Le vulnerabilità cibernetiche delle strutture sanitarie. 
Profili giuridici e di cyber security.

Il concetto di minaccia trova la sua definizione nel testo del Nist 800-30 (Rif. 4) che la definisce come: «qualsiasi circostanza o evento che potrebbe avere un impatto negativo su operazioni organizzative e beni, individui, altre organizzazioni o nazione attraverso un sistema di informazione tramite accesso non autorizzato, distruzione, divulgazione o modifica di informazioni e/o negazione del servizio».

La minaccia nel contesto sanitario trascolora; infatti questa è passata dall’avere un carattere strettamente economico, basato sul furto di credenziali, ad avere un serio impatto sulla salute delle persone se veicolata per sfruttare le vulnerabilità delle apparecchiature sanitarie in senso lato.

La realizzazione di un furto di informazioni sullo stato di salute di un soggetto porta con sé numerose conseguenze. Sarebbe limitante concepire questo fenomeno alla stregua di un mero strumento di marketing, al contrario queste informazioni si prestano a divenire un mezzo che impatta sulla  vita delle persone; infatti questi pazienti diventano, con più frequenza di altri, destinatari di frodi assicurative, furti di identità, senza contare che molto spesso i dati sanitari sono  un utile strumento di social engineering.

Secondo alcuni dati statistici suddivisi per target del destinatario dell’attacco, circa il 9,5% del cybercrime riguarda l’ambito sanitario.

I principali vettori degli attacchi in questo settore sono: database (38%), traffico di rete (37%), condivisione di file (36%), email aziendali (36%).

Perpetrare un attacco nel settore sanitario  significa prendere il controllo di un dispositivo medico ed alterarne il normale funzionamento, significa infiltrarsi e rubare PHI di un paziente o mediante ransomware impedire il normale funzionamento di un sistema informatico di un ospedale con pesanti ricadute sulla salute delle persone. Nella realtà dei fatti vuol dire che un medico non può accedere ai dati del paziente oppure può venire in contatto con dati che sono stati volutamente alterati, inserendo, ad esempio, in una TAC una patologia inesistente.

Il concetto di sicurezza informatica è, sempre secondo il Nist,  la protezione offerta a un sistema informativo per conseguire gli obiettivi applicabili per preservare l’integrità, la disponibilità e la riservatezza delle risorse del sistema (hardware, software, firmware, informazioni/dati e telecomunicazioni).

E’ muovendo da questi concetti chiave che è possibile procedere con la disamina dei profili giuridici.