Rischio ransomware in una casa di riposo in Francia: cosa rischiamo trattando dati sanitari?

Gli attaccanti prendono di mira proprio le strutture sanitarie e assistenziali perché sanno bene che se un e-commerce resta fermo due giorni perde soldi, ma se una casa di riposo non accede ai sistemi anche solo per un'ora si rischiano vite umane. Facendo leva su questa disperazione, sanno che la probabilità di pagamento del riscatto è molto più alta. L'atteggiamento del vostro tecnico è pericolosissimo.

L'antivirus si basa solo sulle firme note; i ransomware invece entrano quasi sempre tramite vulnerabilità zero-day o credenziali rubate. Controllate le condivisioni di rete (SMB) sul server locale. Se l'unità di backup è collegata alla rete principale, l'attaccante cancellerà o cripterà prima i backup e solo dopo bloccherà il server principale.

Lunedì mattina la prima cosa da chiedere al tecnico è: 'Quand'è stata l'ultima volta che abbiamo testato un ripristino (restore) da backup su una macchina pulita?' Se non è mai stato testato, è come non avere il backup. Come seconda cosa, fate un backup manuale su disco esterno e chiudetelo in cassaforte.

È successo a un mio conoscente che lavora in una clinica da 50 posti letto sempre in Francia. È bastato un dipendente che ha aperto l'allegato di una finta fattura per bloccare l'intero server. Sono intervenute l'ARS e l'unità cibernetica della gendarmeria: ci sono voluti 19 giorni per ripristinare i sistemi e 28.000 EUR di sole consulenze esterne.

I dispositivi elettromedicali o i monitor dei pazienti sono sulla stessa rete locale? Se i PC degli uffici e il database clinico si trovano sulla stessa subnet (VLAN), un malware che infetta il computer dell'amministrazione ci metterà pochi minuti a diffondersi su tutto il sistema dei pazienti.

Da un tecnico pagato 800 EUR al mese non ci si può aspettare competenze di cybersecurity; probabilmente si occupa solo di configurare stampanti e rinnovare le licenze di Office. A chi risponde 'c'è l'antivirus non succede niente' non si può assolutamente affidare la sicurezza di un'infrastruttura sanitaria, serve un audit indipendente.

In base al Codice della Sanità Pubblica francese e al RGPD, in caso di perdita o diffusione non autorizzata di categorie particolari di dati avete l'obbligo di informare per iscritto non solo la CNIL, ma anche direttamente i pazienti interessati o i loro tutori legali.

L'anno scorso una casa di riposo nella zona accanto alla nostra è stata colpita di domenica notte. Mi hanno raccontato che la mattina il personale era nel panico più totale perché nessuno ricordava a memoria i dosaggi di insulina e le terapie per la pressione. Se non avete faldoni cartacei d'emergenza già pronti, il costo del caos che si crea quel giorno supera qualsiasi sanzione.

Hai fatto bene ad aprire questo thread. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

salvato.

A me è successo l'esatto contrario, per questo scrivo. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Riassumo l'argomento, perché sono state date diverse risposte. Il vero problema non è il numero, ma su cosa si basa quel numero.

Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore. Lascio una nota, potrebbe servire.

Il mio dubbio è stato chiarito, grazie. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Il vero problema non è il numero, ma su cosa si basa quel numero. Io seguirei questa strada.

ho vissuto la stessa cosa due anni fa. se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

se non lo rendete scritto fin dall'inizio, poi nascono discussioni... lasccio una nota, potrebbe servire.

La risposta sopra ha colto l'essenza della questione. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Se avete domande, scrivete, rispondo per quanto possibile.

Può approfondire un po'? Non abbiate paura di chiedere chi non chiede paga sempre di più.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente. Naturalmente cambia se la vostra situazione è diversa.

Se scendiamo nei dettagli: Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Approfondisco l'aspetto tecnico. insomma prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Le persone difendono le abitudini non i processi. onestamente la resistenza nasce da lì.