Bonanni (partner Deloitte): «Servono interventi rapidi, sicurezza e protocolli a norma Ue»

Cresce l’attenzione alla sicurezza informatica dei prodotti biomedicali. Per Fabio Bonanni, partner di Deloitte Ers, la spinta maggiore sta arrivando proprio dal ruolo attivo dei pazienti che si stanno trasformando in pazienti-consumatori e, dunque, più attenti alle dinamiche e alle proprie esigenze. «Il paziente chiede più garanzie - sottolinea -. Ma è ancora lunga la strada da percorrere per una reale sicurezza».

Quali sono i punti deboli del sistema?

Abbiamo notato una dispersione dei ruoli. E soprattutto che le strutture comprano i biomedicali senza modificare le password originali oppure inserendone di facili da indovinare. Talvolta, restano le stesse per l’intero ciclo di vita dello strumento. Questo, come per qualunque Pc casalingo, aumenta i rischi di intromissione.

Esiste un responsabile della sicurezza negli ospedali?

Non c’è una chiara responsabilità. In alcune strutture c’è la direzione dei sistemi informativi, in altre c’è l’ingegneria clinica, in altre ancora c’è una commistione tra i diversi ruoli. La confusione evidenzia un deficit nella manutenzione e nella programmazione degli strumenti.

Dallo studio che avete condotto metà delle strutture non ha ancora effettuato valutazioni in merito alle nuove normative europee sulla privacy.

Il nuovo regolamento sulla protezione dei dati personali, ratificato a maggio dalla Ue, avrà un impatto reale. A partire dalla security and privacy by design, ossia il principio secondo cui la privacy deve essere garantita già in fase di progettazione di un prodotto. Fino a oggi la protezione dei dati è stata affidata a chi compra: invece ora la Ue ha previsto che lo strumento sia già progettato e costruito incorporando determinati standard di sicurezza dei dati.

Con questo regolamento l’Europa si è allineata agli Stati Uniti?

Negli Stati Uniti il tema è più sentito. Basti pensare che i furti sanitari sono secondi solo ai furti di dati militari. L’Autorithy su alimentazione e farmaci ha emesso una proposta per la protezione e la sicurezza nel post market, dunque per garantire che i macchinari una volta venduti siano efficienti nel tempo. Vengono previsti verifiche e controlli continui. I dispositivi biomedicali come qualsiasi server o Pc richiedono un aggiornamento tempestivo.

Ma si sono mai registrati casi di intromissione che hanno causato danni al paziente?

Fortunatamente no. Però il furto dei dati sensibili è un problema serio. Purtroppo si registrano casi crescenti di accessi impropri a dati personali dei pazienti da parte di soggetti non autorizzati.

Si può pensare a un coordinamento internazionale per organizzare un’efficace lotta agli hacker?

Gli Stati Uniti hanno già proposto la costituzione di un organismo centrale che controlli e coordini la lotta alle truffe on line. Il dibattitto sulla cyber security è di forte attualità e sarebbe più facile garantire una protezione laddove esista una cooperazione tra i diversi Stati. La creazione di enti terzi che possano raccordare le informazioni che arrivano da tutto il mondo è sicuramente un plus che deve essere perseguito.

Qual è il grado di sicurezza informatica degli ospedali?

Vi sono meccanismi di attacco molto molto sofistifcati, sudboli, nel quale il malintenzionato può entrare nella rete senza che la struttura ne sia cosciente. C’è un travaso di informazioni nei mesi e addirittura negli anni senza che nessuno si accorga di niente.

Quali consigli si possono dare alle strutture sia pubbliche che private?

Occorre procedere su tre fronti: il primo tema è di carattere organizzativo. La cyber security deve essere stabilmente sul tavolo dei top manager, dei direttori sanitari, dove deve essere considerata una priorità anche indivuando personale specializzato dedicato alla sicurezza dei dati personali e dei dispositivi medici connessi alla rete. Il secondo ambito di intervento riguarda i processi: in azienda devono esserci chiare procedure e protocolli che dicano chiaramente come vanno protetti i dati. L’ultimo aspetto è di tipo tecnologico. L’evoluzione ormai è rapidissima e stare al passo con l’innovazione è fondamentale. Le reti su cui si agganciano i dispositivi devono essere sicure e divise dalle altre reti. Importante è che i dati che transitano attraverso i biomedicali risiedano in una rete protetta che ne garantisca la segregazione. Occorre prevedere e pretendere dai produttori l’aggiornamento costante dei prodotti per far sì che le tecnologie siano al passo dei tempi.