazione delle istituzioni.
Le minacce più comuni alla sicurezza delle cartelle cliniche elettroniche includono:
- Minacce interne: membri del personale che abusano, accidentalmente o intenzionalmente, del proprio accesso alle cartelle cliniche dei pazienti.
- Rischi legati a terze parti: fornitori e partner commerciali che hanno accesso ai sistemi ma adottano pratiche di sicurezza potenzialmente inadeguate.
- Sistemi legacy: software e hardware obsoleti che non ricevono più aggiornamenti di sicurezza.
- Vulnerabilità dei dispositivi mobili: smartphone e tablet non protetti utilizzati per accedere alle informazioni dei pazienti.
- Lacune nel cloud: protezione inadeguata dei dati archiviati nel cloud.
- Attacchi di phishing: campagne mirate progettate per rubare le credenziali degli operatori sanitari.
- Protocolli di backup inadeguati: sistemi di backup insufficienti o non testati che falliscono durante gli scenari di ripristino.
Queste minacce sono direttamente collegate alla non conformità all’HIPAA quando le organizzazioni non implementano le misure di sicurezza richieste. Ad esempio, un attacco ransomware che sfrutta software non aggiornato rappresenta una violazione dei requisiti di protezione del sistema previsti dalla norma HIPAA.
Le conseguenze finanziarie di questi attacchi possono essere gravi. Secondo il rapporto IBM del 2024 sul “Costo di una violazione dei dati”, le violazioni nel settore sanitario costano alle organizzazioni in media 9,77 milioni di dollari. Un esempio è il recente accordo raggiunto a seguito di un attacco ransomware che ha coinvolto Heritage Valley Health System, in cui l’Office for Civil Rights ha inflitto una multa di 950.000 dollari e ha richiesto un piano di azioni correttive. Episodi come questo sottolineano l’importanza di misure di sicurezza informatica efficaci per prevenire le violazioni e ridurre i rischi.
Le norme di sicurezza relative alle cartelle cliniche elettroniche (EMR/EHR) secondo l’HIPAA prevedono l’implementazione di misure di sicurezza amministrative, fisiche e tecniche ragionevoli e adeguate per la protezione delle informazioni sanitarie protette (ePHI). La norma di sicurezza HIPAA stabilisce requisiti specifici per la protezione delle cartelle cliniche elettroniche (EHR). Essa richiede alle entità soggette alla normativa di disporre di:
- Misure di sicurezza amministrative: analisi dei rischi, processi di gestione della sicurezza, formazione del personale e piani di emergenza.
- Misure di sicurezza fisiche: controlli di accesso alle strutture, sicurezza delle postazioni di lavoro e controlli dei dispositivi/supporti.
- Misure di sicurezza tecniche: controlli di accesso, controlli di audit, controlli di integrità e sicurezza delle trasmissioni.
- Requisiti organizzativi: contratti con i partner commerciali e requisiti documentali.
- Politiche e procedure: attuazione di misure di sicurezza ragionevoli e adeguate.
Le organizzazioni sanitarie dovrebbero condurre una valutazione completa dei rischi per la sicurezza al fine di identificare le vulnerabilità. Successivamente, dovrebbero sviluppare un piano di rimedio che dia priorità alle lacune critiche, aggiornando le politiche e le procedure di sicurezza, implementando misure di protezione tecniche e fornendo formazione al personale sui protocolli di sicurezza. Audit di sicurezza regolari aiutano a mantenere la conformità continua e ad adattarsi alle minacce emergenti.
Misure di sicurezza EHR e importanza
Poiché le cartelle cliniche elettroniche (EHR) sono obiettivi primari, la sicurezza assume un’importanza sempre maggiore. La sicurezza delle EHR comprende misure di protezione specializzate progettate per salvaguardare le informazioni sanitarie protette elettroniche (ePHI) all’interno dei sistemi informativi sanitari. La sicurezza delle EHR deve affrontare sia le vulnerabilità tecniche dei sistemi digitali sia i requisiti specifici in materia di privacy imposti dalle normative sanitarie.
La base di un’efficace sicurezza HIPAA per le cartelle cliniche elettroniche (EHR) si fonda su tre principi fondamentali:
- La riservatezza protegge dall’accesso non autorizzato ai dati sensibili dei pazienti.
- L’integrità garantisce l’accuratezza e la coerenza delle cartelle cliniche durante tutto il loro ciclo di vita.
- La disponibilità garantisce che gli utenti autorizzati possano accedere alle informazioni critiche quando necessario per la cura dei pazienti.
Misure essenziali per la sicurezza delle cartelle cliniche elettroniche
Queste misure di sicurezza EHR possono aiutare le organizzazioni sanitarie a proteggere i dati dei pazienti soddisfacendo al contempo i requisiti HIPAA:
- Controlli di accesso: autorizzazioni basate sui ruoli che limitano l’accesso ai dati al personale autorizzato in base alla funzione lavorativa e alla necessità di conoscere tali informazioni.
- Sistemi di autenticazione: autenticazione multifattoriale che richiede più metodi di verifica prima di concedere l’accesso al sistema.
- Crittografia: crittografia dei dati sia inattivi che in transito per proteggere le informazioni anche in caso di violazione dei sistemi.
- Audit trail: registrazione completa di tutte le attività del sistema per tracciare chi ha consultato le cartelle cliniche e quali modifiche sono state apportate.
- Analisi periodica dei rischi per la sicurezza dell’EHR: valutazione sistematica delle vulnerabilità di sicurezza e implementazione di strategie di mitigazione.
- Backup e ripristino: backup regolari dei dati con procedure di ripristino testate per garantire la disponibilità in caso di incidenti.
- Misure di sicurezza fisiche: accesso fisico limitato ai server e alle postazioni di lavoro contenenti ePHI.
- Formazione sulla consapevolezza in materia di sicurezza: formazione continua per tutto il personale sui protocolli di sicurezza e sul riconoscimento delle minacce.
Preoccupazioni relative alla privacy e alla sicurezza delle cartelle cliniche elettroniche (EHR)
L’integrità dei dati e la privacy rappresentano aspetti distinti ma interconnessi delle questioni relative alla privacy e alla sicurezza delle cartelle cliniche elettroniche. L’integrità dei dati si concentra sul mantenimento dell’accuratezza e della completezza delle cartelle cliniche durante tutto il loro ciclo di vita: prevenire alterazioni non autorizzate, rilevare dati danneggiati e preservare l’affidabilità delle informazioni mediche.
La privacy si concentra sul controllo di chi può accedere alle informazioni dei pazienti e in quali circostanze. Entrambi gli elementi richiedono misure di protezione specifiche per garantire la conformità alle norme HIPAA.
Sebbene la crittografia fornisca un livello fondamentale di protezione per i dati EHR, non può fungere da soluzione di sicurezza completa contro le violazioni della sicurezza EHR. I dati crittografati rimangono vulnerabili se i controlli di accesso sono deboli, i sistemi di autenticazione sono compromessi o gli operatori sanitari abusano dei propri privilegi di accesso legittimi. Le organizzazioni sanitarie devono implementare un approccio di sicurezza multilivello che affronti l’intera gamma di potenziali vulnerabilità per risolvere i problemi di privacy e sicurezza delle cartelle cliniche elettroniche.
I controlli di accesso, i registri di audit e le valutazioni periodiche dei rischi operano in sinergia per garantire sia l’integrità che la riservatezza delle cartelle cliniche elettroniche. I controlli di accesso limitano l’esposizione dei dati in base al ruolo e alla necessità. I registri di audit garantiscono la tracciabilità, documentando tutte le interazioni con le informazioni sanitarie protette. Le valutazioni dei rischi identificano le vulnerabilità emergenti prima che possano essere sfruttate.
«Il passaggio al cloud ha acquisito slancio perché riduce il debito tecnologico e migliora la sicurezza», afferma Jaimie Fox, Senior Technology Strategist presso Microsoft. «Il cloud offre una sicurezza molto maggiore rispetto ai singoli ospedali, consentendo agli operatori sanitari e ai fornitori di cartelle cliniche elettroniche (EHR) di trasferire in modo sicuro le infrastrutture concentrandosi al contempo sull’innovazione e sull’efficienza».
Molti operatori sanitari stanno riconoscendo sempre più la necessità di sfruttare i vantaggi del cloud rispetto alle infrastrutture tradizionali. Tuttavia, questo cambiamento solleva una questione fondamentale: in che modo le organizzazioni sanitarie possono proteggere i sistemi mission-critical dalle minacce informatiche, garantendo al contempo che rimangano operativi per la cura dei pazienti?
Miglioramento della sicurezza delle cartelle cliniche elettroniche nel cloud
Con l’aumento delle minacce informatiche ai sistemi EHR, le organizzazioni sanitarie devono adottare strategie comprovate per la resilienza informatica. I metodi chiave includono lo sfruttamento di infrastrutture di sicurezza cloud, la mitigazione completa dei rischi e l’integrazione dell’intelligenza artificiale nei flussi di lavoro di sicurezza per migliorare la preparazione contro gli attacchi.
Con un personale limitato dedicato alla sicurezza informatica, le organizzazioni sanitarie hanno l’opportunità di utilizzare il cloud per rafforzare la propria posizione in materia di sicurezza informatica e affrontare il debito tecnico che affligge la maggior parte degli ospedali statunitensi. Sebbene la conformità alle normative federali, statali e locali sia fondamentale, la mitigazione dei rischi per la sicurezza informatica va oltre il semplice rispetto degli standard di conformità.
«Nella resilienza informatica, proteggere la disponibilità dei dati è fondamentale quanto garantirne la riservatezza e l’integrità», afferma David Houlding, direttore della strategia globale per la sicurezza e la conformità nel settore sanitario di Microsoft. «Le organizzazioni sanitarie devono anche difendersi da violazioni, minacce interne e rischi legati a terzi, che possono causare gravi interruzioni, compreso l’arresto dei sistemi».
La flessibilità e la scalabilità del cloud consentono la rapida integrazione di tecnologie avanzate e ad alta intensità di dati che aiutano i professionisti della sicurezza informatica nel settore sanitario a rafforzare la sicurezza e permettono ai medici di applicare strumenti all’avanguardia alla cura dei pazienti.
«Le funzionalità di intelligenza artificiale, che migliorano la produttività e riducono i costi nei sistemi EHR, sono realizzabili solo nel cloud», osserva Fox. «I sistemi tradizionali on-premise non sono in grado di supportare queste funzioni avanzate di intelligenza artificiale, limitando l’innovazione e le soluzioni all’avanguardia nell’assistenza clinica».
L’intelligenza artificiale può anche rivoluzionare la sicurezza informatica nel settore sanitario, identificando rapidamente e rispondendo alle potenziali minacce a dati, sistemi e applicazioni.
«Grazie all’intelligenza artificiale, gli analisti della sicurezza possono individuare e rispondere ad attacchi sofisticati, come il phishing e lo spear phishing, che stanno diventando sempre più diffusi e meno costosi da eseguire poiché anche gli aggressori utilizzano l’automazione basata sull’intelligenza artificiale», afferma Houlding. “Inoltre, l’intelligenza artificiale può fornire indicazioni in tempo reale, aiutando i team di sicurezza a migliorare le proprie competenze sul campo e rendendoli più preparati ad affrontare il panorama delle minacce in rapida evoluzione”.
Con il passaggio delle organizzazioni sanitarie al cloud, è fondamentale trovare un equilibrio tra innovazione e sicurezza.
Scegliere il partner giusto per la resilienza informatica
Sfruttando la sicurezza del cloud e le protezioni basate sull’intelligenza artificiale, gli operatori sanitari possono salvaguardare i sistemi critici e promuovere al contempo innovazioni cliniche nella cura dei pazienti.
“Commvault è un partner Microsoft affidabile e un partner chiave per le organizzazioni sanitarie che cercano la resilienza informatica nel cloud e su Azure. Vanta un track record senza pari e, come avete sentito dai nostri colleghi, la sua proposta di valore è unica e leader nel settore”, afferma Karen Cox, Global Healthcare Partner Strategy Leader di Microsoft.
“Commvault è un’azienda leader e uno dei primi partecipanti al programma Microsoft Copilot for Security Partner Program, che utilizza le tecnologie più avanzate per proteggere le aziende”, continua. “Le loro soluzioni sono pienamente integrate con la sicurezza Microsoft, sviluppate in collaborazione con Microsoft e conformi agli standard di Azure Protection Services. Ciò rende Commvault un partner ideale per la protezione delle applicazioni e dei dati del settore sanitario, sia nel cloud che in un ambiente ibrido.”
Le organizzazioni sanitarie possono rafforzare le proprie strategie di ripristino contro gli attacchi EHR sfruttando Commvault Cleanroom Recovery, l’unica soluzione convalidata dall’Enterprise Strategy Group per garantire il ripristino in un ambiente pulito e sicuro. Poiché il ransomware rappresenta una delle principali minacce, un piano di ripristino sicuro e verificabile è essenziale per riprendere le operazioni in modo rapido e sicuro.
Utilizzando l’avanzata piattaforma di cyber-resilienza di Commvault, le organizzazioni sanitarie possono riprendersi in modo rapido e sicuro senza il rischio di reinfezioni, proteggendo i dati dei pazienti e garantendo la sicurezza operativa a lungo termine. Scarica la nostra guida completa per preparare la tua organizzazione sanitaria con misure pratiche e best practice per il ripristino informatico.
