Due importanti nuovi studi – della americana Owen Graduate School of Management della Vanderbilt University e la britannica National Audit Office – hanno evidenziato gli effetti negativi che un data breach può avere su strutture ospedaliere e, di conseguenza, sulle persone.
Data breach e tassi di mortalità
Precisiamo fin da subito come il termine data breach sia stato da entrambi i gruppi di ricerca (uno negli Usa e l’altro nel Regno Unito) utilizzato ed inteso nella sua accezione più ampia. Non è quindi possibile identificarlo del tutto con il concetto di data breach derivante dalla lettura del GDPR in quanto, negli studi che riporteremo, con data breach si intende una qualsiasi violazione dei sistemi capace di compromettere i dati dell’ospedale, siano essi dati personali o meno.
Dallo studio effettuato dalla Owen Graduate School of Management della Vanderbilt University – analizzando i dati relativi ai tassi di mortalità di 3.000 ospedali – è emerso come, a seguito di data breach, vi siano stati fino a 36 decessi aggiuntivi ogni 10.000 attacchi di cuore.
In queste cliniche si sono difatti verificati ritardi di 2,7 secondi di media nella reazione a possibili attacchi di cuore. Un’eternità per persone che stanno subendo un infarto e che, magari, appartengono a categorie di soggetti particolarmente deboli. A tal riguardo, lo studio evidenzia ad esempio come, per i pazienti con sintomi indicativi di infarto miocardico, le linee guida raccomandino l’acquisizione e l’interpretazione dell’ECG entro 10 minuti dall’arrivo nel pronto soccorso. È quindi evidente come un abbassamento della reattività, anche di soli 3 secondi, possa essere associato ad un forte aumento della mortalità.
I tipi di violazione più comuni ai sistemi di cliniche ospedaliere
Ma andiamo per ordine. I ricercatori della Owen Graduate School si sono serviti di un database pubblico tenuto dalla Health and Human Services, al fine di esaminare i data breach denunciati dal 2012 al 2016.
Da tale esame è emerso come siano tre i tipi di violazione più comuni ai sistemi di cliniche ospedaliere:
- accesso non autorizzato;
- perdita di dati;
- furto di dati.
Non solo pericoli di carattere criminale, quindi, ma anche semplici accessi non autorizzati possono comportare un grave rischio per la salute delle persone.
Del resto, è pacifico che più sono grandi gli ospedali e più persone sono autorizzate ad accedere ai dati dei pazienti, creando più vulnerabilità interne.
I ricercatori hanno dimostrato come un accesso non autorizzato possa verificarsi anche per errore quando un soggetto senza privilegio acceda ad un database e modifichi inavvertitamente i dati riguardanti un paziente. Ciò, come è facile immaginare, può avere conseguenze molto rilevanti. Inesattezze o ritardi nelle informazioni sul paziente possono probabilmente interrompere il processo di cura e influire negativamente sugli esiti del paziente, causandone in alcuni casi la morte.
Le (delicatissime) fasi successive al breach
E’ interessante notare come questo studio statunitense abbia volutamente concentrato molta attenzione sulle fasi successive al breach, evidenziando come la reazione ad una violazione dei sistemi spesso sia dannosa e pericolosa tanto quanto la violazione stessa.
Come noto difatti, a seguito di un data breach, una delle prassi più comuni è quella di modificare i sistemi informatici utili alla gestione dei pazienti e delle procedure.
I ricercatori hanno tuttavia notato come tale miglioramento delle misure di sicurezza in risposta a una violazione dei dati abbia spesso rallentato o reso più macchinosa la gestione dei pazienti. Un processo nuovo, come anche un processo più complicato, riduce difatti la prontezza di risposta e genera errori che peggiorano la qualità delle cure fornite ai pazienti. L’installazione di un nuovo sistema IT, ad esempio, comporta per tutto il personale, la necessità di imparare a gestire ed organizzare il proprio lavoro. Gesti che di norma sono naturali, con il cambio di un sistema, possono diventare più difficili e, quindi più lenti.
E questo è un grosso problema quando, ogni secondo in più può influire sulla vita o la morte di un individuo. Non solo, i ricercatori evidenziano come – dato un orario, ad esempio, di 8 ore lavorative – ogni minuto passato sul terminale per imparare ad usarlo, comporti meno minuti passati con il paziente, diminuendo la soddisfazione di quest’ultimo.
Gli effetti di un attacco ransomware
Ma questo è ancora nulla rispetto ai disagi ed ai ritardi che potrebbe creare, ad esempio, un attacco ransomware.
In questi casi il rischio è quello di una interruzione momentanea dell’accesso ai server dell’ospedale, rendendo i dati dei pazienti non disponibili. Gravi attacchi di pirateria informatica possono costringere gli ospedali a tornare ai metodi antichi come carta e penna.
E’ successo anche quest’anno a Rouen, città della Francia dove, a causa di un malware, un intero ospedale si è ritrovato in una situazione di totale blocco dei sistemi informatici. I medici si sono così visti costretti ad ingegnarsi per aiutare i pazienti, ritornando alla carta e alla penna per aggiornare le cartelle cliniche e per fornire assistenza ai malati.
Il pericolo derivante dai malware è oggetto anche di un secondo studio, questa volta proveniente dall’UK, portato avanti dai ricercatori del National Audit Office i quali hanno investigato sugli effetti del malware “Wannacry” sul sistema sanitario britannico.
Da questa seconda analisi emerge come i sistemi infettati dal ransomware Wannacry abbiano subito due tipi principali di interruzione:
- Isolamento del personale. Il personale medico è stato difatti impossibilitato ad accedere ai sistemi elettronici, il che ha impedito o ritardato, tra l’altro, l’aggiornamento delle informazioni sui pazienti, l’invio dei risultati dei test ai medici generici e il trasferimento o la dimissione dei pazienti ad altre strutture;
- Isolamento del sistema. Anche le apparecchiature -al pari degli operatori sanitari- sono state del tutto scollegate dal resto della rete. Ciò significa che, ad esempio, i sistemi presso i dipartimenti di radiologia e patologia non hanno potuto proseguire correttamente la loro attività poiché il loro funzionamento si basava su dati allocati in altre parti del sistema.
Gli ospedali colpiti, si sono visti impossibilitati a gestire i pazienti dovendoli quindi dirottare presso altre strutture. Tra il 12 maggio e il 18 maggio 2017, NHS England (servizio sanitario statale britannico) ha stimato un numero di circa 6.912 visite cancellate. Tuttavia, anche a causa del breach, non è stato possibile raccogliere con precisione i dati su quanti appuntamenti sono stati cancellati per motivi diversi dall’attacco, non avendo nemmeno contezza del numero esatto di pazienti dirottati altrove, risultando difficile risalire al numero effettivo di pazienti non visitati a causa di Wannacry.
Abbiamo quindi visto che, come evidenziano le ricerche riportate, sono molto ampi i danni derivanti da un data breach. Danni relativi alla salute delle persone, alla qualità del servizio, ed infine, perché no, anche danni di carattere economico.
Come evitare danni da data breach
Come sarebbe stato possibile evitare tutto ciò?
Può sorprendere ma le risposte sono piuttosto semplici.
In primo luogo, tutto ciò non si sarebbe verificato se gli apparecchi ospedalieri fossero stati staccati dalla rete internet. Sembra banale, ma spesso, il funzionamento di macchine per eseguire ecografie e radiografie non necessità alcun collegamento ad internet. Ciò avviene per motivi vari, tra i quali, la velocità nell’analisi dei dati. Ma il prezzo di tale velocità è comunque quello di rendere l’intero sistema più vulnerabile (con conseguenti rallentamenti ancora più pericolosi).
Inoltre, anche qualora la connessione fosse necessaria per il funzionamento delle macchine, per evitare il ripetersi di episodi come quello causato da Wannacry, sarebbe sufficiente aggiornare i sistemi informatici.
Non è un caso se i ricercatori del National Audit Office britannico affermino:
“Non è possibile eliminare tutte le minacce informatiche, ma gli enti ospedalieri possono prevenire i danni attraverso una buona politica di sicurezza informatica. Ciò include la manutenzione dei firewall e dei software antivirus i quali devono essere aggiornati, nonché l’installazione degli aggiornamenti necessari”
In sostanza, la ricerca del National Audit Office, evidenzia come, con molta probabilità, Wannacry sia riuscito a colpire i sistemi del servizio sanitario britannico proprio a causa del mancato aggiornamento di alcune macchine.
Ancora una volta, sono i consigli più semplici a risultare i più efficienti.
