Microsoft Active Directory (AD) è il pilastro portante della maggior parte delle reti IT aziendali, in quanto fornisce le funzionalità essenziali di autenticazione e autorizzazione per le applicazioni e le risorse strategiche per l’azienda. Il suo ruolo centrale lo rende anche un obiettivo primario per gli hacker che mirano a compromettere le aziende o, in alcuni casi, a mettere fuori uso l’intera rete. Quando AD smette di funzionare, l’attività aziendale si blocca. Siete preparati allo scenario peggiore?

Oggi siamo lieti di annunciare la disponibilità generale di Commvault Cloud Backup and Recovery for Active Directory Enterprise Edition, che offre un ripristino completo e automatizzato della foresta Active Directory, consentendo un rapido ripristino della foresta Active Directory per garantire la continuità operativa.

Il Recovery è fondamentale per la continuità operativa

AD è il fulcro dell’autenticazione e dei servizi sicuri, e la sua capacità di ripristino è fondamentale in caso di interruzioni di servizio o attacchi ransomware. Applicazioni, file system, servizi di posta elettronica e database si affidano tutti ad AD per una corretta autenticazione e un controllo sicuro degli accessi degli utenti; pertanto, quando AD viene danneggiato o messo completamente fuori servizio, le applicazioni e i servizi critici che supporta diventano inaccessibili.

Consideriamo le conseguenze: il personale bancario non può accedere ai conti dei clienti. Medici e infermieri non possono accedere alle cartelle cliniche. I programmatori e gli sviluppatori non possono pubblicare il codice. I team non possono collaborare né comunicare in chat per portare a termine il proprio lavoro.

Senza AD, l’azienda non può continuare a operare. I criminali informatici ne sono ben consapevoli, ed è per questo che fanno di AD l’obiettivo principale in 9 attacchi informatici su 10. Quando si verifica un incidente, il ripristino di AD è fondamentale, ma tradizionalmente è sempre stato molto difficile da realizzare, poiché richiede processi manuali complessi e dispendiosi in termini di tempo.

Poiché i ransomware prendono sempre più di mira le infrastrutture critiche di gestione delle identità, è fondamentale disporre di un piano di Recovery ben documentato e sottoposto a test frequenti, che consenta di ripristinare e ricostruire l’intero ambiente AD riportandolo allo stato precedente all’attacco.  

Le complessità della Recovery delle foreste AD

Microsoft fornisce indicazioni prescrittive su come ricostruire un’intera foresta AD a seguito di un disastro catastrofico nella sua “Guida al Recovery della foresta di Active Directory“. A causa della natura complessa di AD, le operazioni necessarie per un ripristino completo della foresta sono rigide, prescrittive, richiedono molto tempo e sono altamente soggette a errori umani. A seconda della complessità dell’architettura AD, il processo può comportare da 50 a 100 o anche più attività.

A causa della natura distribuita e dell’architettura multi-master di AD, il ripristino richiede un coordinamento meticoloso. Non è possibile limitarsi a ripristinare i controller di dominio dal backup e considerare il lavoro concluso. Esistono decine di complesse operazioni di pulizia che devono essere eseguite sui controller di dominio ripristinati e all’interno dello stesso AD in momenti ben precisi durante la Recovery della foresta. Se questi passaggi non vengono seguiti correttamente, si rischia di introdurre nuovi danneggiamenti o incongruenze nell’ambiente ripristinato, che possono essere molto difficili, se non impossibili, da risolvere.

Affidarsi a un piano manuale di Recovery in caso di disastri o di attacchi informatici e a strumenti preconfigurati potrebbe comportare giorni di lavoro per ripristinare un’intera foresta AD. In caso di disastro, il tempo è fondamentale e, più tempo occorre per riportare i componenti AD a uno stato operativo, maggiore sarà l’impatto negativo sull’attività aziendale.

Automatizza e accelera il Recovery di AD con Commvault Cloud

Commvault Cloud Backup and Recovery for AD Enterprise Edition garantisce un nuovo livello di resilienza ad Active Directory, consentendo il ripristino automatico e rapido della foresta di Active Directory allo stato precedente all’attacco. Questa automazione elimina i processi manuali, lenti e soggetti a errori, riducendo il rischio di errori e accelerando i tempi di Recovery. Ecco come funziona:

• Rendi il ripristino di AD un gioco da ragazzi grazie ai runbook automatizzati: i runbook automatizzati per la Recovery della foresta coordinano il processo in più fasi necessario per la Recovery della foresta AD, comprese le attività fondamentali di manutenzione di AD necessarie per verificare la coerenza della directory ripristinata, come l’acquisizione dei ruoli FSMO e l’aggiornamento del pool RID. Questi runbook possono essere utilizzati anche per eseguire test periodici in ambienti non di produzione, al fine di migliorare la Readiness informatica.
• Consente un ripristino rapido delle componenti più importanti dell’infrastruttura AD: le visualizzazioni topologiche del proprio ambiente AD consentono di identificare in modo semplice e rapido quali controller di dominio ripristinare per primi e in che modo, al fine di accelerare la disponibilità dei servizi AD.
• Monitora lo stato di avanzamento del Recovery grazie alle viste dettagliate del runbook: le viste prescrittive del runbook relative al processo di Recovery garantiscono totale trasparenza e un controllo minuzioso, consentendoti di adattare facilmente il flusso di lavoro al tuo ambiente. Durante il Recovery, avrai piena visibilità sulla fase del processo in cui ti trovi e sul tempo necessario affinché Active Directory torni online.

• Accelerare i tempi di ripristino e migliorare la resilienza: il ripristino manuale di una foresta AD può richiedere giorni o addirittura settimane, ma con Commvault è possibile completarlo in una frazione del tempo. Commvault Cloud integra il ripristino della foresta AD con il ripristino granulare sia di AD che di Entra ID, garantendo una protezione completa. 

Porta la tua protezione AD a un livello superiore

È ora disponibile Commvault Cloud Backup and Recovery for AD Enterprise Edition, che garantisce protezione, Recovery e resilienza informatica per il vostro ambiente AD. Visitate la pagina dedicata alla soluzione AD per saperne di più o provate la soluzione in prima persona grazie alla nostra demo interattiva. Scoprite voi stessi come Commvault può migliorare la vostra strategia di protezione dell’ambiente AD.

La rapida evoluzione delle varianti di ransomware, delle tattiche di ingegneria sociale e degli attacchi basati sull’intelligenza artificiale può far sembrare la resilienza informatica una battaglia impossibile. Ma la sicurezza informatica non si limita al tentativo di superare in astuzia gli aggressori. Sebbene sia vero che minacce più sofisticate richiedano difese più avanzate, esistono anche misure sorprendentemente semplici che è possibile adottare per ridurre significativamente il rischio.

In questo blog approfondiremo quattro best practice di protezione dei dati facili da implementare, il loro ruolo in una strategia di difesa informatica a più livelli e il modo in cui Commvault aiuta i clienti a metterle in pratica.

1. Distribuire immagini già protette.

Anche la serratura più robusta non serve a nulla se lasci le finestre aperte. Ben il 23% degli attacchi alle infrastrutture cloud è legato a vulnerabilità di configurazione comuni, quali politiche di rete eccessivamente permissive, servizi e porte non necessari e protocolli non sicuri. Colmando queste lacune, avrai già fatto un grande passo avanti per la sicurezza della tua superficie di attacco.

Perché così tante aziende lasciano vulnerabilità comunemente sfruttate nei propri ambienti cloud? Spesso, semplicemente, agiscono con troppa fretta per assicurarsi che le immagini che distribuiscono siano sicure. Ma Commvault può aiutarle a occuparsi di questa fase al posto loro.

Commvault Cloud Platform è disponibile in immagini pre-hardened configurate in conformità con gli standard di riferimento del Center for Internet Security (CIS). Queste best practice integrate contribuiscono a ridurre le vulnerabilità:

• Modifica delle impostazioni predefinite del software, quali le politiche relative alle password, le impostazioni di blocco degli account e i livelli di registrazione, al fine di dare priorità alla sicurezza.
• Disattivazione di protocolli obsoleti o non sicuri come SMBv1, SSLv3 e l’algoritmo RC4.
• Disattivazione dei servizi non necessari e chiusura delle porte inutilizzate per i sistemi operativi e le applicazioni.
• Rimuovere le shell che potrebbero fornire agli aggressori vie d’accesso per l’esecuzione di codice dannoso.

Oltre a queste immagini CIS-hardened destinate alle nuove implementazioni, Commvault è in grado di fornire ai clienti anche script per verificare e rafforzare le configurazioni del loro ambiente esistente. Eliminando le vulnerabilità più comuni derivanti da configurazioni errate, contribuiamo a impedire che eventuali punti deboli possano favorire attacchi.

2. Proteggere Active Directory.

In quanto hub di controllo centrale per l’accesso e l’autorizzazione all’interno della rete, Active Directory (AD) è sia un obiettivo primario degli attacchi sia un vettore di attacco letale. Per i malintenzionati, penetrare in AD è come rubare la tessera di accesso al vostro edificio: permette loro di muoversi silenziosamente all’interno del vostro ambiente, elevare i privilegi per applicazioni e dati critici e stabilire una base per controllare le risorse aziendali. Possono inoltre bloccare l’accesso agli utenti legittimi, paralizzando la vostra attività. Per contrastare queste tattiche, è necessario proteggere i dati di AD e annullare eventuali modifiche che riescono ad apportare.

Commvault può aiutarti a proteggere Active Directory dagli attacchi, salvaguardando i tuoi oggetti di criteri di gruppo, gli utenti, i gruppi, i criteri di accesso condizionale, i ruoli e altro ancora. Se vengono apportate modifiche dannose – sia intenzionalmente da parte di malintenzionati, sia per errore da parte dei tuoi amministratori – puoi recuperare rapidamente qualsiasi oggetto eliminato o ripristinare gli attributi sovrascritti. Per semplificare le cose, offriamo anche la possibilità di ripristinare solo gli attributi degli oggetti che ti interessano, senza dover eseguire un ripristino completo di AD. Tuttavia, se dovessi aver bisogno di ripristinare l’intero ambiente AD, anche questo è un’operazione semplice da eseguire.

3. Conservare i backup al riparo dal ransomware.

Praticamente ogni attacco ransomware prende di mira anche l’infrastruttura di backup. Dopotutto, se le organizzazioni potessero semplicemente ripristinare le risorse compromesse, l’attacco iniziale fallirebbe: non ci sarebbe bisogno di pagare il riscatto e gli autori dell’attacco non otterrebbero alcun guadagno. Ecco perché effettuare backup frequenti e sicuri è la soluzione definitiva per difendersi dal ransomware. 

Esistono molti modi per proteggere i backup, ma l’air gap si distingue come una misura particolarmente elegante ed efficace. Il principio è semplice: se non è possibile accedere ai backup né dall’interno né dall’esterno dell’organizzazione, gli hacker non hanno alcun modo di raggiungerli per manipolarli o cancellarli. Anche se tutte le altre difese dovessero fallire e i dati primari venissero crittografati o cancellati, sarete in grado di ripristinarli rapidamente e tornare al lavoro.

Commvault consente l’air gap grazie alla nostra soluzione Commvault AirGap. Archiviamo una copia secondaria a prova di manomissione dei vostri backup in un formato immutabile, in uno spazio di archiviazione cloud sicuro e isolato. Qualunque cosa accada sulla vostra rete aziendale, avrete comunque a disposizione una copia pulita e non infetta del vostro ambiente di produzione da ripristinare. È una vittoria per voi e una sconfitta per gli aggressori.

4. Richiedere l’autorizzazione da parte di più persone.

La maggior parte delle aziende ricorre già all’autenticazione a più fattori (MFA) per impedire accessi non autorizzati, come è giusto che sia. Tuttavia, nell’attuale contesto caratterizzato da minacce particolarmente gravi, alcune situazioni – come la cancellazione di un backup o l’autorizzazione di una richiesta di ripristino – richiedono livelli di controllo ancora più elevati.

L’autorizzazione multipla va oltre l’autenticazione a più fattori (MFA), poiché richiede non solo una seconda prova di identità per la stessa persona, ma anche l’approvazione da parte di una persona completamente diversa – o addirittura di più persone. In questo modo, anche se gli aggressori dovessero ottenere il controllo di più fattori di autenticazione, ad esempio compromettendo sia l’account di un utente che il suo dispositivo, non sarebbero comunque in grado di agire. Lo stesso vale per un insider malintenzionato: con le approvazioni aggiuntive richieste, un dipendente disonesto non può sferrare un attacco da solo. 

Le soluzioni Commvault consentono ai clienti di implementare flussi di lavoro con autorizzazione multipla per un’ampia gamma di attività che possono essere considerate distruttive, tra cui:

• Interruzione di un processo di backup di un sistema, un server o una condivisione di file.
• Eliminazione o ripristino di un backup.
• Rimozione dell’autorizzazione relativa a un agente o a un set di backup.

Gli amministratori possono configurare il numero di approvatori, i gruppi di utenti e gli utenti specifici necessari per autorizzare determinate attività.

Se non state già adottando tutte e quattro queste misure, dovreste farlo. Non vorremmo mai affermare che costituiscano una strategia di difesa informatica completa: dovrete comunque occuparvi di tutto il resto, dall’analisi delle informazioni sulle minacce e dalla gestione delle vulnerabilità alla creazione del vostro sistema di sicurezza. Ma quando misure così semplici possono ridurre significativamente il vostro rischio, l’unica domanda da porsi è: quanto presto potete iniziare?

Scopri di più su come Commvault Cloud può aiutarti a proteggere la tua rete dagli attacchi informatici grazie a una strategia di difesa a più livelli.

Per le organizzazioni sanitarie, la protezione delle informazioni sensibili relative ai pazienti è di fondamentale importanza. Poiché ci affidiamo sempre più ai sistemi digitali per archiviare, elaborare e trasmettere le informazioni sanitarie protette (PHI), è diventato essenziale disporre di adeguate misure di sicurezza crittografiche. È qui che entra in gioco lo standard FIPS (Federal Information Processing Standard) 140-2.

Che cos’è lo standard FIPS 140-2?

Lo standard FIPS 140-2 è uno standard di sicurezza del governo degli Stati Uniti che specifica i requisiti per i moduli crittografici utilizzati per proteggere le informazioni sensibili. Pubblicato dal National Institute of Standards and Technology (NIST), questo standard stabilisce requisiti di sicurezza specifici che i moduli crittografici devono soddisfare per garantire la riservatezza e l’integrità delle informazioni che proteggono.

Per le organizzazioni sanitarie che trattano dati sensibili dei pazienti, lo standard FIPS 140-2 fornisce un quadro di riferimento per l’implementazione di solide misure di protezione crittografica conformi ai requisiti della norma di sicurezza HIPAA (Health Insurance Portability and Accountability Act) relativi alla protezione delle informazioni sanitarie protette in formato elettronico (ePHI). Per saperne di più sugli aggiornamenti proposti a tale norma, consulta il nostro blog “La ricetta per la resilienza informatica nel settore sanitario”.

Features dello standard FIPS 140-2

Quattro livelli di sicurezza

Lo standard FIPS 140-2 prevede un approccio graduale alla sicurezza, con quattro livelli distinti che offrono una protezione progressivamente più elevata:

1. Livello 1: Richiede apparecchiature di livello industriale e almeno un algoritmo o una funzione di sicurezza approvati. Non sono richiesti meccanismi specifici di sicurezza fisica oltre ai componenti di base di livello industriale.

2. Livello 2: prevede l’aggiunta di meccanismi di sicurezza fisica, quali rivestimenti, sigilli antimanomissione o serrature antiscasso, e richiede un’autenticazione basata sui ruoli.

3. Livello 3: Migliora la sicurezza fisica con misure volte a individuare e contrastare i tentativi di accesso fisico o di alterazione. Impedisce a un intruso di accedere ai parametri di sicurezza critici contenuti nel modulo e prevede l’autenticazione basata sull’identità.

4. Livello 4: garantisce una protezione completa attorno al modulo crittografico, con l’obiettivo di rilevare e contrastare tutti i tentativi di accesso fisico non autorizzati. I moduli di livello 4 possono funzionare in ambienti privi di protezione fisica.

La maggior parte delle organizzazioni sanitarie adotta solitamente un livello di protezione 2 o 3, trovando un equilibrio tra le esigenze di sicurezza e la praticità operativa.

Specifiche del modulo crittografico

Lo standard FIPS 140-2 richiede una documentazione dettagliata del modulo crittografico, che includa le porte e le interfacce del modulo, le operazioni manuali, la progettazione fisica, i componenti hardware, software e firmware, nonché le funzioni di sicurezza. Questa documentazione esaustiva garantisce trasparenza sulle modalità di protezione dei dati sensibili e consente di effettuare valutazioni di sicurezza approfondite.

Algoritmi approvati

Lo standard FIPS 140-2 richiede l’uso di algoritmi crittografici convalidati, tra cui:

• Crittografia a chiave simmetrica: AES, Triple DES
• Crittografia a chiave asimmetrica: RSA, DSA, ECDSA
• Algoritmi hash sicuri: SHA-256, SHA-384, SHA-512
• Autenticazione dei messaggi: HMAC, CMAC

L’utilizzo esclusivo di algoritmi convalidati garantisce che le implementazioni crittografiche soddisfino i requisiti minimi di sicurezza e non siano state compromesse da vulnerabilità note.

Gestione delle chiavi

Una corretta gestione delle chiavi è fondamentale per garantire la sicurezza crittografica. Lo standard FIPS 140-2 definisce i requisiti relativi alla generazione, all’impostazione, all’immissione e all’emissione delle chiavi, alla loro conservazione e alla loro azzeramento (cancellazione sicura). Per le organizzazioni sanitarie, una corretta gestione delle chiavi contribuisce a mantenere efficace la crittografia e impedisce che chiavi compromesse possano causare violazioni dei dati.

Autovalutazione

Lo standard FIPS 140-2 richiede che i moduli crittografici eseguano autotest per verificare il corretto funzionamento. Tra questi figurano i test all’accensione, eseguiti automaticamente, i test condizionali, effettuati quando vengono attivate funzioni specifiche, e i test continui del generatore di numeri casuali. Questi requisiti di test contribuiscono a garantire l’affidabilità costante delle protezioni crittografiche.

L’importanza della conformità allo standard FIPS 140-2 nel settore sanitario

Allineamento normativo e regolamentare

Sebbene l’HIPAA non imponga esplicitamente la conformità allo standard FIPS 140-2, la Norma di sicurezza HIPAA richiede l’adozione di misure adeguate per garantire la riservatezza, l’integrità e la disponibilità delle informazioni sanitarie protette elettroniche (ePHI). Lo standard FIPS 140-2 costituisce uno standard riconosciuto che soddisfa molti dei requisiti di crittografia previsti dall’HIPAA.

Inoltre, altre normative che riguardano le organizzazioni sanitarie – come il Federal Information Security Management Act (FISMA) – possono richiedere esplicitamente la conformità allo standard FIPS 140-2 per le agenzie federali e i loro appaltatori, tra cui possono figurare gli operatori sanitari che collaborano con Medicare, Medicaid o l’Amministrazione dei Veterani.

Riduzione del rischio

Le violazioni dei dati sanitari possono avere conseguenze catastrofiche, sia per i pazienti la cui privacy viene compromessa, sia per le organizzazioni che devono affrontare sanzioni pecuniarie, costi di riparazione e danni alla reputazione. La conformità allo standard FIPS 140-2 riduce significativamente il rischio di violazioni dovute a fallimenti crittografici, garantendo che:

• Le implementazioni crittografiche seguono le migliori pratiche consolidate.
• Le vulnerabilità di sicurezza vengono individuate e risolte.
• I metodi di crittografia sono in grado di resistere ad attacchi sofisticati.

Fiducia dei pazienti

Al di là dei requisiti normativi, l’adozione di misure rigorose di protezione dei dati dimostra l’impegno a tutelare la privacy dei pazienti. Quando le organizzazioni sanitarie sono in grado di garantire ai pazienti che le loro informazioni sensibili sono protette da standard di sicurezza approvati dalle autorità governative, si crea un clima di fiducia in un mondo sempre più attento alla tutela della privacy.

Valutazione dei fornitori

La certificazione FIPS 140-2 offre un chiaro punto di riferimento per la valutazione dei fornitori di tecnologia. Nella scelta dei sistemi destinati al trattamento o all’archiviazione delle ePHI, le organizzazioni sanitarie possono utilizzare la conformità allo standard FIPS 140-2 come criterio fondamentale, semplificando così il processo di valutazione dei fornitori e verificando che siano soddisfatti i requisiti minimi di sicurezza.

In che modo Commvault garantisce la conformità allo standard FIPS 140-2

La piattaforma completa di gestione dei dati di Commvault offre un solido supporto alle organizzazioni sanitarie che intendono ottenere la conformità allo standard FIPS 140-2 grazie a diverse funzionalità chiave:

Moduli crittografici certificati secondo lo standard FIPS

Commvault integra moduli crittografici che sono stati convalidati nell’ambito del Programma di convalida dei moduli crittografici (CMVP) del NIST. Questi moduli sono stati sottoposti a rigorosi test da parte di laboratori accreditati dal NIST per verificarne la conformità ai requisiti della norma FIPS 140-2, garantendo alle organizzazioni sanitarie che le loro misure di protezione dei dati soddisfino gli standard federali.

Crittografia end-to-end

Commvault offre funzionalità di crittografia complete che proteggono i dati sanitari durante l’intero ciclo di vita:

• Crittografia in transito: tutti i trasferimenti di dati tra i componenti Commvault utilizzano il protocollo TLS 1.2 o versioni successive con algoritmi di crittografia approvati secondo lo standard FIPS, garantendo la protezione delle informazioni sanitarie sensibili durante il trasferimento.
• Crittografia a riposo: Commvault protegge i dati sanitari archiviati utilizzando la crittografia AES-256 approvata secondo lo standard FIPS, salvaguardando backup, archivi e altri repository di dati da accessi non autorizzati.
• Crittografia lato client: i dati possono essere crittografati prima di lasciare il sistema di origine, in modo da rimanere protetti durante l’intero processo di Backup and Recovery.

Gestione sicura delle chiavi

Il sistema integrato di gestione delle chiavi di Commvault è conforme ai requisiti dello standard FIPS 140-2 in materia di gestione sicura delle chiavi:

• Gestione centralizzata delle chiavi: le chiavi di crittografia vengono gestite tramite un sistema centralizzato, basato su criteri prestabiliti, che garantisce rigorosi controlli di accesso.
• Rotazione delle chiavi: le funzionalità automatizzate di rotazione delle chiavi consentono alle organizzazioni sanitarie di aggiornare periodicamente le chiavi di crittografia senza interrompere le operazioni, nel rispetto delle migliori pratiche crittografiche.
• Archiviazione sicura delle chiavi: le chiavi di crittografia vengono archiviate con diversi livelli di protezione, compresa la possibilità di integrare moduli di sicurezza hardware esterni per garantire una maggiore sicurezza.

Controlli di accesso basati sull’identità

Commvault implementa solidi meccanismi di autenticazione e autorizzazione conformi ai requisiti di sicurezza previsti dallo standard FIPS 140-2:

• Controllo degli accessi basato sui ruoli: le impostazioni dettagliate dei permessi consentono solo al personale autorizzato di accedere a dati sanitari sensibili o di eseguire operazioni critiche sul sistema.
• Autenticazione a più fattori: il supporto per l’autenticazione a più fattori (MFA) offre un ulteriore livello di sicurezza durante l’accesso alla console di gestione Commvault o ai dati.
• Registrazione dettagliata degli audit: registri completi delle attività tracciano tutti gli accessi alle informazioni sanitarie protette, a supporto degli audit di conformità e delle indagini di sicurezza.

Funzionamento in modalità FIPS

Commvault consente alle organizzazioni sanitarie di attivare la “modalità FIPS”, che impone l’uso esclusivo di algoritmi e moduli crittografici approvati secondo lo standard FIPS nell’intero ambiente di gestione dei dati. Quando la modalità FIPS è attivata:

• Gli algoritmi non conformi allo standard FIPS sono disabilitati.
• Vengono utilizzati esclusivamente moduli crittografici convalidati.
• Le impostazioni di sicurezza vengono configurate automaticamente in modo da soddisfare i requisiti FIPS.

Questo approccio semplificato alla conformità riduce l’onere amministrativo a carico dei team IT del settore sanitario e riduce al minimo il rischio di errori di configurazione che potrebbero compromettere la sicurezza.

Integrazione perfetta con i sistemi sanitari

La piattaforma di Commvault si integra con i principali sistemi informativi del settore sanitario, garantendo al contempo la conformità allo standard FIPS 140-2:

• Protezione dei sistemi di cartelle cliniche elettroniche: connettori specializzati per i principali sistemi EHR consentono di eseguire il backup e il ripristino dei dati dei pazienti in tutta sicurezza.
• Supporto per l’imaging medico: le funzionalità di backup sono conformi allo standard internazionale Digital Imaging and Communications in Medicine (DICOM) per l’archiviazione, lo scambio e l’utilizzo dei dati di imaging medico, garantendo al contempo la conformità ai requisiti HIPAA e FIPS.
• Protezione degli ambienti virtuali: le organizzazioni sanitarie che eseguono applicazioni critiche in ambienti virtualizzati possono garantire la conformità alle norme FIPS grazie alle funzionalità di protezione delle macchine virtuali offerte da Commvault.

Documentazione e rendicontazione in materia di conformità

Commvault semplifica i requisiti di documentazione relativi alla conformità allo standard FIPS 140-2:

• Certificati di convalida: accesso ai certificati di convalida FIPS 140-2 relativi ai moduli crittografici di Commvault.
• Report di conformità: strumenti di reporting integrati che documentano lo stato della crittografia, le attività di gestione delle chiavi e altri parametri relativi alla sicurezza.
• Supporto agli audit: registri e report completi che semplificano il processo di dimostrazione della conformità durante gli audit normativi.

Implementazione dello standard FIPS 140-2 negli ambienti sanitari

Effettuare un inventario

Il primo passo verso la conformità allo standard FIPS 140-2 consiste nell’identificare tutti i sistemi e le applicazioni che trattano dati sanitari sensibili. Questo include:

• Sistemi di cartelle cliniche elettroniche (EHR)
• Sistemi di diagnostica per immagini
• Sistemi informativi di laboratorio
• Sistemi di fatturazione e amministrativi
• Dispositivi mobili utilizzati dagli operatori sanitari
• Soluzioni per il backup e l’archiviazione dei dati

Convalida dei moduli crittografici

Per ciascun sistema individuato, verificare se utilizza moduli crittografici convalidati secondo lo standard FIPS 140-2. Il NIST gestisce un elenco di moduli convalidati denominato CMVP. I fornitori dovrebbero essere in grado di fornire i propri certificati di convalida FIPS 140-2 e i relativi numeri di riferimento.

Colmare le lacune

Per i sistemi non conformi allo standard FIPS 140-2, le organizzazioni sanitarie hanno diverse opzioni:

• Passare a versioni conformi allo standard FIPS.
• Implementare ulteriori livelli di crittografia utilizzando moduli certificati.
• Sostituire i sistemi non conformi con alternative conformi.
• Richiedere deroghe qualora siano in atto adeguati controlli compensativi.

Documentazione e formazione

Mantenere una documentazione completa delle attività volte alla conformità allo standard FIPS 140-2 è essenziale sia ai fini della governance interna che degli audit normativi. Inoltre, il personale dovrebbe ricevere una formazione sull’importanza della crittografia e sulla corretta gestione dei dati sensibili.

Conclusione

La conformità allo standard FIPS 140-2 non è solo un requisito normativo da spuntare su un elenco: è una componente fondamentale di una solida strategia di sicurezza dei dati nel settore sanitario. Implementando misure di protezione crittografica conformi a questo rigoroso standard, le organizzazioni sanitarie possono ridurre in modo significativo il rischio di violazioni dei dati, rafforzare la fiducia dei pazienti ed evitare costose violazioni della conformità.

Con la progressiva digitalizzazione del settore sanitario e la crescente sofisticazione delle minacce informatiche, il rispetto di standard di sicurezza riconosciuti come il FIPS 140-2 non è più una scelta facoltativa, ma rappresenta un aspetto fondamentale per garantire un’erogazione responsabile dell’assistenza sanitaria nell’era digitale.

Scegliendo le soluzioni di gestione dei dati di Commvault conformi allo standard FIPS 140-2, le organizzazioni sanitarie possono proteggere con sicurezza le informazioni sensibili dei pazienti, semplificando al contempo gli adempimenti normativi. Il nostro approccio globale alla protezione dei dati non solo soddisfa gli attuali requisiti normativi, ma fornisce anche una base solida per far fronte alle continue evoluzioni in materia di sicurezza.

Sono passati quasi 30 anni dall’entrata in vigore dell’Health Insurance Portability and Accountability Act. Tra le altre disposizioni, tale legge tutela i pazienti impedendo la divulgazione delle informazioni sanitarie riservate senza il loro consenso. Nel corso degli anni, la legge è stata aggiornata e modificata in risposta all’evoluzione delle tecnologie e alla relativa legislazione e politica in materia di assistenza sanitaria.

Lo scorso anno, il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) ha proposto modifiche significative alla Norma sulla sicurezza dell’HIPAA al fine di rafforzare la sicurezza informatica delle cartelle cliniche elettroniche (EHR). Le ultime modifiche sono state elaborate in risposta all’aumento della conservazione e del trasferimento dei dati in formato elettronico, all’incremento del numero e della gravità delle violazioni della sicurezza, nonché ad altre questioni relative alle pratiche di sicurezza informatica e all’applicazione della normativa che sono cambiate o emerse dall’ultimo aggiornamento della norma, avvenuto nel 2013.

Un elemento fondamentale di questa proposta prevede che i soggetti interessati definiscano procedure scritte per ripristinare i sistemi informativi elettronici critici e i dati entro 72 ore dal verificarsi di un evento dannoso. Tale requisito mira a consentire alle organizzazioni sanitarie di ripristinare tempestivamente i sistemi e i dati essenziali a seguito di un incidente di sicurezza, riducendo così al minimo le interruzioni nell’assistenza ai pazienti e garantendo la riservatezza, l’integrità e la disponibilità delle cartelle cliniche elettroniche (EHR).

Scopri di più su come Commvault possa essere utilizzato per ripristinare rapidamente le cartelle cliniche elettroniche (EHR), anche in ambienti Epic e Meditech.

Applicazione della normativa HIPAA

L’applicazione della legge HIPAA è di competenza dell’Ufficio per i diritti civili (OCR) all’interno del Dipartimento della Salute e dei Servizi Umani (HHS). L’OCR ha il compito di garantire che gli operatori sanitari, i piani sanitari, i centri di smistamento dati e i loro partner commerciali rispettino le norme HIPAA in materia di privacy, sicurezza e notifica delle violazioni.

Negli ultimi anni, l’OCR ha dato priorità alle sanzioni pecuniarie per le violazioni, in particolare quelle relative alla Norma di sicurezza dell’HIPAA. Nel 2024, l’OCR ha riferito che l’applicazione delle norme HIPAA ha raggiunto livelli quasi record, con 9,9 milioni di dollari riscossi, compreso un accordo transattivo di 4,75 milioni di dollari per violazioni multiple della norma di sicurezza. Tuttavia, mentre il numero di provvedimenti è aumentato, l’importo medio delle sanzioni è diminuito a causa di una reinterpretazione delle fasce sanzionatorie prevista dall’HITECH Act.

Meccanismi chiave di applicazione dei nuovi obblighi

Con l’avvicinarsi dei nuovi obblighi previsti dalla Norma di sicurezza HIPAA, l’OCR garantirà il rispetto delle norme attraverso una combinazione di attività di formazione, verifiche, indagini e sanzioni. Di seguito è riportata una descrizione dettagliata del funzionamento di questi meccanismi di applicazione:

1. Formazione e orientamento (fase iniziale dell’applicazione delle norme)

L’OCR fornisce orientamenti, formazione e linee guida sulle migliori pratiche per aiutare i soggetti interessati e i partner commerciali a conformarsi alle norme HIPAA. Questo include:

• Domande frequenti aggiornate, programmi di formazione e risorse online.
• Collaborazione con le associazioni di categoria per chiarire le modalità di attuazione delle nuove disposizioni in materia di sicurezza.
• Linee guida tecniche sull’analisi e la gestione dei rischi (un ambito in cui si riscontrano frequenti casi di non conformità).

Questa fase consente alle organizzazioni di aggiornare i propri programmi di sicurezza, le politiche di gestione dei rischi e la formazione del personale prima che entri in vigore l’applicazione rigorosa delle norme.

2. Indagini sulla conformità e segnalazione delle violazioni

L’OCR verifica la conformità in risposta a:

• Reclami: i cittadini possono segnalare violazioni dell’HIPAA, dando così avvio a indagini da parte dell’OCR.
• Segnalazioni di violazioni: qualsiasi violazione che coinvolga 500 o più record deve essere segnalata all’OCR, che provvederà poi a verificare se la violazione sia stata causata da una mancata conformità.

Considerato l’aumento degli episodi di pirateria informatica, l’OCR ha concentrato la propria attenzione sulla preparazione in materia di sicurezza informatica, richiedendo alle organizzazioni sanitarie una Risk Analysis più rigorosa e un monitoraggio dei sistemi.

3. Verifiche HIPAA e Risk Analysis: punti chiave

L’OCR ha sottolineato che la Risk Analysis rappresenta una priorità assoluta in materia di applicazione della normativa, a causa della diffusa inosservanza delle norme.

• Nel corso delle verifiche HIPAA del 2016–2017, la maggior parte delle organizzazioni non ha effettuato una Risk Analysis completa né l’ha aggiornata regolarmente.
• Nel 2024, 14 delle 22 azioni di contrasto intraprese dall’OCR riguardavano violazioni della norma sulla sicurezza dell’HIPAA, con le carenze nella Risk Analysis che rappresentavano il problema più comune.
• L’OCR intende riprendere gli audit di conformità (anche se i vincoli di bilancio potrebbero ritardare tale iniziativa).

Ci si deve aspettare un controllo più rigoroso sulle modalità con cui le organizzazioni valutano e mitigano i rischi relativi alle informazioni sanitarie protette in formato elettronico (ePHI).

4. Sanzioni pecuniarie e piani di azioni correttive (CAP)

L’OCR può irrogare sanzioni in caso di inadempienza, con multe che vanno da migliaia a milioni di dollari in base a:

• Negligenza o incuria dolosa
• Mancata correzione delle violazioni dopo la notifica
• Numero di persone coinvolte

Poiché le sanzioni previste dall’HIPAA sono diminuite in modo significativo (da una media di 2,6 milioni di dollari nel 2018 a circa 450.000 dollari nel 2024), l’OCR ha cercato strategie alternative di applicazione della normativa, quali i CAP, che impongono alle organizzazioni di migliorare le misure di sicurezza entro un determinato periodo di tempo, e un’applicazione più rigorosa a livello statale.

Cosa significa questo per la vostra organizzazione

Poiché l’OCR attribuisce priorità all’applicazione delle misure relative all’Risk Analysis, questi passaggi possono aiutarti a conformarti agli aggiornamenti proposti:

• Aggiornare regolarmente le valutazioni dei rischi e includere tutti i sistemi ePHI.
• Adottare misure di sicurezza informatica più rigorose (ad esempio, crittografia, autenticazione a più fattori e monitoraggio continuo).
• Formare i dipendenti in materia di conformità alla normativa HIPAA e sui protocolli di risposta alle violazioni.
• Fornire notifiche tempestive in caso di violazioni, con contenuti accurati.
• Conservare la documentazione che attesti le misure adottate per garantire la conformità.

Applicazione della legge e azioni legali a livello statale

I procuratori generali degli Stati possono applicare in modo indipendente la normativa HIPAA e infliggere sanzioni in caso di violazioni. La sanzione più elevata comminata in California nel 2024 (6,75 milioni di dollari) è stata inflitta a un fornitore di servizi di archiviazione cloud per aver gestito in modo improprio la sicurezza dei dati dei pazienti. Con l’adozione da parte degli Stati di ulteriori leggi in materia di sicurezza informatica (ad esempio, i requisiti di sicurezza informatica per gli ospedali dello Stato di New York), è prevedibile che l’applicazione della normativa HIPAA si estenda oltre la supervisione dell’OCR.

Considerazioni finali: le sfide future

Nonostante l’aumento sia delle segnalazioni di violazioni che dei reclami relativi all’HIPAA, sembra improbabile che l’OCR riceva l’aumento dei finanziamenti di cui dichiara di aver bisogno per potenziare le attività di controllo. Non è ancora chiaro quale sarà l’impatto sui servizi dell’agenzia dei tagli di bilancio in corso da parte del Dipartimento per l’Efficienza Governativa, né come procederà la nuova amministrazione dopo la chiusura, il 7 marzo, del periodo di consultazione pubblica sulle modifiche proposte.

Indipendentemente dal fatto che i nuovi obblighi di sicurezza previsti dall’HIPAA entrino o meno in vigore quest’anno, le organizzazioni trarrebbero vantaggio dal rafforzare in modo proattivo le proprie misure di sicurezza informatica, Risk Analysis, strategie di Recovery in caso di emergenza e formazione in materia di conformità. Gestendo questi aspetti, le strutture sanitarie possono contribuire a evitare potenziali sanzioni, ridurre i rischi di violazione e proteggere efficacemente i dati dei pazienti.

Scopri di più su come Commvault può aiutare la tua organizzazione a garantire la conformità normativa.

Le nostre ultime versioni del software Commvault® Cloud e dei servizi SaaS offrono nuove funzionalità e capacità pensate per aiutarvi a migliorare la vostra strategia di resilienza informatica e protezione dei dati, rendendo più semplice e veloce la protezione e la gestione dei vostri dati. Sono progettate per aiutarvi a proteggere e ripristinare i dati nel cloud ibrido contro le minacce emergenti di perdita dei dati e a ripristinarli rapidamente in caso di incidente o attacco informatico.

Tra le funzionalità più recenti ora disponibili in questa versione:

• Integrazione con CrowdStrike
• Miglioramenti apportati a Commvault AirGap
• Commvault Edge
• Cloud Rewind
• Clumio per Amazon S3
• Cleanroom Recovery per AWS
• Scalabilità automatica per il ripristino di Amazon EC2
• Backup & Recovery per Google Workspace
• Recupero della foresta di Active Directory
• Macchine virtuali Nutanix AHV di origine
• Integrazione di Palo Alto Networks con XSOAR
• Backup e ripristino di Kubernetes

Integrazione con CrowdStrike

I vostri team di sicurezza devono agire rapidamente. Con l’aumento degli attacchi ransomware, le aziende devono migliorare la propria visibilità per individuare e contrastare tempestivamente le minacce.

Commvault ti aiuta a rafforzare le tue difese informatiche integrando CrowdStrike Falcon con Commvault Cloud. Grazie all’integrazione dei dati di CrowdStrike nella dashboard di Commvault, il tuo team di sicurezza è in grado di identificare rapidamente le minacce e reagire di conseguenza. Questa visibilità ottimizzata semplifica la protezione delle risorse di backup, la messa in sicurezza dei dati sensibili e l’adozione di misure proattive di Recovery.

Miglioramenti apportati a Commvault AirGap

Il rilevamento e la protezione dal ransomware sono fondamentali. Man mano che i clienti utilizzano sempre più spesso Commvault AirGap, cercano funzionalità più ampie e prestazioni costanti su tutti i livelli di archiviazione.

Abbiamo potenziato Commvault AirGap con funzionalità quali un sistema di tiering versatile sia per i dati primari che per quelli secondari, misure di sicurezza per il recupero e la conservazione dei dati e Threat Scan per ambienti cloud e on-premise. Ciò consente ai clienti di ottimizzare i costi di archiviazione garantendo al contempo una protezione affidabile.

Commvault Edge

Le aziende devono proteggere i dati e le applicazioni nelle sedi remote e nelle filiali con la stessa efficacia con cui proteggono le infrastrutture on-premise e le implementazioni cloud.

Commvault Edge offre un’immagine software installabile su un’architettura di riferimento, garantendo la protezione dei dati nei siti remoti, il tutto gestito tramite un piano di controllo centralizzato. I vostri amministratori ottengono maggiore flessibilità e visibilità scegliendo l’hardware più adatto per l’installazione dell’immagine software HS Edge, gestendo e proteggendo fino a 200 TB di dati per punti vendita al dettaglio, stabilimenti produttivi, IoT e altro ancora. Inoltre, grazie al suo sistema operativo basato su Linux pre-hardened e pre-configurato, l’immagine software consente una rapida implementazione e una facile manutenzione.

Cloud Riavvolgimento

Considerando che, in genere, il 70% delle risorse cloud rimane privo di protezione, raggiungere la resilienza informatica può rivelarsi un compito arduo. Le organizzazioni sono ansiose di rafforzare la protezione di tutte le proprie risorse ed essere pronte a riprendersi dalle minacce.

Cloud Rewind offre uno strumento potente per ripristinare rapidamente dati critici, applicazioni cloud e configurazioni riportandoli a uno stato pulito. Consente agli utenti di ricostruire rapidamente i propri ambienti cloud riportandoli a uno stato sicuro e noto a seguito di incidenti informatici, riducendo i tempi di ripristino da settimane a minuti. Questa capacità di ripristino rapido è fondamentale per mantenere la resilienza informatica.

Clumio per Amazon S3

Con l’affermarsi delle app moderne e dell’intelligenza artificiale, Amazon S3 ha registrato una crescita esplosiva, diventando così un bersaglio privilegiato per gli attacchi. Il ripristino di miliardi di oggetti dal backup può risultare estremamente lento, causando tempi di inattività prolungati.

Clumio Backtrack offre una soluzione rivoluzionaria che consente di ripristinare rapidamente gli oggetti Amazon S3 a una versione specifica in qualsiasi momento. Ciò si traduce in una maggiore resilienza informatica contro errori e attacchi, oltre alla possibilità di ripristinare miliardi di oggetti in pochi minuti utilizzando la funzionalità S3 Versioning e la tecnologia serverless. Inoltre, ottimizza la spesa AWS eliminando la necessità di copie aggiuntive dei bucket S3.

Nota: Clumio per Amazon S3 è disponibile anche su AWS Marketplace.

Cleanroom Recovery per AWS

I clienti che utilizzano AWS per le loro implementazioni cloud desiderano eseguire esercitazioni di Recovery all’interno dello stesso ambiente per garantire la massima efficienza.

Commvault ha esteso Cleanroom Recovery ad AWS, consentendovi di ripristinare i carichi di lavoro direttamente su AWS. Questa estensione vi permette di eseguire test di ripristino in un ambiente che rispecchia la vostra configurazione di produzione, migliorando la coerenza. Inoltre, grazie al supporto esteso alle piattaforme cloud, la vostra azienda acquisisce la flessibilità necessaria per definire una strategia di ripristino su misura per le vostre esigenze.

Scalabilità automatica per il ripristino di Amazon EC2

Gli utenti AWS necessitano della funzionalità di auto-scaling di Commvault per la replica, il Recovery e l’indicizzazione, al fine di ridurre al minimo il numero di nodi di accesso Commvault a lunga durata che devono gestire nel proprio ambiente AWS. Commvault Cloud ora scala dinamicamente la potenza di calcolo di Amazon EC2 durante le attività di ripristino, replica e migrazione, terminandole successivamente per mantenere bassi i costi legati alla resilienza informatica.

È possibile semplificare la manutenzione riducendo il numero di nodi di accesso Commvault a lunga durata nel proprio ambiente AWS e risparmiare sui costi sfruttando la potenza di calcolo elastica di EC2 solo quando necessario.

Backup & Recovery per Google Workspace

I rischi per la sicurezza delle app SaaS, quali la cancellazione accidentale, il danneggiamento dei dati e gli attacchi dolosi, possono compromettere la produttività. Sorprendentemente, solo il 13% delle aziende è pienamente consapevole del proprio ruolo nella protezione dei dati.

Commvault sta facendo un passo avanti estendendo la protezione delle applicazioni SaaS a Google Workspace, coprendo i dati di Gmail, Google Drive e Shared Drive. Ciò significa che i vostri dati critici di Google Workspace possono rimanere al sicuro e essere recuperati in caso di perdita.

La tua azienda potrà continuare a crescere grazie a dati sempre disponibili e rapidamente recuperabili. Inoltre, potrai garantire la conformità agli accordi sul livello di servizio (SLA) grazie a periodi di conservazione estesi e a Google Cloud Storage integrato, il tutto gestito tramite un’unica soluzione unificata per Google Workspace e altri carichi di lavoro SaaS, ibridi e cloud-native.

Recupero della foresta di Active Directory

Quando Active Directory (AD) va offline, il ripristino della foresta può rivelarsi un processo complesso, articolato in più fasi, che deve essere eseguito alla perfezione. Senza l’automazione, esiste il rischio concreto di ripristinare AD in uno stato inutilizzabile, causando ulteriori interruzioni dell’attività aziendale.

La soluzione di Commvault semplifica tutto questo, garantendo un ripristino rapido in caso di danneggiamento dello schema e attacchi ransomware. Automatizzando l’intero processo di Recovery della foresta, è possibile pianificare ed eseguire test in anticipo, riducendo i tempi di inattività e rafforzando la resilienza informatica. Ciò significa che potrete stare tranquilli sapendo che la vostra foresta AD potrà essere riportata rapidamente ed efficacemente a uno stato di integrità.

Macchine virtuali sorgente Nutanix AHV

Devi affrontare la sfida di proteggere ambienti operativi diversi e complessi? Hai bisogno di soluzioni affidabili per gestire questi ambienti in modo efficace? È qui che entra in gioco Cleanroom Recovery. Ora compatibile con le macchine virtuali Nutanix, ti aiuta a rispondere rapidamente alle minacce alla sicurezza e a semplificare la verifica del ripristino.

Perché è importante? Offre una copertura completa per ambienti complessi, garantendo Recovery più completi. Inoltre, grazie al supporto per un numero maggiore di macchine virtuali e carichi di lavoro, le aziende possono tornare operative rapidamente, migliorando la propria resilienza informatica e assicurando il regolare svolgimento delle operazioni.

Integrazione con XSOAR di Palo Alto Networks

I team di sicurezza si affidano spesso a piattaforme SIEM/SOAR come XSOAR di Palo Alto Networks per il rilevamento delle minacce e la risposta alle stesse, ma la mancanza di integrazione con le soluzioni di Recovery li costringe a svolgere operazioni di ripristino manuali che richiedono molto tempo, ritardando così la loro risposta alle minacce attive.

Commvault Cloud Cleanroom Recovery si integra perfettamente con Palo Alto Networks XSOAR, consentendo ai team di gestire le operazioni di ripristino direttamente all’interno della piattaforma XSOAR. Questa integrazione accelera i tempi di ripristino grazie a flussi di lavoro automatizzati, riduce le attività manuali consentendo ai team di concentrarsi sull’analisi delle minacce e centralizza la gestione per una migliore collaborazione e una risposta più rapida agli incidenti.

Backup & Recovery per Kubernetes

Man mano che le aziende modernizzano le proprie applicazioni, molte hanno scelto Kubernetes come piattaforma di riferimento per la gestione di grandi quantità di dati nelle applicazioni cloud ibride. Gli amministratori devono eseguire backup più rapidi e migliorare la Readiness per le applicazioni e i dati containerizzati. 

Commvault consente di eseguire Kubernetes Backup e Recovery ottimizzati per grandi volumi di dati. Questa soluzione si integra perfettamente con il server API di Kubernetes per individuare e raccogliere i dati e le configurazioni delle applicazioni, garantendo prestazioni e affidabilità migliorate per i backup. 

Provate Commvault Cloud gratuitamente per 30 giorni.