Cybersicurezza nel settore sanitario piemontese

Torino, 17 febbraio 2025 – Si è svolto oggi pomeriggio, presso la Regione Piemonte, il convegno “La cybersicurezza nel settore sanitario”, organizzato in collaborazione con l’Agenzia per la Cybersicurezza Nazionale (ACN).

L’obiettivo dell’incontro è stato quello di sensibilizzare l’istituzione regionale e in particolare i dirigenti delle strutture sanitarie sul tema della cybersicurezza, fornendo strumenti utili e diffondendo le linee guida operative specifiche per la Sanità redatte dall’ACN.

Il Piemonte è tra le prime Regioni da cui parte questo progetto, all’interno di un’ampia campagna nazionale che nei prossimi mesi toccherà tutti gli enti territoriali italiani.

All’evento hanno partecipato il presidente della Regione, Alberto Cirio; il vicedirettore generale dell’Agenzia per la Cybersicurezza Nazionale, Nunzia Ciardi, l’Assessore alla Sanità della Regione Piemonte Federico Riboldi.

Quello sanitario è un settore particolarmente critico dal punto di vista della sicurezza e della resilienza cyber, sia per i servizi essenziali forniti che per i dati sensibili trattati, con conseguenze potenzialmente molto rischiose in caso di attacco, che possono portare al blocco di sale operatorie, terapie intensive e centri trasfusionali.

«Il Piemonte è pronto ad affrontare la sfida della cybersicurezza in ambito sanitario nella consapevolezza che si tratta di un settore particolarmente sensibile. Siamo al fianco dell’Agenzia per la cybersicurezza nazionale per aumentare il livello e proteggere i dati dei pazienti e dei cittadini piemontesi. La collaborazione con l’ACN, e con soggetti del territorio quali Azienda Zero e CSI Piemonte può diventare il fulcro di una strategia integrata di difesa, riducendo il rischio cyber e costruendo un sistema sanitario più sicuro» dichiarano il presidente della Regione Piemonte Alberto Cirio e l’assessore alla Sanità Federico Riboldi.

«Proprio in questi giorni la Regione sta finalizzando le procedure per l’adeguamento alla nuova normativa di sicurezza NIS2 – hanno aggiunto Cirio e Riboldi – per arrivare in tempo alla scadenza del 28 febbraio rispetto alla quale abbiamo sollecitato anche tutte le aziende sanitarie e ospedaliere del Piemonte. L’adeguamento è infatti fondamentale per il Piemonte, perché consentirà di rafforzare la resilienza informatica delle aziende sanitarie, proteggere maggiormente i dati sensibili e garantire la continuità operativa dei servizi essenziali».

«Il settore sanitario, complice anche l’utilizzo malevolo dell’IA da parte dei cybercriminali, è sempre più esposto alla minaccia cibernetica: ospedali, RSA, pronto soccorso, nessuna struttura sanitaria può dirsi davvero esente dal rischio cyber – ha spiegato il vice direttore generale dell’Agenzia per la Cybersicurezza nazionale Nunzia Ciardi – Questo significa che, non solo la salute dei pazienti, ma anche i loro dati più critici e sensibili sono costantemente a rischio. Si pensi che, nei primi sei mesi del 2024, gli attacchi a questo settore sono aumentati del 50%, facendone il più colpito a livello globale. Non è un problema del nostro Paese. È una tendenza che caratterizza tutte le società più avanzate, dove gran parte della vita pubblica e privata si è spostata online, estendendo enormemente la superficie d’attacco. L’interazione tra sicurezza, salute e digitalizzazione è infatti sempre più stretta: si parla oggi di “cyberbiosecurity”, a dimostrazione di come i diversi piani non siano più nettamente separabili. È questo un dato che non possiamo permetterci di sottovalutare. Soprattutto quando c’è in gioco la vita delle persone. Consapevoli di ciò ci sono già stati diversi, fondamentali, importanti interventi normativi, come la Direttiva NIS2 e la Legge n. 90/2024. Ma regolare, pur essendo importante, non basta: bisogna puntare su un approccio sistemico, diffuso, integrato; bisogna puntare sulla formazione, a tutti i livelli e in tutti i gradi di istruzione; e bisogna puntare, in primis, sulla consapevolezza: primo, vero argine contro le minacce cyber, in ogni settore e ad ogni latitudine».

Durante il convegno è stato presentato l’ultimo report dell’ACN sulla minaccia cibernetica al settore sanitario. I dati evidenziano come in Italia si sono verificati più di 25 eventi ransomware ai danni di questo delicato settore, interessando quasi 51 tra strutture sanitarie, presidi ospedalieri e servizi sanitari sul territorio. La sanità, nel 2023, si colloca al terzo posto tra i comparti più colpiti, dopo il manifatturiero e la vendita al dettaglio. Nel 2023, l’Italia è quindi risultata il terzo Paese UE (dopo Germania e Francia) e il sesto a livello globale, più colpito da ransomware.

Sybersicurezza nel settore sanitario: la situazione in Piemonte

In Piemonte come nel resto d’Italia il settore sanitario è sempre più esposto alle minacce informatiche, con attacchi mirati che evidenziano vulnerabilità nei sistemi IT. Episodi recenti di ransomware a livello nazionale hanno causato il blocco di servizi essenziali, mettendo a rischio la continuità dei servizi offerti dalle strutture sanitarie e la sicurezza dei dati sensibili.

La sicurezza informatica dei dati di Regione Piemonte è affidata al Csi, che che gestisce oltre 18 mila postazioni protette e solo nel 2024 il CSI ha fatto 658 vulnerability assessment (Servizi per valutare la sicurezza delle infrastrutture e delle applicazioni IT). In particolare il Csi è dotato di una serie di misure di sicurezza sia organizzative che tecniche che si articolano in:

* un SOC (Security Operations Center) e un CSIRT (Computer Security Incident Response Team): abbiamo un centro operativo dedicato alla sorveglianza continua delle minacce, all’analisi delle vulnerabilità e alla risposta tempestiva agli incidenti.

* un Data Center e il Cloud Nivola certificati secondo i requisiti di AgID e ACN che definiscono misure di sicurezza specifiche per la gestione e conservazione di dati ordinari e critici.

* una Service Control Room: uno spazio di 350 mq ad accesso controllato con due aree operative e due videowall per il monitoraggio dei servizi h24

* far parte di Trusted Introducer, la comunità internazionale degli Incident Response Team e collaboriamo con lo CSIRT nazionale nello scambio di informazioni circa le minacce cyber e la gestione degli incidenti

* soluzioni integrate di cybersecurity: offriamo piattaforme che combinano monitoraggio, analisi predittiva e sistemi di allerta per anticipare le minacce e proteggere i dati.

* consulenza e formazione: collaboriamo con gli enti per migliorare i loro processi di sicurezza, sviluppare policy robuste e offrire percorsi formativi personalizzati.

* programmi di simulazione: coinvolgono scenari complessi, ispirati a minacce reali come attacchi ransomware o interruzioni distribuite del servizio (DDoS). Questi scenari mettono alla prova le competenze tecniche e decisionali, garantendo che ogni livello della PA sia preparato a gestire anche le crisi più difficili.

A questo si aggiungono le attività di formazione: nel 2024 1.453 dipendenti di PA e atenei hanno fatto formazione su phishing e cybersecurity.

Dal 2021 Regione e Csi organizzano cicli di webinar “Sicuri di essere sicuri? Privacy e cybersecurity per gli Enti locali” per promuovere la conoscenza e la formazione delle pubbliche amministrazioni su questi temi: 28 gli incontri svolti in 4 anni della durata di 2 ore a cui hanno preso parte in media ad ogni incontro circa 250 persone tra Sindaci, Amministratori, personale PA, ASL, Atenei.

Le opportunità della NIS2

In funzione anche del percorso di Trasformazione Digitale (che porterà verso il completo passaggio a servizi Cloud), la Direttiva NIS2 rappresenta un’opportunità cruciale per rafforzare le azioni di sicurezza e controllo perché introduce misure avanzate di gestione del rischio, segnalazione tempestiva degli incidenti e valutazione più rigorosa dei fornitori. L’adeguamento alla NIS2 è fondamentale per il Piemonte, consentendo di rafforzare la resilienza informatica delle aziende sanitarie, proteggere maggiormente i dati sensibili e garantire la continuità operativa dei servizi essenziali.

Un ruolo chiave in questo percorso è svolto dall’Agenzia per la Cybersicurezza Nazionale (ACN), che rappresenta un’opportunità strategica per il Piemonte. La collaborazione con l’ACN, e con soggetti del territorio quali Azienda Zero e CSI Piemonte, consente di:

• Accedere a linee guida nazionali e best practice per l’adozione delle misure richieste dalla NIS2.
• Sviluppare a programmi di formazione per migliorare la prontezza nella risposta alle minacce ma anche la consapevolezza su come va gestito il rischio cyber.
• Condividere informazioni su minacce emergenti attraverso canali dedicati ed attraverso reti di collaborazione specializzate.
• Sviluppare capacità tecniche e operative per la gestione delle emergenze cyber investendo in organizzazione e competenze, due fattori chiave per il raggiungimento degli obiettivi di resilienza.

Questa sinergia tra aziende sanitarie, Azienda Zero, CSI Piemonte e ACN può diventare il fulcro di una strategia integrata di difesa, riducendo il rischio cyber e costruendo un sistema sanitario più sicuro e resiliente.