Proteggere gli ospedali dagli attacchi informatici: gli obiettivi della nuova Cyber Security Strategy dell'NHS

La crescente attenzione dei cybercriminali verso il NHS rappresenta una minaccia diretta alla vita delle persone. Le numerose organizzazioni del sistema sanitario devono garantire la massima tutela possibile della privacy dei propri pazienti, un'obiettivo al quale intende contribuire il nuovo NHS Cyber Strategy promosso dal governo britannico. La strategia di Cyber Security per la Sanità e l'Assistenza Sociale mira a raggiungere la resilienza al cyber attacco entro il 2030 rendendo la sicurezza informatica una priorità per supportare la tecnologia emergente, ma soprattutto per minimizzare l'impatto e il tempo di recupero da eventuali incidenti. Ma come è possibile raggiungere questi obiettivi? Per garantire una maggior sicurezza informatica, le organizzazioni del sistema sanitario devono attuare migliori pratiche di sicurezza, in grado di proteggere i loro sistemi e i dati estremamente sensibili che detengono. In particolare, quattro sono le pratiche da adottare:

Abbracciare il principio del minor privilegio

Si inizia con l'implementazione del principio del minor privilegio, uno dei principi fondamentali di Zero Trust. Questo è vitale in quanto garantisce agli utenti l'accesso solo ai software, sistemi di elaborazione e/o applicazioni necessari per svolgere il proprio lavoro; essi non devono essere in grado di accedere all'intera rete aziendale. Questo approccio non solo contribuisce a garantire la sicurezza dei datilimitando il potenziale danno che potrebbe essere causato dagli attacchi, ma può anche migliorare la produttività, semplificando le attività digitali di ogni dipendente.

Eliminare i dispositivi non gestiti

Il principio del minor privilegio deve poi essere affiancato dalla gestione efficace dei dispositivi utilizzati per accedere alle reti. I dispositivi non gestiti possono ridurre la visibilità e indebolire i protocolli di sicurezza, espandendo le vulnerabilità di un'organizzazione, consentendo ai criminali informatici di sfruttare gli endpoint degli utenti molto più facilmente. Garantire che solo i dispositivi approvati dall'IT abbiano accesso alla rete è di fondamentale importanza.

Crittografare i dati come standard

Tutti i dati devono essere crittografati sui dispositivi gestiti come standard e, se possibile, anche attraverso l'hardware, poiché in genere offre una maggiore sicurezza rispetto alla crittografia software. I dispositivi di archiviazione USB con crittografia dell'hardware autenticati tramite tastierino PIN possono offrire il più alto livello di protezione dei dati eliminando il rischio di keylogging, screen capture e rimuovendo anche le restrizioni specifiche dell'utilizzo del sistema operativo. In questo modo è possibile limitare eventuali errori umani e assicurarsi di mantenere la conformità con la moderna legislazione sulla sicurezza.

Implementare una solida strategia di backup

La resilienza al cyber attacco è importante, ma deve essere accompagnata da una pratica di recupero efficace che consenta alle organizzazioni sanitarie di rispondere in modo efficace erapido, nel caso si verifichi una violazione dei dati. In questo caso, è necessario implementare una strategia di backup, che si basi idealmente sulla regola del 3-2-1, ovvero conservare almeno tre copie dei dati, su almeno due supporti diversi, di cui almeno una copia conservata fuori sede. Disporre di copie di backup fisiche, anche se si fa affidamento su soluzioni di cloud storage, è essenziale nel caso in cui il fornitore cloud abbia dei problemi tecnici e/o subisca una violazione dei dati. Con tutti questi accorgimenti le organizzazioni saranno in grado di facilitare un ripristino veloce e affidabile ai fini della loro operatività.

Conclusioni

Ovviamente, la nuova Cyber Security Strategy per la Salute e l'Assistenza Sociale è molto più complessa di quanto appena descritto. La consapevolezza, l'educazione e la formazione, ad esempio, rappresentano uno strumento utile per ridurre eventuali negligenze connesse alle violazioni. Questi sono sforzi che devono anche essere sostenuti dai giusti protocolli, processi e tecnologie per limitare la responsabilità dei dipendenti, minimizzare gli errori umani e promuovere le migliori pratiche di sicurezza. Adottando gli strumenti, le competenze e le soluzioni giuste, le organizzazioni sanitarie possono fare semplici, ma importanti passi avanti per garantire la massima sicurezza informatica. Queste quattro pratiche sono il punto di partenza per realizzare una sicurezza multilivello efficace, in grado di limitare le moderne minacce informatiche. In conclusione, le organizzazioni sanitarie devono proteggere i propri pazienti adottando tutte le misure necessarie per proteggere i propri dati e sistemi. Garantire la sicurezza informatica non è facile, ma è necessario per evitare conseguenze pericolose per le persone coinvolte. Con queste buone pratiche, le organizzazioni sanitarie diventeranno resilienti al cyber attacco in modo che anche in caso di eventuali violazioni, saranno in grado di reagire in modo rapido ed efficace per ripristinare la sicurezza dei propri sistemi e garantire la tutela della sfera privata dei pazienti.