Digital Health Podcast: cyber-rischi per ospedali e dispositivi medici

Una rete wireless aperta in un ospedale tedesco ha permesso l'accesso non autorizzato a infrastrutture critiche, comprese le porte che portano alle sale operatorie e ai reparti di emergenza. Un informatore ha avvisato i media online della vulnerabilità, che è stata successivamente verificata in loco. Il sistema si basava su credenziali predefinite, con sia il nome utente che la password impostati su admin, una configurazione esplicitamente documentata nel manuale del dispositivo. Sebbene l'ospedale fosse stato avvisato del difetto in precedenza, il personale inizialmente ignorò l'avvertimento. L'azione è stata intrapresa solo dopo un'indagine dei media, anche se i programmi delle vacanze hanno ritardato l'immediata chiusura del gap di sicurezza.

Una dichiarazione dell'ospedale riguardo all'incidente deve ancora essere rilasciata. Martin Tettke, ex responsabile della certificazione per dispositivi medici presso la Berlin Cert GmbH che attualmente lavora nella divisione di rete e sicurezza dell'Istituto federale per la valutazione dei rischi, ha discusso il caso in un podcast sulla salute digitale. Ha descritto la situazione come un fallimento a più livelli di responsabilità. I fornitori di servizi non dovrebbero mai consegnare sistemi con dati di accesso standard intatti. Gli ospedali, a loro volta, devono verificare che i requisiti di sicurezza di base siano soddisfatti durante i test di accettazione. Tettke ha etichettato questo caso specifico come un chiaro fallimento organizzativo.

Ha osservato che le reti per l'amministrazione, la tecnologia medica e il controllo degli accessi richiedono una severa separazione. La direzione dell'ospedale è responsabile in tali casi. Rischi aggiuntivi derivano dalle tecnologie informatiche ombra, in cui i dipendenti collegano punti di accesso wireless personali alle reti istituzionali. I rappresentanti dell'Associazione degli IT ospedalieri hanno lamentato in primavera che molte cliniche non dispongono dei fondi e del personale necessari per dare priorità a questi rischi in modo efficace. Le cliniche devono capire quali processi operativi dipendono da sistemi specifici. Ad esempio, il guasto di un server di posta elettronica comporta conseguenze diverse rispetto al guasto di una macchina cuore-polmone connessa.

I produttori e i fornitori di servizi devono considerare le esigenze degli operatori, utilizzando potenzialmente schede software di materiali simili a quelli utilizzati nello sviluppo di prodotti medici. I rapporti indicano che la complessità della conformità informatica per gli ospedali è in aumento. I team informatici dovrebbero essere coinvolti fin dall'inizio nel processo di appalto dei nuovi dispositivi. Secondo Tettke, il panorama delle minacce è cambiato in modo significativo. In precedenza, c'era tempo sufficiente per riparare le vulnerabilità dopo la divulgazione. Oggi, le organizzazioni devono valutare immediatamente se sono già state compromesse. La confezione dopo due o tre giorni è probabilmente troppo tardi.

Mentre i modelli di intelligenza artificiale aiutano gli aggressori, possono anche essere utilizzati per verificare le reti interne. Una recente simulazione di crisi condotta dai ricercatori della Fraunhofer ha dimostrato l'imprevedibile dinamica degli attacchi informatici contro gli ospedali. Una risposta rapida richiede personale addestrato. Tettke ha sostenuto che l'alto costo e la scarsità di lavoratori qualificati sono giustificazioni deboli per trascurare la sicurezza, osservando che un singolo incidente di sicurezza costa multipli dell'assunzione di uno o tre nuovi dipendenti. Ha ricordato un'esperienza in cui i servizi di radiologia erano stati interrotti per una settimana in un ospedale a causa di un problema tecnico.