Il tema del Cyber risk sta diventando sempre più attuale: sta passando “dalle stanze dell’intelligence” al grande pubblico e alla vita quotidiana di ciascuno di noi, sia a causa della massiccia diffusione dei device elettronici (Pc, Notebook, Smartphone, ecc.) sia per l’attenzione mediatica che viene tributata ai primi casi eclatanti di attacchi e violazioni informatiche, come quella recente di Wannacry.
In tale contesto la parola Cyber è diventata interessante, quasi “di moda”. Assunta tale sensibilità dell’opinione pubblica sorge però spontaneo chiedersi chi realmente conosca tutti i risvolti legati al Cyber Risk. Chi ha la responsabilità di gestire un’azienda e i dati dematerializzati che si accompagnano alla sua attività ha il dominio della sua rete informatica? Ha valutato il Cyber Risk? E gli stakeholder della sanità – il settore che in assoluto detiene i dati più sensibili – come si stanno muovendo?
Già da alcuni anni, all’interno degli ospedali, a seguito dell’implementazione della struttura IT e dei relativi dispositivi medici collegati, si è creato un nuovo mondo dove si è virtualizzato, o meglio dematerializzato, tutto quanto si è potuto, partendo dalle vecchie “lastre” diventate “Diagnostica per Immagini”, fino a giungere alla gestione delle registrazione dei dati dei pazienti per gli appuntamenti e le Cartelle Sanitarie Elettroniche; ovviamente poi si è connesso tutto alla rete per rendere disponibile a tutti gli interessati i dati acquisiti.
Questo nuovo universo generatosi da tale mole innumerevole di dati e informazioni che vorticosamente si rincorrono, si gestiscono all’interno dei software gestionali, si allegano in email, si condividono con i colleghi medici, si divulgano in forma anonima nei siti istituzionali costituisce certamente una ricchezza soprattutto per i benefici che apporta al settore – “dominare” questi dati significa produrre efficienza, liberare risorse, migliorare i servizi e le terapie. Tuttavia, in tale “rinascimento” informatico, citando la frase di Bruce Schneier, bisogna ricordarsi che “mentre un bene aziendale tangibile può essere protetto fisicamente in maniera più o meno agevole, la protezione dei dati rappresenta un’importante sfida per l’azienda. Essi, infatti, possono esistere in più posti contemporaneamente, possono essere trasferiti ovunque in un battito di ciglia ed essere sottratti senza che ci si possa accorgere del furto” – cosa particolarmente cruciale quando consideriamo le implicazioni etiche che devono muovere le Aziende Ospedaliere nell’esercizio delle loro attività e nella gestione del paziente, centro unico delle proprie scelte a qualsiasi livello aziendale.
Ebbene, considerato che i dati sono il nuovo petrolio della Digital Economy, e la sanità ne produce in grande quantità e con un livello di alta “sensibilità”, congiuntamente al salto tecnologico in atto che sta modificando in modo sostanziale le nostre vite, non si può più procrastinare il problema della digital security e della sicurezza dei dati all’interno dei nostri processi. Tutti gli studi condotti dagli esperti di settore, concordano che il 2016 è stato l’anno peggiore per la sanità, sotto questo punto di vista; infatti, nel 2016, il comparto sanitario ha fatto registrare il maggior numero di attacchi informatici a livello globale. Se nel primo semestre 2016, il cybercrime è cresciuto del 9% rispetto all’ultimo semestre del 2015, la sanità in particolare ha subito l’incremento percentuale più elevato di attacchi (+144%) con finalità di furto dati ed estorsione. Anche in Italia si contano, ormai, numerose strutture sanitarie vittime di campagne di ransomware: così vengono chiamati i software nocivi che infettano i sistemi informatici, criptando i dati fino al pagamento di un riscatto. Ma c’è di più. In molti casi, la violazione avviene in modo più invisibile e subdolo, tanto che le vittime si accorgono di aver subito un furto solo a distanza di tempo (fino a 180/200 giorni). Nel frattempo, la minaccia resta silente all’interno della struttura, raccogliendo dati e informazioni. A tale minaccia vanno aggiunti i malaware, i virus, i trojan, i cyberattacchi. Si capisce come il potenziale di danni concreti a livello personale o sistemico sia spaventoso. Siano essi motivati da ragioni politiche o da profitti o ancora dall’intenzione di creare il caos, il costo dei cyberattacchi ha superato i 400 miliardi di dollari l’anno, una cifra più alta del prodotto interno lordo di circa centosessanta dei centonovantasei paesi del mondo. Per questo, accanto ai player della sanità, le istituzioni sono chiamate a definire, tra gli obiettivi prioritari, l’impatto che la sicurezza dei dati avrà su tecnologie come Big Data, l’Internet of Things, le Apps ed i Cloud Computing. E’ in questo contesto che devono rivolgere il loro operato al fine di creare le regole per una corretta, e sicura, gestione dei dati che i cittadini quotidianamente condividono, garantendone al contempo la confidenzialità, l’inviolabilità e la protezione. Ciò pone le basi per stabilire un nuovo patto tra Amministrazione e cittadino che offra un’innovativa fruibilità e condivisione dei dati per aumentare la qualità dei servizi offerti e la loro sostenibilità nel tempo.
Per muovere i primi passi in questo senso abbiamo sentito la necessità d promuovere a Milano, lo scorso 12 aprile, nell’Auditorium Giovanni Testori di Palazzo Lombardia, il I Convegno nazionale su “Cyber Risk in sanità” sul quale si sono confrontati tra i principali esperti del settore in Italia: oltre agli interlocutori “istituzionali” come AIOP, Regione Lombardia, Assolombarda, abbiamo incontrato il know-how tecnico e l’apporto nei vari campi – informatico, assicurativo, legale di alcuni player fondamentali come Samsung, AON, Reply, Siemens, Microsoft, Carnelutti Studio Legale Associato, per porre le basi di un approccio condiviso che metta competenze pubbliche e private al servizio della comunità.
