Healthcare Infrastucture. Come proteggerle.

Healthcare Infrastucture. Come proteggerle.

Sei l’amministratore incaricato di fornire servizi IT in un ospedale. Una mattina, tutti i sistemi di monitoraggio al letto del paziente (i dispositivi simili a computer che mostrano i parametri vitali del paziente come battito cardiaco e pressione sanguigna) hanno smesso di funzionare. Dopo un’ulteriore ispezione, si nota che le funzioni critiche della terapia intensiva, come l’approvvigionamento di ossigeno e l’infrastruttura chiave per le operazioni chirurgiche, stanno diventando inattive una dopo l’altra. Ciò mette in pericolo la vita dei pazienti e invalida le procedure mediche. Vieni poi informato che il sistema HVAC dell’ospedale non funziona. Una persona anonima rivendica la responsabilità di questo attacco informatico. Obiettivo: la tecnologia operativa (OT) dell’ospedale. La persona chiede una notevole somma di denaro per riprendere i normali servizi ospedalieri.

Healthcare Infrastucture. Cos’è successo?

L’esempio sopra è un tipico progetto di un attacco informatico ai sistemi OT ospedalieri. Lo scenario di cui sopra può andare in profondità di un altro livello e influenzare i sistemi IT dell’ospedale. Mette in pericolo i registri ospedalieri e porta a una violazione dei dati sensibili. Sebbene gli attacchi informatici colpiscano i sistemi OT di diversi domini, dall’industria automobilistica all’aviazione, ultimamente, l’assistenza sanitaria è presa più di mira.

Healthcare Infrastucture. Cyberattacks.

Gli attacchi informatici “sanitari” non si limitano più all’IT. Man mano che i dispositivi medici e le infrastrutture diventano “più intelligenti”, aumenta anche la superficie di attacco per gli incident di sicurezza. Secondo un report, le organizzazioni sanitarie hanno registrato il costo medio più alto di una violazione dei dati per l’11° anno consecutivo. Il costo medio di una violazione dei dati sanitari è di 9,23 milioni di dollari, quasi il doppio di quello del settore finanziario (che si è classificato secondo in termini di costo della violazione dei dati). In media, nel 2021 si sono verificate circa due violazioni dei dati sanitari ogni giorno. Alcune delle cause più comuni di violazione sono state:

• E-mail aziendale compromessa.
• Server di rete violato.
• IT incident.

Tenendo presente quanto sopra, vediamo come ridurre al minimo le minacce informatiche che colpiscono i sistemi IT e OT della tua organizzazione sanitaria.

Healthcare Infrastucture. How to safeguard.

Facciamo di seguito una panoramica che permette di capire come salvaguardare la rete da potenziali attacchi.

Healthcare Infrastucture. Restrict device access.

Gli aggressori possono assumere il controllo delle strutture ospedaliere semplicemente collegando un dispositivo di memoria o un laptop e quindi eseguendo uno script che potrebbe rendere inutilizzabili le strutture sanitarie. Un modo per mitigare questo problema è bloccare l’uso di dispositivi di archiviazione esterni. Questo può essere fatto utilizzando una soluzione di controllo dei dispositivi che ti consente di tenere sotto controllo i dispositivi e le porte periferiche. Puoi anche controllare i dispositivi collegati e analizzare il comportamento degli utenti.

Healthcare Infrastucture. Configure access control.

Dal capo chirurgo all’infermiera più giovane, tutto il personale ospedaliero ha bisogno di un accesso rapido e facile ai dati per favorire un’esperienza positiva del paziente. Un adeguato controllo dell’accesso garantisce che ogni utente abbia la giusta quantità di accesso, riducendo la necessità di fornire l’accesso come amministratore. Se il personale sanitario ha bisogno di accedere a risorse che richiedono privilegi di amministratore, puoi elevare temporaneamente i suoi privilegi in modo che possa svolgere il proprio lavoro senza intoppi. Il controllo dell’accesso protegge i tuoi dati, fornisce responsabilità monitorando l’accesso degli utenti e garantisce la conformità alle normative IT.

Healthcare Infrastucture. Multi-factor authentication.

Con l’autenticazione a più fattori applicata, gli utenti dovranno fornire due o più livelli di autenticazione per accedere alle informazioni dell’organizzazione. In questo modo, anche se la password di un dipendente è compromessa, i suoi altri fattori di autenticazione impediranno agli attori delle minacce di accedere. Questi fattori di autenticazione aggiuntivi sono in genere una password monouso basata sul tempo, una scansione biometrica o un codice da un’app di autenticazione. L’autenticazione a più fattori offre moltissimi vantaggi ed è forse il meccanismo di difesa informatica più semplice che le organizzazioni possano impostare.

Healthcare Infrastucture. Encryption.

Crittografia dei dati significa semplicemente rendere le informazioni riservate della tua organizzazione, come le cartelle cliniche e i dati dei pazienti, illeggibili a chiunque non dovrebbe avervi accesso, come utenti non autorizzati o hacker. Ciò è particolarmente utile in caso di attacco ransomware. Anche se i tuoi dati sono compromessi, gli attori delle minacce non saranno in grado di divulgare il contenuto dei dati, mantenendo la tua organizzazione fuori pericolo: assicurati solo di disporre di dati di backup adeguati.

Healthcare Infrastucture. Automate patches.

Ci sono stati rapidi progressi nella tecnologia sanitaria, ma le organizzazioni sanitarie non possono permettersi di minimizzare il ruolo dell’applicazione di patch e mantenere aggiornato il proprio software. Più che applicare manualmente patch e aggiornamenti, è importante automatizzare questi processi per limitare l’esposizione alle vulnerabilità dell’IT sanitario. I sistemi senza patch rimangono uno dei principali bersagli degli attacchi informatici. L’installazione di patch e aggiornamenti software non appena vengono rilasciati è fondamentale.

Healthcare Infrastucture. Certified vendors.

Dalla comunicazione e dall’archiviazione su cloud alla fatturazione e al software IT, la tua organizzazione sanitaria utilizzerà una varietà di fornitori di terze parti per registrare, elaborare e archiviare informazioni critiche. Dall’altro lato, questi strumenti dovranno anche gestire le informazioni critiche sui pazienti provenienti da altre parti interessate come il team assicurativo o le istituzioni finanziarie. Qualsiasi punto debole in tutte queste interazioni con fornitori di terze parti può essere sfruttato dagli hacker e le informazioni possono essere utilizzate in modo improprio. Peggio ancora, se uno dei fornitori con cui lavori cade preda di un attacco informatico, è possibile che abbia un impatto anche sulla tua organizzazione.

Healthcare Infrastucture. HIPAA.

Un modo per eliminare questi ostacoli è verificare se il fornitore è conforme a HIPAA. Se un fornitore è conforme a HIPAA, segue un insieme standardizzato di misure di sicurezza per mantenere la riservatezza e la sicurezza delle informazioni sanitarie protette quando vengono trasferite, ricevute, gestite o condivise. Esistono altre normative di conformità come PCI DSS e NIST 800-171 che dispongono di una serie aggiuntiva di pratiche per salvaguardare le informazioni private.

Healthcare Infrastucture. Wrapping up.

Il settore sanitario non è mai stato così intensamente guidato dalla tecnologia. Dalla telemedicina alle mascherine in grado di rilevare circa 800 malattie, diventerà sempre più difficile gestire e proteggere questi dispositivi complessi. Quando l’OT sanitario era nella sua fase nascente, un modo per proteggere questi sistemi era isolarli dalla rete. Tuttavia, non è più così. Man mano che i sistemi IT e OT diventano più avanzati e svolgono un ruolo più importante nel migliorare le nostre vite, sarà interessante vedere come le nostre attuali soluzioni di gestione e sicurezza degli endpoint si evolvono per salvaguardare la prossima generazione di infrastrutture sanitarie.

Healthcare Infrastucture. ManageEngine.

ManageEngine offre Soluzioni complete e facili da utilizzare per risolvere anche i più complessi problemi di gestione IT. Permette di ottenere la massima sicurezza e disponibilità dei sistemi garantendo la miglior user experience possibile. Scopri tutta la nostra suite di prodotti su www.manageengine.it e se vuoi maggiori informazioni contatta gli specialisti di Bludis. Chiama lo 0643230077 o invia una e-mail a sales@bludis.it