Testo a cura di Domenico Dominoni, Director of Sales South Europe di Claroty.
Tradizionalmente, i dispositivi medici coinvolti nei processi fisici venivano “isolati” dalle reti informatiche sanitarie o da Internet, ma la crescente interconnettività dei sistemi cyber-fisici, legata alla trasformazione digitale, ha dato origine all’Extended Internet of Things (XIoT), che comprende tutti i dispositivi connessi all’interno di una rete.
L’XIoT amplia notevolmente l’efficienza e i vantaggi in termini di prestazioni delle aziende sanitarie, ma ha inevitabilmente creato nuovi rischi informatici che devono necessariamente essere arginati. In questo contesto, le aziende sono chiamate a comprendere al meglio qual è la portata di ciò che devono proteggere. Non è un segreto che, negli ultimi anni, la sanità sia diventata uno dei settori più presi di mira dai criminali informatici. Gli ultimi dati CLUSIT, infatti, riportano che gli attacchi alla sanità sono al secondo posto tra quelli più diffusi, con il 12% del totale.
La crescita rapida e incontrollata della digitalizzazione ha sicuramente colto impreparato il settore. Per aiutare le organizzazioni sanitarie a contrastare queste crescenti minacce informatiche, Claroty si è dedicata a chiarire il ruolo dell’IoMT, i potenziali pericoli che potrebbero essere causati da questi attacchi e gli errori più comuni commessi nel tentativo di gestire il rischio.
Il ruolo di IoMT e OT
L’Internet of Medical Things (IoMT) si riferisce a dispositivi e applicazioni connessi che vengono direttamente impiegati nella cura del paziente, come apparecchiature per la risonanza magnetica, scanner TC e macchinari per il monitoraggio dei segnali vitali. I dispositivi IoMT verranno poi a loro volta connessi ad altre risorse all’interno del più ampio XIoT sanitario.
A differenza dei dispositivi IT convenzionali, molti dispositivi IoMT interagiscono direttamente con il mondo fisico e possono quindi essere considerati sistemi cyber-fisici. Per fornire due esempi, le pompe per infusione regolano l’erogazione di farmaci di supporto vitale e i defibrillatori cardioverter impiantati erogano scariche elettriche e riportano il cuore ai ritmi normali.
Oltre ai dispositivi IoMT, vengono utilizzati anche altri tipi di OT per supportare i processi sanitari critici, inclusi PLC, RTU e sistemi di gestione degli edifici che controllano la filtrazione dell’aria, l’alimentazione, la refrigerazione dei vaccini e molto altro ancora. Tipicamente gestito da ingegneri delle strutture, OT spesso sfrutta le connessioni interne alle workstation di progettazione a cui è possibile accedere in remoto per la manutenzione.
La posta in gioco
Visto il delicatissimo ambito di utilizzo, la posta in gioco è davvero alta quando si tratta di mettere in sicurezza le operazioni legate al settore sanitario. Un guasto o un’interruzione di servizio comportano, infatti, un’elevata pericolosità: una diagnosi ritardata o errata, infatti, potrebbe addirittura causare la morte di un paziente.
Gli hacker white-hat, ad esempio, sono stati in grado di prendere il controllo su dispositivi IoMT aumentando i dosaggi o manipolando shock che potrebbero provocare una morte improvvisa, dimostrando così le vulnerabilità legate a tali macchinari. Fortunatamente, tali attacchi non sono ancora mai stati messi in pratica nella realtà, tuttavia la loro comprovata fattibilità attesta l’urgenza di mettere in sicurezza l’XIoT sanitario.
Errori comuni e considerazioni chiave
Il Center for Medicare and Medicaid Services (CMS) ha incaricato la Joint Commission di avviare audit sulla sicurezza informatica per i dispositivi medici dal quale sono emersi gli errori più comuni commessi dalle organizzazioni sanitarie.
Nello specifico questi errori possono essere riassunti nell’utilizzo degli strumenti di sicurezza IT esistenti si rivelerà sempre un approccio fallimentare, in quanto sono fondamentalmente incompatibili con i protocolli e i flussi di lavoro utilizzati dai sistemi cyber-fisici: in molti casi, questi non sono nemmeno in grado di identificare molti dei dispositivi e delle risorse presenti sulla rete, tantomeno sono in grado di proteggerli. E nell’utilizzo di disparati e specializzati strumenti per gestire e proteggere i sistemi cyber-fisici separatamente dai sistemi IT. Questo approccio ingombrante e inefficiente crea inevitabilmente costose spese generali di gestione e lacune di visibilità.
Per evitare questi errori è utile tenere a mente che a differenza dell’IT, i dispositivi XIoT interagiscono con il mondo fisico. Questo aumenta la posta in gioco per potenziali implicazioni di rischio, soprattutto in un ambiente sanitario dove la vita dei pazienti dipendere dall’affidabilità del dispositivo. Inoltre, l’esperienza maturata nell’ambito della sicurezza IT non è applicabile all’XIoT, per questo motivo anche le figure più esperte in questo campo dovrebbero approcciarsi all’XIoT da principianti. Infine, è importantissimo essere consapevoli che i tradizionali dispositivi per la sicurezza informatica IT sono incompatibili con l’XIoT e il tentativo di utilizzarli probabilmente farà più male che bene. Per proteggere adeguatamente il proprio XIoT, le organizzazioni sanitarie necessitano di una tecnologia di sicurezza cyber-fisica appositamente progettata.
Con queste premesse, la soluzione ideale è quella di affidarsi a un approccio unificato che faccia leva su un’ampia conoscenza del dominio dei sistemi e dei flussi di lavoro alla base di ogni verticale e ambiente sfruttato all’interno della rete aziendale. Inoltre, importantissimo è introdurre funzionalità avanzate, tra cui visibilità a spettro completo, gestione dei rischi e delle vulnerabilità, rilevamento delle minacce e controlli di accesso remoto sicuri, tutte caratteristiche che possono integrarsi perfettamente con lo stack tecnologico esistente.
Viste le sfide alla sicurezza guidate dalla trasformazione digitale e dall’evoluzione delle minacce informatiche, non esiste ancora una soluzione semplice per garantire un’assistenza sanitaria affidabile. È necessario, però, che i team di sicurezza che operano in questo settore comprendano che ormai sono sempre più necessarie competenze esterne e strumenti specializzati per proteggere adeguatamente l’XIoT, e di conseguenza che è fondamentale avviare processi critici per farlo.
