La trasformazione digitale del settore sanitario, che sta determinando un aumento della disponibilità di servizi di telemedicina e l’incremento dell’adozione di dispositivi IoT e di infrastrutture digitali, è all’origine dell’alto numero di attacchi informatici subito dagli attori che operano in questo comparto. Infatti, secondo un’indagine realizzata da Sophos, azienda attiva nel settore della sicurezza cibernetica, le aziende del settoresophos life science hanno registrato un aumento del 69% del volume di attacchi informatici: si tratta del maggiore incremento fra tutti i comparti produttivi.
Questo dato evidenzia quanto sia importante la sicurezza informatica per tutti i soggetti che operano nell’ambito della digital health, cercando di prevedere anche quali possano essere le possibili minacce all’integrità dei propri sistemi. Per rispondere a questo bisogno, Bitdefender, la nota azienda attiva nel settore della cyber security, ha stilato le sue previsioni per il 2023 in relazione alla sicurezza informatica per il settore sanitario.
L’uso di dispositivi IoT e di dispositivi medici connessi alla rete ha sempre rappresentato un rischio per le aziende del settore sanitario, a causa della scarsa sicurezza dei device e della mancanza delle necessarie precauzioni che le aziende sanitarie dovrebbero adottare per ridurre al minimo il rischio di violazioni alla sicurezza informatica.
Aumento dell’uso di dispositivi e servizi, aumento dei rischi
Nonostante la presenza di questi rischi e della consapevolezza della loro esistenza, l’utilizzo dei dispositivi IoT è destinato ad aumentare, e l’onere della protezione loro e delle reti di connessione ricadrà sui responsabili dei loro dipartimenti di sicurezza delle aziende produttrici di medical device.
Anche i servizi di teleassistenza e telemedicina registreranno un incremento nel loro utilizzo, e richiederanno quindi un monitoraggio continuo e l’impiego di ulteriori dispositivi in grado di trasmettere informazioni in modalità wireless. E’ pertanto importante che le aziende del settore sanitario non cadano anch’esse nella stessa trappola nella quale sono incorse quelle dei dispositivi medici. Ciò significa non ignorare i potenziali danni per la sicurezza, soprattutto perché un hacker potrebbe, ad esempio, essere in grado di attaccare la rete personale di un paziente, creando un nuovo potenziale rischio a livello legale per gli operatori sanitari.
Nel prossimo futuro, quindi, i responsabili della sicurezza dovranno gestire un ambiente sempre più complesso e con numerosi dispositivi potenzialmente vulnerabili. In questo contesto dovranno essere in grado di garantire che le nuove attività di assistenza da remoto e telemedicina non espongano l’azienda a rischi informatici, legali e di conformità.
L’evoluzione degli attacchi ransomware
Dopo lo scoppio della pandemia, gli attacchi ransomware contro le aziende del settore sanitario hanno registrato un aumento vertiginoso, con un incremento del 105% nel 2021 e del 94% nell’ultimo anno. Tuttavia, nel 2023 ci potrebbe essere sì un aumento nella quantità di questo tipo di attacchi, ma con un delta meno elevato rispetto al passato.
I motivi di questo possibile rallentamento sono diversi, ma si ritiene che il drastico calo del valore delle criptovalute, la forma di pagamento più comune richiesta da coloro che eseguono degli attacchi ransomware, possa influire in quanto gli attacchi che saranno eventualmente effettuati potrebbero generare un minore guadagno rispetto agli anni passati.
Inoltre, l’incremento degli attacchi ransomware in generale è stato ben documentato e sia le aziende dei vari settori che i provider di sicurezza, gli strumenti e i partner hanno contribuito a ridurre al minimo il rischio e l’efficacia di questi attacchi.
Tuttavia, questi fattori potrebbero indurre gli hacker ad abbandonare il ransomware a favore di altri tipi di attacchi che potrebbero avere un tasso di successo più elevato: attacchi BEC, phishing e attacchi DDoS con riscatto, in cui gli hacker bloccano i server o il sito web di un’azienda fino al pagamento di un riscatto.
Gli hacker sanno che il settore sanitario è un eccellente obiettivo, quindi potrebbe diventare il bersaglio principale di questi nuove tipologie di attacchi: ciò spiega il motivo alla base della necessità che la strategia di sicurezza informatica delle aziende sanitarie non sia limitata al semplice ransomware.
La bassa priorità assegnata alla questioni relative alla cyber security
Occorre però sottolineare che i problemi con la sicurezza informatica riscontrati dagli attori del settore sanitario sono stati dovuti, in particolare, alla scarsa priorità che è stata assegnata ad essi in termini di risorse e leadership. In più, a rendere ancora più difficoltoso il quadro, negli ultimi anni sono aumentate la complessità, la profondità e l’aggressività degli attacchi da parte degli hacker.
Ancora oggi, nonostante si abbia piena coscienza di questi fattori di rischio e di quanto sia importante porvi rimedio, poche aziende sanitarie hanno modificato la propria strategia e dedicato maggiori risorse alla sicurezza informatica e ai dipartimenti IT.
Infatti, il settore sanitario non è preparato e non dispone di fondi sufficienti per combattere queste nuove minacce: a riconferma di ciò Bitdefender quantifica nella misura del 5% la quota di spesa che la dirigenza degli ospedali dedica alla sicurezza informatica sul totale della spesa IT.
La sfida posta dalla recessione
Una situazione non proprio rassicurante, anche se gli analisti di Bitdefender ritengono che nel corso del 2023 i responsabili del settore sanitario dedicheranno maggiori risorse alla sicurezza informatica e allo sviluppo di una strategia di cybersecurity completa, capace di gestire in modo proattivo il rischio, crei resilienza e fornisca all’azienda funzionalità di prevenzione, rilevamento e risposta.
In realtà tutto dipenderà da come evolverà il ciclo economico: infatti, nonostante la maggior priorità assegnata alla gestione della cybersecurity, se i timori di recessione dovessero avverarsi, probabilmente le aziende disporranno di meno risorse in bilancio, con probabili ripercussioni anche sui reparti della tecnologia e della sicurezza informatica.
Questo significa che con l’anno appena iniziato le aziende sanitarie si troveranno impegnate nella sfida di non compromettere l’efficacia della sicurezza informatica gestendo però un budget ridotto.
