Cyber security e sanità digitale

Indice dei contenuti

• Un settore ad alto rischio
• Attacchi reali e conseguenze gravi
• Le vulnerabilità più comuni
• Soluzioni e strategie per la sicurezza
• Il ruolo delle istituzioni e della normativa

La cyber security in sanità è oggi una priorità assoluta. In un’epoca in cui i dati clinici e le infrastrutture ospedaliere dipendono sempre più da sistemi digitali, garantire la protezione delle informazioni sanitarie è essenziale per tutelare la privacy dei pazienti e garantire la continuità operativa.

Questo articolo esplora in maniera approfondita i rischi informatici specifici del settore sanitario, le vulnerabilità più comuni, i principali attacchi registrati negli ultimi anni e le strategie per migliorare la sicurezza informatica negli ambienti ospedalieri e nei sistemi sanitari pubblici e privati.

Un settore ad alto rischio

Il settore sanitario è oggi uno degli obiettivi principali dei cyber attacchi a livello globale. Le strutture sanitarie – ospedali, cliniche private, laboratori diagnostici, ASL – gestiscono quotidianamente una mole impressionante di dati sensibili: cartelle cliniche, risultati di esami, referti, diagnosi, piani terapeutici, dati genetici e informazioni anagrafiche.

Questi dati non solo rappresentano un patrimonio informativo di valore inestimabile per il sistema sanitario, ma hanno anche un valore elevatissimo nel dark web, dove vengono venduti per finalità illecite come il furto d’identità, truffe assicurative o ricatti digitali.

Esempio
Quello dell’attacco subito dall’ULSS 6 Euganea nel Veneto, a fine 2021, quando un attacco ransomware ha colpito i server centrali, bloccando l’accesso ai dati e costringendo gli operatori sanitari a lavorare con carta e penna per diversi giorni. In quel caso, i dati clinici e le agende degli ambulatori furono resi inaccessibili, causando il rinvio di esami diagnostici, visite specialistiche e interventi chirurgici programmati.

Ma il problema è molto più diffuso e strutturale. Molte infrastrutture ospedaliere si basano ancora su sistemi informatici obsoleti, spesso sviluppati su architetture vecchie di oltre dieci anni, senza più supporto ufficiale o aggiornamenti di sicurezza.

Esempio
Terminali nelle corsie ospedaliere o negli studi medici, utilizzano talvolta versioni di Windows non più supportate (come Windows 7), rendendole estremamente vulnerabili a exploit noti.

Inoltre, la cultura della cyber security all’interno degli ambienti sanitari è ancora poco diffusa. Molti operatori, pur altamente qualificati dal punto di vista medico, non hanno ricevuto una formazione adeguata in ambito informatico.

Di conseguenza, aprire un allegato email infetto o utilizzare una password debole come “1234” può diventare un punto di ingresso per attacchi devastanti.

La crescente digitalizzazione del settore sanitario – con l’introduzione della cartella clinica elettronica, delle piattaforme per la telemedicina, dei sistemi per la prenotazione online e delle app per il monitoraggio remoto dei pazienti – ha ampliato in modo esponenziale la superficie di attacco.

Più i sistemi sono interconnessi, più cresce il rischio che una sola falla possa compromettere l’intero ecosistema.

Un altro caso emblematico è quello dell’ospedale San Giovanni Addolorata di Roma, colpito nel 2021 da un attacco informatico che ha mandato in tilt la rete interna, costringendo l’intero personale medico a interrompere l’uso dei sistemi digitali.

L’interruzione ha avuto un impatto immediato su pronto soccorso, reparto radiologico e servizi ambulatoriali.

Tutto ciò rende evidente la necessità di un profondo cambio di paradigma: la cyber security non può più essere vista come un costo accessorio, ma come un investimento fondamentale per la resilienza del sistema sanitario e per la tutela dei diritti fondamentali del cittadino, a partire dalla privacy e dalla sicurezza dei dati sanitari.

Attacchi reali e conseguenze gravi

Negli ultimi anni, i cyber attacchi alle strutture sanitarie si sono moltiplicati in tutto il mondo, con conseguenze sempre più gravi e tangibili.

Non si tratta più solo di bloccare qualche computer o rubare dati: in molti casi, un attacco informatico può paralizzare interi ospedali, ritardare cure salvavita e mettere seriamente a rischio la salute dei pazienti.

Uno degli episodi più drammatici è avvenuto in Germania, nel 2020, quando l’ospedale universitario di Düsseldorf fu colpito da un attacco ransomware.

I criminali criptarono i dati e bloccarono l’accesso ai sistemi, impedendo la gestione ordinaria delle attività ospedaliere. Una donna in condizioni critiche fu trasferita d’urgenza in un altro ospedale, ma morì durante il tragitto.

È considerato il primo caso documentato di morte indiretta causata da un attacco informatico a una struttura sanitaria. Questo evento ha scosso profondamente la comunità medica e ha mostrato al mondo come la cyber security in sanità possa letteralmente fare la differenza tra la vita e la morte.

In Italia, si ricordano diversi episodi significativi. Nel maggio 2022, l’ospedale Fatebenefratelli-Sacco di Milano fu vittima di un attacco ransomware che paralizzò i sistemi informatici per giorni, compromettendo l’operatività di reparti cruciali, tra cui quelli di emergenza.

Anche in questo caso, il personale dovette tornare alla gestione manuale di referti e appuntamenti, con ritardi nelle diagnosi e nelle terapie. Il sito ufficiale dell’ospedale fu disattivato e i centralini andarono in tilt, generando confusione tra i pazienti e un rallentamento generale dei servizi.

Nel 2021, fu il turno della Regione Lazio, colpita da un attacco su larga scala che mandò in crisi il sistema di prenotazione vaccinale anti-COVID-19. Per giorni fu impossibile fissare appuntamenti, accedere a documenti sanitari e gestire richieste da parte dei cittadini.

L’attacco ha rivelato come anche le infrastrutture regionali – spesso considerate “più sicure” – siano vulnerabili e come i sistemi sanitari pubblici possano trovarsi impreparati davanti a minacce tanto sofisticate.

Una delle criticità più evidenti emerse in questi casi è la mancanza di piani di risposta agli incidenti efficaci. Molte strutture non dispongono di backup aggiornati, non hanno squadre IT dedicate alla gestione delle emergenze informatiche e non simulano attacchi per testare la propria resilienza. Questo fa sì che, quando l’attacco avviene, la reazione sia spesso improvvisata, lenta e inefficace.

Va sottolineato che gli attacchi ransomware non mirano solo a bloccare i sistemi, ma anche a esfiltrare dati sensibili. I dati rubati vengono poi venduti nel dark web o utilizzati per ulteriori ricatti: “Pagate o pubblicheremo le cartelle cliniche dei vostri pazienti”.

Questo tipo di pressione rappresenta un rischio reputazionale enorme per le strutture sanitarie, ma soprattutto una violazione grave della privacy dei pazienti.

Alla luce di questi episodi, diventa chiaro che la cyber security non può più essere affrontata in modo superficiale. Occorre una strategia preventiva, strutturata e continua, in grado di integrare tecnologia, formazione, procedure di risposta e soprattutto consapevolezza.

Le vulnerabilità più comuni

Il settore sanitario, pur essendo altamente digitalizzato, presenta ancora numerose vulnerabilità informatiche che lo rendono particolarmente esposto agli attacchi.

Molte di queste debolezze non sono dovute solo a limiti tecnologici, ma anche a carenze organizzative, mancanza di formazione e sottovalutazione del rischio.

Una delle problematiche più frequenti è rappresentata dai software non aggiornati.

Spesso le strutture sanitarie utilizzano sistemi operativi o gestionali sviluppati anni fa, mai sottoposti a patch di sicurezza o aggiornamenti critici. Un caso emblematico è quello dell’attacco WannaCry del 2017, che colpì decine di ospedali del National Health Service (NHS) britannico.

Il ransomware sfruttava una vulnerabilità di Windows XP, un sistema operativo ormai fuori supporto, ma ancora largamente utilizzato in molti ospedali. Il risultato fu devastante: reparti paralizzati, ambulanze deviate, interventi chirurgici annullati.

Un’altra falla significativa riguarda i dispositivi medici connessi a Internet, come pacemaker, pompe di insulina, apparecchi per la diagnostica e sistemi di monitoraggio remoto.

Questi dispositivi, spesso non progettati con criteri di cyber security, possono essere vulnerabili a attacchi IoT. Nel 2019, un team di ricercatori dimostrò come fosse possibile manipolare da remoto un’apparecchiatura per la somministrazione di farmaci tramite una connessione Wi-Fi insicura, modificando la dose iniettata.

Anche l’utilizzo di credenziali deboli è una minaccia concreta. In molte realtà sanitarie, le password sono condivise tra operatori o impostate con criteri poco sicuri, come “admin” o “ospedale123”. Questo espone i sistemi a accessi non autorizzati anche da parte di utenti interni, magari in buona fede, ma senza adeguati permessi.

L’assenza di segmentazione di rete è un altro problema spesso sottovalutato. In molti ospedali, dispositivi amministrativi, sistemi clinici e dispositivi medici condividono la stessa rete, il che significa che se un singolo terminale viene compromesso (ad esempio tramite un’email di phishing), l’intera rete può essere infettata.

Un attacco che parte da una stampante connessa o da un dispositivo BYOD (Bring Your Own Device) può propagarsi a macchia d’olio.

Durante la pandemia da COVID-19, l’adozione accelerata del telelavoro e della telemedicina ha moltiplicato i punti d’accesso ai sistemi sanitari, spesso senza un adeguato controllo.

Molti operatori si sono collegati da casa utilizzando connessioni Wi-Fi non protette o dispositivi personali non monitorati. In assenza di VPN sicure o sistemi di autenticazione multifattoriale, il rischio di compromissione è aumentato drasticamente.

Infine, anche il ricorso a app non certificate o servizi cloud scelti autonomamente dai singoli reparti – senza passare dal reparto IT – rappresenta un punto critico.

Esempio
Salvare referti o dati sensibili su piattaforme cloud gratuite o gestire video-consulti tramite app di messaggistica non cifrata espone pazienti e strutture a violazioni della privacy e al mancato rispetto delle normative come il GDPR.

Tutte queste vulnerabilità, prese singolarmente, potrebbero sembrare gestibili. Ma quando si sommano in un sistema complesso e spesso sotto pressione come quello sanitario, diventano una bomba a orologeria.

Ecco perché la sicurezza informatica deve essere progettata su misura per questo settore, con un approccio preventivo, continuo e su più livelli.

Soluzioni e strategie per la sicurezza

Per rafforzare la cyber security in ambito sanitario, è indispensabile adottare un approccio multidimensionale e integrato, che coinvolga non solo la tecnologia, ma anche i processi e le persone.

Le minacce informatiche sono troppo complesse e sofisticate per essere affrontate con soluzioni isolate: occorre un sistema di difesa articolato, reattivo e, soprattutto, proattivo.

1. Aggiornamento costante dei sistemi

Uno dei primi e più efficaci interventi consiste nel garantire l’aggiornamento regolare dei software e dei dispositivi medici connessi. Molti ransomware sfruttano vulnerabilità note e documentate. Un semplice aggiornamento può bloccare l’intera catena di attacco.

Esempio
L’uso di strumenti di automazione per le patch può essere integrato con cron job su sistemi Linux, come:

# Esecuzione automatica dell’aggiornamento ogni notte

0 3 * * * /usr/bin/apt update && /usr/bin/apt upgrade -y

Oppure, su sistemi Windows, si può configurare Windows Server Update Services (WSUS) per gestire e distribuire aggiornamenti in modo centralizzato, riducendo il rischio di errori manuali.

2. Segmentazione della rete

La segmentazione di rete è una misura fondamentale per limitare la propagazione di un attacco. Separare la rete dei dispositivi medici da quella amministrativa, e ancora da quella usata dai visitatori o dai dispositivi personali, permette di contenere eventuali compromissioni.

Un esempio pratico è l’uso di VLAN per isolare i segmenti:

# Configurazione base di una VLAN su uno switch Cisco

interface FastEthernet0/1

 switchport mode access

 switchport access vlan 20

In questo modo, i dispositivi diagnostici possono essere isolati dal traffico della rete amministrativa, riducendo notevolmente il rischio di attacchi laterali.

3. Autenticazione a più fattori (MFA)

L’autenticazione a più fattori è una delle difese più efficaci contro accessi non autorizzati. Anche se un utente malintenzionato dovesse rubare una password, senza il secondo fattore non potrebbe accedere al sistema.

Molti sistemi moderni (ad esempio, Microsoft 365, G Suite, sistemi EMR) supportano MFA con app come Google Authenticator o chiavi fisiche FIDO2.

Anche per ambienti customizzati si può implementare MFA con librerie come django-otp in un’applicazione Python/Django:

from django_otp.oath import totp

from django_otp.util import random_hex

# Genera token OTP basato sul tempo

secret = random_hex()

token = totp(key=bytes.fromhex(secret))

print("OTP Token:", token)

4. Monitoraggio continuo del traffico di rete

Implementare un sistema di monitoraggio costante consente di rilevare anomalie prima che si trasformino in incidenti.

Soluzioni come SIEM (Security Information and Event Management) o strumenti open-source come Snort, Zeek e Wazuh possono aiutare a tracciare attività sospette.

Un esempio con Zeek per il monitoraggio del traffico HTTP:

# Estrazione richieste HTTP sospette

zeek -r traffico.pcap http.log | grep POST

Monitorare eventi in tempo reale permette di bloccare un comportamento anomalo prima che causi danni significativi.

5. Backup regolari e disaster recovery

Nessuna strategia è completa senza una politica rigorosa di backup e un piano testato di disaster recovery. I backup devono essere automatizzati, criptati e, idealmente, conservati in una posizione offline o immutabile (ad esempio con tecnologia WORM – Write Once Read Many).

Esempio di backup giornaliero con rsync su un server remoto:

rsync -a --delete /cartella_dati/ utente@backupserver:/backup/ospedale/

È essenziale testare periodicamente i backup per assicurarsi che siano ripristinabili rapidamente in caso di emergenza.

6. Formazione e cultura della sicurezza

La tecnologia da sola non basta. Senza una cultura della cyber security, ogni investimento può essere vanificato da un clic sbagliato.

Per questo è cruciale promuovere la formazione continua di tutto il personale, non solo tecnico ma anche sanitario e amministrativo.

Campagne interne di awareness, simulazioni di phishing e corsi pratici sono strumenti efficaci per migliorare la consapevolezza. Un semplice esercizio, come inviare email simulate di phishing e misurare chi ci casca, può rivelarsi molto utile per individuare criticità nel comportamento umano.

Integrazione e visione sistemica

Una struttura sanitaria sicura è quella che riesce a integrare tecnologie, persone e processi in un ecosistema coerente e ben governato.

Serve una visione a lungo termine, guidata da una governance della sicurezza e supportata da standard internazionali (come ISO/IEC 27001 o NIST Cyber Security Framework).

Solo un approccio integrato e multilivello può davvero garantire la protezione delle infrastrutture critiche in sanità e la sicurezza dei dati sanitari, oggi più che mai sotto attacco.

Il ruolo delle istituzioni e della normativa

Nel contesto della cyber security in sanità, le istituzioni pubbliche e il quadro normativo giocano un ruolo cruciale per garantire la protezione dei dati sanitari e la resilienza delle infrastrutture critiche.

Tuttavia, nonostante esistano regole chiare a livello europeo e nazionale, l’effettiva applicazione di queste norme è ancora frammentaria e disomogenea.

Il principale riferimento normativo in Europa è il Regolamento Generale sulla Protezione dei Dati (GDPR), entrato in vigore nel 2018. Il GDPR classifica i dati sanitari come “categorie particolari di dati personali”, imponendo obblighi rafforzati per la loro gestione, tra cui:

• consenso esplicito del paziente per il trattamento;
• misure tecniche e organizzative adeguate per garantire la sicurezza dei dati;
• notifica obbligatoria delle violazioni (data breach) entro 72 ore;
• responsabilità diretta dei titolari del trattamento e dei responsabili.

Nonostante la chiarezza del quadro normativo, in molti casi l’adozione concreta delle misure richieste dal GDPR è lenta o superficiale.

Alcune strutture sanitarie si limitano a una conformità formale, trascurando gli aspetti sostanziali come il risk assessment, la crittografia dei dati o la pseudonimizzazione dei dati clinici per finalità di ricerca.

Esempio
Un ulteriore problema riguarda le differenze tra regioni e aziende sanitarie: in Italia, non tutte le ASL o ospedali pubblici dispongono delle stesse risorse tecnologiche o competenze interne. Questo crea un sistema a più velocità, dove alcune realtà sono avanzate nella protezione informatica, mentre altre restano indietro e più esposte agli attacchi.

Per colmare questo divario, è fondamentale il ruolo delle autorità sanitarie centrali e dei governi nazionali, che devono investire in modo strutturale nella cyber security.

Non si tratta solo di acquistare software di protezione, ma di integrare la sicurezza informatica nelle politiche sanitarie pubbliche, con piani pluriennali, finanziamenti dedicati e programmi di formazione.

In Italia, un passo importante è stato compiuto con la nascita dell’Agenzia per la Cybersicurezza Nazionale (ACN), istituita nel 2021.

L’ACN ha il compito di coordinare la strategia nazionale di cyber difesa e promuovere la sicurezza delle infrastrutture critiche, tra cui il settore sanitario. Tra le sue iniziative:

• creazione del Perimetro di Sicurezza Nazionale Cibernetica, che include enti pubblici e aziende strategiche (comprese le strutture sanitarie);
• definizione di standard minimi di sicurezza per i fornitori di servizi digitali in sanità;
• sostegno alla formazione e all’addestramento tramite cyber range e simulazioni di attacco;
• promozione di collaborazioni pubblico-privato con aziende del settore IT e università.

Tuttavia, la strada è ancora lunga. Molti enti non sono ancora pronti a rispondere a incidenti complessi o non dispongono di una governance interna della sicurezza.

Inoltre, servirebbe una maggiore armonizzazione a livello europeo, per evitare che le disparità tra Paesi (o addirittura tra ospedali di una stessa nazione) diventino un punto debole per l’intero ecosistema.

In sintesi, la cyber security sanitaria non può essere lasciata alla buona volontà delle singole strutture.

Occorrono regole chiare, ma soprattutto supporto operativo, fondi dedicati e un impegno politico trasversale per costruire una sanità digitale che sia davvero sicura per i cittadini.

Conclusioni

La cyber security in sanità non è più un optional. Proteggere le informazioni dei pazienti, garantire la continuità operativa delle strutture e prevenire disastri informatici deve essere una priorità assoluta per chi lavora nel settore.

Solo attraverso investimenti mirati, formazione continua e collaborazione tra pubblico e privato sarà possibile affrontare le sfide di una sanità sempre più digitale.

Domande e risposte

1. Perché la cyber security è importante in sanità?
   Perché tutela i dati sensibili dei pazienti e garantisce la continuità dei servizi sanitari.
2. Quali sono i principali rischi informatici per gli ospedali?
   Ransomware, phishing, accessi non autorizzati e vulnerabilità nei dispositivi medici.
3. Cos’è un attacco ransomware in ambito sanitario?
   È un attacco che blocca i sistemi chiedendo un riscatto per sbloccarli, con gravi rischi per la salute pubblica.
4. Quali dati sanitari sono più a rischio?
   Cartelle cliniche, diagnosi, terapie, referti e informazioni anagrafiche.
5. Cosa si può fare per proteggere le strutture sanitarie?
   Aggiornamenti software, segmentazione di rete, backup regolari e formazione del personale.
6. Il GDPR protegge anche i dati sanitari?
   Sì, impone standard elevati per il trattamento dei dati sanitari come dati personali sensibili.
7. Gli attacchi informatici possono mettere a rischio la vita?
   Sì, se bloccano sistemi vitali o impediscono interventi urgenti.
8. Chi è responsabile della sicurezza informatica in un ospedale?
   Il responsabile della sicurezza (CISO), in collaborazione con IT e direzione sanitaria.
9. I dispositivi medici connessi sono sicuri?
   Non sempre, molti non sono progettati con la cyber security in mente.
10. Come si forma il personale sanitario sulla sicurezza informatica?
    Con corsi periodici, simulazioni di attacchi e linee guida interne.