Cresce il rischio cyber per i dispositivi medici e IoT connessi. I sistemi di chiamata infermieri sono i device più esposti agli attacchi, seguiti dalle pompe per infusione e dai sistemi di somministrazione dei farmaci. Anche le telecamere Ip, le stampanti e i dispositivi Voice Over Internet Protocol (VoIp) sono tra i primi posti di una lista stilata dalla ricerca di Armis, azienda specializzata in soluzioni per la visibilità e la sicurezza degli asset, attraverso lo studio dei dati analizzati dalla piattaforma Armis Asset Intelligence and Security Platform.
Le evidenze della ricerca Armis
Entro il 2026 si prevede che gli ospedali smart impiegheranno oltre 7 milioni di dispositivi IoMT (Internet of Medical Things), raddoppiando la quantità rispetto al 2021. I dispositivi medici e non sono dunque destinati a essere sempre più connessi, fornendo in modo automatico i dati dei pazienti dai dispositivi di monitoraggio ai registri elettronici. Queste connessioni e le comunicazioni all’interno di un ambiente sanitario contribuiscono a migliorare l’assistenza ai pazienti, ma lo rendono anche sempre più vulnerabile ai potenziali attacchi informatici, che potrebbero causare la sua interruzione dell’assistenza sanitaria.
Da un’analisi completa dei dati di tutti i dispositivi medici e IoT connessi sulla piattaforma Armis Asset Intelligence and Security, emerge già che, come accennato, i sistemi di chiamata infermieristica sono il dispositivo medico connesso più a rischio, con il 39% di essi che presenta Common Vulnerabilities and Exposures (Cve) di gravità critica senza patch e quasi la metà (48%) con Cve prive di patch. Le pompe per infusione sono al secondo posto, con il 27% che presenta Cve prive di patch di gravità critica e il 30% con Cve senza patch. Seguono i sistemi di erogazione dei farmaci, con il 4% di Cve di gravità critica senza patch, ma l’86% di Cve senza patch. Inoltre, il 32% utilizza versioni di Windows non supportate.
Inoltre, quasi un dispositivo medico connesso su cinque (19%) utilizza versioni del sistema operativo non supportate. Più della metà delle telecamere Ip monitorate in ambienti clinici presenta Cve di gravità critica senza patch (56%) e Cve (59%) senza patch, il che le rende il dispositivo IoT più rischioso. Ci sono poi le stampanti, con il 37% di Cve senza patch e il 30% di Cve di gravità critica senza patch, e i dispositivi VoIp: sebbene il 53% di essi abbia Cve senza patch, solo il 2% ha Cve di gravità critica senza patch.
“Questi numeri sono un forte indicatore delle sfide che le organizzazioni sanitarie devono affrontare a livello globale. I progressi della tecnologia sono essenziali per migliorare la velocità e la qualità dell’erogazione delle cure, con il settore che deve fare i conti con la carenza di fornitori di cure, ma con un’assistenza sempre più connessa arriva anche una maggiore superficie di attacco”, commenta Mohammad Waqas, Principal Solutions Architect for Healthcare di Armis. “Proteggere ogni tipo di dispositivo connesso, medico, IoT, perfino i sistemi di gestione degli edifici, con una visibilità completa e un monitoraggio continuo e contestualizzato è un elemento chiave per garantire la sicurezza dei pazienti”.
Le sfide informatiche per il comparto sanitario: manca il personale
Le minacce alla sicurezza informatica nel settore sanitario sono al centro anche di una nuova ricerca Extreme Networks intitolata “Emerging from the Covid Pandemic“, realizzata in collaborazione con la Healthcare Information and Management Systems Society. In questo caso lo studio evidenzia come alcuni tra i problemi che incidono sulla produttività nel settore sanitario, tra cui il personale, la carenza di budget e per l’appunto la cybersecurity possano essere tutti sintomi di un problema di fondo più ampio: l’insufficienza degli investimenti in tecnologia, e in particolare nell’infrastruttura di rete, per supportare le esigenze delle moderne organizzazioni sanitarie. L’indagine ha interpellato 100 dirigenti del settore sanitario e responsabili delle decisioni in materia di IT/tecnologia negli Stati Uniti.
Il 59% degli intervistati ha inserito le sfide della cybersecurity tra le tre principali sfide organizzative e il 54% ha classificato la cybersecurity come l’investimento più importante per i prossimi 12-18 mesi. Il 36%, del resto, ha classificato le applicazioni sanitarie di ultima generazione come l’investimento tecnologico più importante e il 75% dei decisori tecnologici con potere d’acquisto ha dichiarato di voler aggiornare l’infrastruttura cloud nei prossimi 12-18 mesi.
Il 93% degli intervistati concorda sul fatto che la rete svolge un ruolo importante per il successo delle attività ospedaliere e dell’esperienza dei pazienti: il 96% del campione sfrutta il Wi-Fi per abilitare i dispositivi mobili del personale clinico, mentre l’83% si affida al Wi-Fi per il monitoraggio dei pazienti.
La carenza di personale IT non riguarda solo il tema della sicurezza, ma ha un impatto significativo sulla produttività clinica: il 47% degli intervistati ha inserito la carenza di personale IT tra le tre principali sfide dei prossimi anni.
McKinsey: un nuovo approccio alla cybersecurity per l’IoT
Il settore sanitario, però, rappresenta solo una fetta di un mercato che avrà sempre più bisogno di soluzioni in grado di mettere in sicurezza gli oggetti connessi e i sistemi IoT. Un nuovo studio di McKinsey & Company dal titolo “Cybersecurity for the IoT: How trust can unlock value”, che analizza il potenziale dell’Internet of Things e le possibilità di crescita date dalla convergenza con la sicurezza informatica, dice che entro il 2030, il mercato dei fornitori IoT potrebbe raggiungere circa 500 miliardi di dollari, con un Cagr dell’11% dal 2025 al 2030. La convergenza tra cybersecurity e IoT, oggi soluzione ancora frammentata, potrebbe rappresentare la strada maestra affinché quest’ultima possa raggiungere il suo pieno potenziale come ecosistema completamente interconnesso.
Lo studio ha evidenziato che esiste un divario tra buyer e fornitori di IoT per quanto riguarda i tempi per l’adozione dell’IoT, la privacy digitale, le considerazioni relative alla fiducia digitale e il grado di ritardo nell’adozione dovuto a processi decisionali frammentati. La conoscenza di alcuni di questi elementi aiuterebbe i futuri leader del settore tech, sia lato buyer sia fornitore, a comprendere le esigenze della controparte e a sbloccare così valore per il settore.
Al contempo, le soluzioni di cybersecurity dovranno andare incontro a una personalizzazione a livello di prodotto, considerando anche un approccio end-to-end che tenga conto della sicurezza nell’intero ambito dell’architettura dei dati per i casi d’uso dell’IoT.
Ai fini dello studio, McKinsey ha condotto un’indagine tra le aziende e i decision maker di tutto il mondo sul tema dell’IoT. I partecipanti al sondaggio, in tutti i settori, citano le carenze di cybersecurity come uno dei principali ostacoli all’adozione dell’IoT (30%). Il 40% degli intervistati indica inoltre che aumenterebbe il budget e la diffusione dell’IoT del 25% o più se i problemi di sicurezza informatica fossero risolti.
Circa l’80% dei fornitori di IoT intervistati sta incorporando la sicurezza in qualche forma nei propri prodotti IoT e circa il 70% dei fornitori di cybersicurezza sta realizzando prodotti specifici per l’IoT, indicando i primi segnali di convergenza.
Gli interventi di cybersecurity possono essere utili a tutti i settori, ma alcuni settori sono portati a sfruttare il valore dell’IoT in misura maggiore. Quelli con il più alto rischio informatico hanno anche il più alto valore da sbloccare attraverso il miglioramento delle pratiche di cybersecurity; tra questi, oltre al sanitario, ci sono i settori manifatturiero e industriale, della mobilità e dei trasporti e delle smart-city.
La maggior parte dei sistemi IoT oggi è progettata per un flusso di dati unidirezionale – dal monitoraggio dei sensori all’analisi dei dati – controllato dall’uomo. La transizione della cybersicurezza dell’IoT verso un approccio olistico, a livello di sistema può consentire il passaggio a sistemi IoT che non necessitano di alcuna interfaccia umana. Ciò comporterebbe un cambiamento nelle modalità di progettazione e implementazione delle soluzioni IoT, che ha luogo nel caso di una convergenza. La convergenza può avvenire a livello architettonico, di progettazione parallela o di aggiunta di software. A livello architettonico, i fornitori di soluzioni IoT inseriscono il codice protetto nel software di base in tutti i livelli dello stack tecnologico (compresi firmware e hardware). A livello di progettazione parallela, i fornitori di soluzioni IoT e i fornitori di soluzioni di cybersecurity collaborano strategicamente durante il processo di progettazione del sistema IoT (ad esempio, dalla piattaforma al cloud). Con gli add-on software, i fornitori di soluzioni IoT installano soluzioni di cybersecurity aggiuntive per proteggere le applicazioni.
