La sanità è uno degli ambiti più vulnerabili quando si parla di cybersecurity: l’indisponibilità di sistemi e dati ha ricadute dirette sulla continuità delle cure o dell’erogazione di servizi altrettanto essenziali.
In questo contesto il controllo e la gestione delle identità e degli accessi deve evolvere: controlli di autenticazione poco adatti al lavoro clinico spingono gli utenti a cercare scorciatoie, come credenziali condivise e sessioni lasciate aperte, e finiscono per aumentare la superficie di rischio invece di ridurla. Un aspetto centrale e anche alla luce anche dei requisiti introdotti dalla direttiva NIS2.
Qui a seguire trovi il commento di Gilberto Bonutti, Regional Sales Manager & Head of Italy di Imprivata, su come autenticazione passwordless e controlli calibrati sul rischio possano rendere la gestione delle identità e degli accessi più efficace e compatibile con i flussi di lavoro clinici. SI PARLERA’ DI QUESTI TEMI ANCHE IN UN WEBINAR GRATUITO IN PROGRAMMA PER MARTEDì 27 ALLE ORE 11.00 (ISCRIVITI QUI).
“La cybersecurity è indubbiamente una priorità per il settore sanitario, chiamato a proteggere i dati sensibili dei pazienti, le applicazioni critiche e i sistemi da cui dipende la continuità dell’assistenza. Ottobre, Mese della Cybersecurity, rappresenta tuttavia un’occasione importante per ricordare che rafforzare la sicurezza non significa soltanto prevenire gli attacchi informatici, ma anche garantire che medici e infermieri possano accedere alle informazioni e agli strumenti necessari per svolgere il proprio lavoro, senza che i controlli di sicurezza diventino un ostacolo alla cura.
L’autenticazione è un ambito concreto da cui partire. In sanità, medici e infermieri passano frequentemente da un paziente all’altro, utilizzano applicazioni diverse e lavorano su postazioni condivise. Inserire ripetutamente le password, rispondere alle richieste di autenticazione, reimpostare le credenziali o gestire il blocco degli account può interrompere i flussi di lavoro e sottrarre tempo all’assistenza. Per questo, la sicurezza degli accessi va valutata non soltanto in base alla solidità dei controlli adottati, ma anche alla loro capacità di integrarsi efficacemente nelle attività cliniche.
Le difficoltà legate all’autenticazione possono avere conseguenze anche sul piano della sicurezza. Quando le procedure di accesso non tengono conto delle reali esigenze del lavoro clinico, gli utenti possono cercare scorciatoie per completare più rapidamente le proprie attività. La condivisione delle credenziali o le sessioni lasciate aperte e incustodite sono esempi di comportamenti che possono aumentare i rischi quando i processi di sicurezza non sono adeguati al contesto in cui vengono utilizzati.
In questo scenario, l’autenticazione senza password può svolgere un ruolo importante. Badge, dati biometrici, passkey e altri metodi di autenticazione consentono di ridurre la dipendenza dalle password, mantenendo un elevato livello di affidabilità nella verifica dell’identità e garantendo la tracciabilità degli accessi. L’obiettivo non è semplicemente sostituire la password con un altro metodo di autenticazione, ma rendere l’accesso sicuro più naturale e compatibile con i flussi di lavoro clinici.
Per raggiungere questo obiettivo, non esiste un approccio valido per ogni organizzazione sanitaria. I metodi di autenticazione devono rispondere alle specificità delle attività cliniche, considerando l’utilizzo di dispositivi condivisi, i frequenti passaggi da un utente all’altro, le procedure da seguire nelle emergenze e aspetti pratici come l’uso di guanti o mascherine. Sono tutti elementi da valutare quando si definiscono le modalità con cui proteggere l’accesso a dati e applicazioni.
Lo stesso principio dovrebbe guidare la gestione del rischio. Non tutte le attività richiedono necessariamente lo stesso livello di verifica. Per le operazioni a rischio più elevato è possibile prevedere verifiche più rigorose, mentre per le attività ordinarie si possono adottare modalità di autenticazione che consentano ai professionisti sanitari di lavorare con efficienza, senza abbassare il livello di sicurezza richiesto. In questo modo, i controlli possono essere calibrati in funzione del rischio e del contesto operativo, anziché applicati indistintamente a ogni attività.
Per le organizzazioni sanitarie italiane, trovare questo equilibrio è sempre più centrale. Rafforzare la resilienza informatica e rispondere a requisiti in evoluzione, come quelli introdotti dalla direttiva NIS2, significa considerare i controlli sulle identità e sugli accessi parte integrante della protezione dei dati dei pazienti, delle applicazioni critiche e dei sistemi. Allo stesso tempo, la sicurezza non dovrebbe essere perseguita a scapito dell’efficienza delle attività cliniche.
La sfida consiste quindi nel fare in modo che sicurezza ed efficienza si rafforzino a vicenda. Una strategia efficace per la gestione degli accessi deve proteggere ciò che è più importante per le organizzazioni sanitarie, consentendo al contempo ai professionisti di raggiungere le risorse di cui hanno bisogno, nel momento in cui servono. È così che l’accesso sicuro può diventare parte integrante del flusso di lavoro clinico, anziché un’interruzione.”