Bilanciare la profonda trasformazione digitale che ha investito il settore sanitario con la necessità di garantire la sicurezza informatica, implementando una strategia di gestione del rischio e di cyber resilience completa e lungimirante. E’ questa la sfida che la Smart Health dovrà affrontare nel 2023. La priorità consisterà nel comprendere come far fronte alle nuove sfide e minacce emergenti in tema Cybersecurity dopo che la pandemia ha costretto le aziende a trovare nuovi metodi digital-first per servire i propri clienti e ad adottare servizi di infrastrutture digitali per mantenere l’operatività aziendale.
Se, come rivela uno studio di KPMG, il 63% delle aziende sanitarie sta facendo progressi nel proprio percorso di trasformazione digitale rispetto al 44% delle aziende di altri settori, da altre ricerche è emersa un’altra realtà preoccupante che riguarda un aumento del 69% del volume di attacchi informatici, il più alto di qualsiasi altro settore. Questo a causa della profonda trasformazione che ha subito il settore sanitario, e che ha portato all’aumento dei servizi di telemedicina e all’incremento dell’adozione di partner SaaS, dispositivi IoT e infrastrutture digitali.
Preso atto di tutto ciò, Bitdefender, una delle aziende più note nel settore cybersecurity che offre soluzioni di prevenzione, rilevamento e risposta alle minacce in tutto il mondo, ha stilato una serie di previsioni per il 2023 sulla sicurezza informatica per il settore smart health.
Internet of Medical Things e telemedicina: focus sulla cybersecurity
Una cosa è certa. L’utilizzo dei dispositivi IoT in grado di generare, raccogliere, analizzare e trasmettere dati sanitari e dei servizi di teleassistenza e telemedicina è destinato ad aumentare. Questo tipo di assistenza sanitaria da remoto richiederà un monitoraggio continuo e dispositivi aggiuntivi in grado di trasmettere informazioni in modalità wireless e far parte della terapia complessiva del paziente, in una parola Internet of Medical Things (IoMT).
Purtroppo, l’uso di dispositivi IoT e di dispositivi medici connessi ha sempre rappresentato un rischio per le aziende del settore sanitario, a causa della scarsa sicurezza dei dispositivi stessi e del fatto che le aziende sanitarie in genere non prendono le precauzioni necessarie per ridurre al minimo il rischio di violazione. Inoltre, un hacker potrebbe essere in grado di attaccare la rete personale di un paziente, creando un nuovo potenziale rischio a livello legale per gli operatori sanitari.
E poiché i produttori prestano attenzione alla sicurezza, l’onere della protezione di questi dispositivi e delle reti di connessione ricadrà sui responsabili dei dipartimenti di sicurezza. I responsabili della sicurezza dovranno gestire un ambiente sempre più complesso e con numerosi dispositivi potenzialmente vulnerabili, garantendo al contempo che le nuove attività di assistenza da remoto e telemedicina non espongano l’azienda a rischi informatici, legali e di conformità.
Smart health: non solo ransomware, ma anche BEC, phishing e DDoS
Dopo lo scoppio della pandemia, gli attacchi ransomware hanno registrato un aumento vertiginoso, con un incremento del 105% nel 2021 e del 94% nell’ultimo anno per le aziende del settore sanitario. Nel 2023, tuttavia, Bitdefender suggerisce che potremmo assistere a un aumento meno spiccato della quantità di attacchi ransomware per diversi motivi. Il drastico calo del valore delle criptovalute, la forma di pagamento più comune per gli attacchi ransomware, potrebbe portare ad attacchi con un minore guadagno, data la volatilità dei prezzi delle criptovalute. Ma ciò non deve far abbassare la guardia, anzi.
Visto che l’aumento del ransomware è stato ben documentato e sia le aziende dei vari settori che i fornitori di sicurezza, gli strumenti e i partner hanno contribuito a ridurre al minimo il rischio e l’efficacia di questi attacchi. Fattori che potrebbero indurre gli hacker ad abbandonare il ransomware a favore di altri tipi di attacchi che potrebbero avere un tasso di successo più elevato. Parliamo di attacchi BEC, phishing e attacchi DDoS con riscatto, in cui gli hacker bloccano i server o il sito web di un’azienda fino al pagamento di un riscatto. Gli hacker sanno che il settore sanitario è un obiettivo molto appetibile, quindi potrebbe diventare il bersaglio principale di questi nuovi attacchi. Per questo motivo la strategia di sicurezza informatica delle aziende sanitarie non dovrà limitarsi al semplice ransomware.
Mancano i fondi, ma la cybersecurity è in cima alle priorità della smart health
Il settore sanitario ha sempre avuto problemi con la sicurezza informatica, soprattutto a causa della mancanza di priorità, risorse e leadership. Inoltre, negli ultimi anni sono aumentate la complessità e la superficie media di attacco e si sono registrate mosse molto più aggressive da parte degli hacker che hanno intensificato i loro attacchi, in particolare i ransomware.
Nonostante questi nuovi ed estesi fattori di rischio, poche aziende sanitarie hanno modificato la propria strategia e dedicato maggiori risorse alla sicurezza informatica e ai dipartimenti IT. Il settore sanitario non è preparato e non dispone di fondi sufficienti per combattere queste nuove minacce. Ad esempio, la spesa per la sicurezza informatica degli ospedali rappresenta in media solo il 5% della spesa IT.
Ma per il nuovo anno, gli esperti Bitdefender sono fiduciosi e prevedono che i responsabili del settore sanitario prenderanno finalmente provvedimenti, dedicando maggiori risorse alla sicurezza informatica e assumendo una posizione di leadership responsabile dello sviluppo di una strategia di cybersecurity completa che gestisca in modo proattivo il rischio, crei resilienza e fornisca all’azienda funzionalità di prevenzione, rilevamento e risposta. Sebbene non si tratti necessariamente di un nuovo ruolo, come quello di CISO, può essere parte di un ampliamento delle responsabilità del CIO, del CRO, del CTOO o di un equivalente organizzativo.
Servizi gestiti: una tendenza promettente
Nonostante la maggior priorità assegnata alla gestione della cybersecurity, dei rischi e delle minacce, l’incertezza economica e i timori di recessione porteranno probabilmente a bilanci più ristretti e a un maggiore controllo delle spese, con probabili ripercussioni sui reparti della tecnologia e della sicurezza informatica. Spesso, alla sicurezza informatica vengono inizialmente assegnate risorse minime ma l’analisi e la ricerca di BCG mostrano che, sebbene molti addetti agli acquisti in ambito IT temano una recessione, prevedono di aumentare la spesa, in particolare per i servizi digitali, compresa la sicurezza informatica.
Indipendentemente dal fatto che si destinino o meno più fondi alla sicurezza informatica, è importante essere attenti ai costi senza comprometterla. I responsabili del settore sanitario hanno individuato nei servizi gestiti un’opzione molto più interessante rispetto alla creazione di un dipartimento di sicurezza informatica che rischia di far lievitare i costi. Aumentare il numero di soluzioni e fornitori di sicurezza in un’azienda non avrà l’impatto desiderato se non c’è un dipartimento di sicurezza informatica disponibile a sfruttare al meglio gli strumenti.
Il ricorso a Managed detection and response (MDR), eXtended detection and response e l’affidarsi a un Managed security service provider (MSSP) costituiranno secondo Bitdefender una tendenza promettente che farà la differenza nel successo della strategia di cybersecurity di un’azienda sanitaria. Infatti, possono contribuire ad alleggerire l’onere di avere un dipartimento di cybersecurity interno e, al tempo stesso, garantire un supporto 24 ore su 24, 7 giorni su 7, che può essere fondamentale in caso di attacco. Si tratta di un modo economicamente vantaggioso per disporre di competenze proattive in materia di sicurezza per rilevare, correggere e neutralizzare gli incidenti di sicurezza informatica. Trovare un partner di cybersecurity che dia priorità a un rapido onboarding può aiutare un’azienda a ottenere una valorizzazione più rapida e in modo molto più efficace rispetto a una strategia interna.
