Differenza tra minacce e attacchi mirati e non mirati in informatica

Cybersecurity

La rapida evoluzione delle tecnologie, ha avuto un impatto importante sulla nostra vita e sulla nostra società.

Il collegarsi alla rete, oltre a permettere l’accesso ad una infinita mole d’informazione, rende i nostri dispositivi e noi stessi vulnerabili ai dati sensibili, social network e servizi bancari. Ad essere a rischio però, non siamo solo noi stessi, ma tutto ciò che potrebbe collegarsi alla rete, alterando vita economica e società dell’intero

È necessario quindi essere protetti, e proteggere tutto ciò che ci circonda, garantendo una sicurezza informatica all’avanguardia.

Di pari passo alla crescita del Software come DM, i rischi associati ad esso si riflettono in quelle che sono le tematiche e problematiche affrontate dalla cybersecurity.

Come possiamo definire il rischio?

Una risposta adeguata viene fornita dal National Institute of Standard and Technology (NIST):

“La protezione offerta a un sistema informativo per conseguire gli obbiettivi applicabili per preservare l’integrità, la disponibilità e la riservatezza delle risorse del sistema (hardware, software, firmware, informazioni/dati e telecomunicazioni)”.

Questa definizione introduce i tre obbiettivi chiave che sono il fulcro della sicurezza informatica:

• Riservatezza: assicura che informazioni non vengano divulgate a persone o enti non autorizzati, introducendo il concetto di privacy;
• Integrità: assicura che le informazioni e i programmi siano modificati solo in modo specifico e autorizzato;
• Disponibilità: assicura che il sistema funzioni tempestivamente e che i servizi non siano negati agli utenti autorizzati.

La cybersecurity deve offrire misure di protezione e un livello di sicurezza informatico, riducendo o eliminando il danno introdotto da una minaccia.

Negli ultimi anni, le strutture sanitarie sono state affette dal ransomware, un tipo di malware (cybercrimine) che limita l’accesso del dispositivo che infetta, penetrando nel sistema attraverso, ad esempio, un file scaricato o una vulnerabilità del servizio di rete, richiedendo una somma (ransom), da pagare per rimuovere la limitazione.

Secondo le cifre del Presbyterian Medical Center di Los Angeles, sono stati pagati 17.000 dollari in bitcoin, al fine di ripristinare l’accesso ai propri sistemi medici elettronici

Per quanto riguarda il nostro paese nel 2016, numerose strutture sanitarie hanno subito un attacco informatico attraverso i ransomware e hanno chiesto aiuto a esperti del settore per innalzare i sistemi di sicurezza e mettersi al riparo da nuovi attacchi.

Gestione del rischio

La valutazione del rischio è un processo in continuo miglioramento, in quanto nel tempo i fattori di rischio, esterni o interni, possono cambiare o presentarsi in forme impreviste. La struttura del processo di gestione del rischio passa attraverso le risposte alle seguenti domande:

• Cosa può succedere? (evento o minaccia);
• Se succede, quanto può essere negativo? (impatto);
• Con che frequenza può verificarsi tale evento?
• Quale è la probabilità che si verifichi?

Al termine di tale attività dovremmo essere in grado di capire quali comportamenti/azioni sono da evitare. Questo non è, però, sufficiente in quanto occorre anche identificare quali azioni è opportuno attuare come fattori fondamentali di successo. Anche qui strutturalmente si possono sintetizzare tre domande:

• Cosa posso fare? (mitigazione o minimizzazione del rischio);
• Quanto mi costa? (non solo in termini economici, ma anche di risorse, capacità, mezzi).
• Ne vale la pena?

Da quanto detto fino ad ora, emerge chiaramente una integrazione indissolubile tra gestione del rischio e gestione dei processi da parte dell’Organizzazione. Per questa ragione si fa riferimento alla norma UNI EN ISO 9001 come modello minimo da utilizzare per attuare un Sistema di Gestione per la Qualità che aiuti anche alla gestione del rischio, appare indispensabile.

Il numero dei DM integrati e collegati in rete sta rapidamente aumentando, comportando criticità in caso di malfunzionamento.

Secondo quanto riporta la direttiva IEC 80001-1:2010, per la gestione dei rischi:

• Si definiscono i ruoli, le responsabilità e le attività necessarie per la gestione del rischio delle reti IT delle strutture sanitarie per assicurarne la sicurezza e l’efficacia informatica [8]
• Si applica dopo che un dispositivo medico è stato acquistato da una organizzazione che vuole incorporarlo nella sua rete IT e durante tutto il ciclo di vita della rete stessa.

La gestione del rischio della rete IT richiede il coinvolgimento dell’organizzazione responsabile della rete, dei fabbricanti dei dispositivi medici in rete e di tutti gli altri fornitori di dispositivi/software IT utilizzati per, o nella rete.

Il produttore deve stabilire, documentare e tenere traccia attraverso il ciclo di vita del DM un processo per identificare i rischi a questo associati, stimando e valutando i rischi che potrebbero derivarne, controllandoli e monitorando l’efficacia di tali controlli. Questo processo dovrebbe includere i seguenti elementi:

• analisi del rischio;
• valutazione del rischio;
• controllo del rischio;
• produzione e post-produzione di informazioni.

In questo scenario è opportuno stilare un piano di gestione del rischio, considerando il software come parte integrante del dispositivo medico, che includa:

• una descrizione del DM includendo le sue funzionalità all’interno del software;
• una dichiarazione che il software sarà sviluppato secondo la direttiva IEC 62304;
• i criteri di accettabilità del rischio correlati al software, diversi dai criteri di accettabilità utilizzati per le altre componenti del DM;
• includere un file di gestione del rischio che tenga traccia di tutti i cambiamenti a cui il software sarà soggetto durante il ciclo di vita.

A tal proposito lo standard ISO 14971 analizza l’applicazione della gestione del rischio ai dispositivi medici stabilendo i requisiti per la gestione del rischio per determinare la sicurezza di un dispositivo medico da parte del costruttore durante il ciclo di vita del prodotto. In particolare, l’ISO 14971 è uno standard a nove parti che stabilisce innanzitutto un quadro per l’analisi, la valutazione, il controllo e la gestione dei rischi e specifica inoltre una procedura di revisione e monitoraggio durante la produzione e la post-produzione.

Minaccia degli attacchi

Le minacce cyber sulle strutture sanitarie possono essere suddivise in due categorie:

• attacchi non mirati non discriminano tra i beni. Pertanto, gli avversari scelgono gli obiettivi che massimizzano il loro rapporto di guadagno / costo in primo luogo.
• attacchi mirati hanno asset specifici nei crosshairs. In questo caso, gli avversari hanno obiettivi precisi e sono disposti a mobilitare le risorse necessarie per raggiungerli.

Uno dei temi principali da prendere in considerazione è la molteplicità degli attori che gestiscono il record pazienti e quindi i numerosi obiettivi potenziali.

Oltre la minaccia ransomware, la diffusione di varie tipologie di attacco si fa sempre più grande e di solito mostrano schemi ricorrenti:

• gli hacker possono accedere al sistema d’informazioni sulla struttura utilizzando metodi fisici, sfruttamento di software scaduti, furto di dispositivi mobili, ma anche phishing o email maligne.
• Una volta che gli hacker hanno accesso all’Intermediate system (IS), utilizzano un virus speciale che detiene l’ostaggio del sistema crittografando i dati che contiene, così da rendere il sistema completamnete inaccessibile, fino che gli hacker non vengono ripagati con un riscatto (ransomware);
• furti di sistema classici, attarverso il by-pass del sistema rubando il maggior numero d’informazioni e È un attacco più pericoloso del ransomware, ma richiede più tempo ed è più difficile da attuare.

Parlando di cifre, si pensi che secondo una stima dell’ESSEC BUSINESS SCHOOL i dati record di assistenza sanitaria completi sono valutati 50$ ciascuno, mentre i numeri di previdenza sociale sono valutati 15$.

La tipologia di attacco che colpisce può essere molteplice, ma allo stesso modo efficace su vari livelli:

• abbondanza di operatori che hanno accesso alle informazioni.
• vasta gamma di hardware utilizzata all’interno degli impianti ospedalieri: personal computer, hardware, sistemi di alimentazione, impianti di archiviazione dati ,ecc.

L’elenco sta rapidamente allargandosi insieme alla digitalizzazione e l’uso di dispositivi mobile all’interno delle strutture sanitarie.

È difficile perciò cercare di proteggere un particolare campo di difesa ed è proprio per questo motivo che gli hacker tendono a minacciare le strutture sanitarie.

L’Indicatore di situazione economica (ISE) nel 2016 ha indagato una gamma rappresentativa di ospedali americani e ha scoperto che in sanità le strutture hanno solitamente strategie per contrastare gli attacchi non mirati nei registri dei pazienti. Però, ignorano totalmente le motivazioni e le strategie che sarebbero state impiegate qualora gli aggressori avessero designato la salute del paziente o i record pazienti precisi e quindi attacchi mirati.