Indagine sui furti di dati in ambito medico

Verizon annuncia di aver rianalizzato i dati delle ultime edizioni (2016 e 2017) del suo Data Breach Investigations Report per produrre una versione incentrata specificamente sulle sfide del settore sanitario in materia di protezione dei dati, in particolare dei dati medici protetti o PHI (protected health information), siano essi informatizzati o meno. Il 2018 Protected Health Information Data Breach Report (PHIDBR) si basa su 1 368 incidenti in 27 paesi.

Oggi ci sembra del tutto accettabile che medici e professionisti sanitari abbiano pieno accesso alle nostre cartelle cliniche e alla nostra storia medica, perché ciò contribuisce a migliorare la qualità delle diagnosi e delle cure. Tuttavia, la natura sensibile di questi dati e l'enorme volume di informazioni detenute dal settore sanitario lo rendono un bersaglio attraente e redditizio per i criminali e impongono vigilanza.

Ecco le principali conclusioni del rapporto:
Il 58% degli incidenti rilevati coinvolgeva dipendenti complici. La sanità è l'unico settore in cui gli attori interni rappresentano la principale minaccia per l'organizzazione. Nel 48% dei casi sono motivati dal guadagno e utilizzeranno questi dati per frodi, in particolare per l'apertura di linee di credito presso una banca. Nel 31% dei casi sono spinti ad agire dal divertimento o dalla curiosità di consultare le cartelle cliniche di celebrità o di persone vicine. Nel 10% dei casi lo fanno semplicemente per semplificare o accorciare le procedure, per comodità.

Il 70% degli incidenti informatici che coinvolgono codice malevolo è costituito da infezioni da ransomware. Questa percentuale elevata conferma in questo settore ciò che si osserva ovunque: un ricorso crescente a questa pratica. L'edizione 2017 del Data Breach Investigations Report lo indicava già e gli attacchi informatici perpetrati in Europa a metà 2017 lo illustrano perfettamente.

Il 27% degli incidenti riguarda PHI stampate su carta. Che si tratti di prescrizioni trasferite tra strutture cliniche e farmacie, di estratti di fatturazione inviati per posta, di documenti di dimissione o certificati medici consegnati ai pazienti, o ancora di fotocopie di carte d'identità e assicurative, i documenti stampati prevalgono ancora spesso nel settore sanitario, più che altrove. La natura stessa della documentazione PHI detenuta e gestita dal personale medico porta a debolezze che si potrebbero prevenire. Nel 20% degli incidenti, dati sensibili sono semplicemente indirizzati male. Nel 15% si tratta di documenti gettati senza essere distrutti o resi illeggibili. Infine, il 8% degli incidenti è costituito da smarrimenti di documenti.

Il 21% degli incidenti coinvolgeva PC portatili smarriti o rubati contenenti dati PHI non cifrati. Sembra che il personale medico sia poco formato sulle misure di sicurezza elementari e che il ricorso alla cifratura dei dischi rigidi sia ben lontano dall'essere sistematico.

Prevenire a breve termine
Se i dati messi in luce in questo rapporto sono inequivocabili, misure rapide possono migliorare notevolmente la situazione a breve termine:

La cifratura integrale del disco rigido: questo metodo efficace e relativamente poco costoso aiuta a proteggere i dati sensibili dai criminali, in particolare in caso di smarrimento o furto del computer.

Il monitoraggio e la tracciabilità sistematica degli accessi alle cartelle: è possibile introdurre regole e procedure semplici per gestire gli accessi interni alle PHI. Tutti i dipendenti possono essere sensibilizzati tramite formazione sul fatto che, ogni volta che consultano dati di pazienti senza un motivo legittimo, possono essere valutate misure correttive.

Aumentare la resilienza contro i ransomware: assicurandosi che i terminali degli utenti non possano propagare e diffondere i ransomware sulle macchine critiche e applicando controlli preventivi e protezioni contro l'installazione di malware, è possibile limitare notevolmente i rischi. I dispositivi il cui funzionamento continuo è critico non devono essere collegati alla rete.

Prevenire a lungo termine
La messa in sicurezza dei dati PHI a lungo termine è fondamentale per il successo della trasformazione digitale della sanità e per la stabilità dei progetti di sviluppo che ne dipendono.

Restrizioni di accesso alle informazioni dei pazienti eccessivamente rigide possono incidere sulla capacità del personale sanitario di prendere rapidamente decisioni adeguate per le cure. Tuttavia, miglioramenti sono generalmente possibili senza ostacolare il lavoro dei team. Ad esempio, un'analisi approfondita e audit regolari dei diritti di accesso ai dati sensibili permetterebbero di mantenere la facilità di accesso per gli operatori sanitari, riducendo al tempo stesso gli accessi non necessari e quindi i rischi di consultazioni illegittime.

Le PHI elettroniche (ePHI) vanno monitorate con attenzione. Le compromissioni di dati ePHI riguardano la pubblicazione di dati sensibili su siti pubblici (7%) e gli errori di trasmissione via e-mail (7%); possono rappresentare un rischio o causare danni importanti, ma molto meno delle compromissioni associate ai documenti cartacei. Le organizzazioni dovrebbero adoperarsi per ridurre i dati PHI su carta e stabilire un programma olistico di gestione dei rischi che protegga non solo i dati ePHI, ma anche gli altri dati sensibili che archiviano e trattano.