La trasformazione digitale del comparto sanitario non è più una questione di mera disponibilità tecnologica. Come la value-based digital health impone di misurare il valore reale e gli esiti clinico-organizzativi dei progetti, allo stesso modo la sicurezza informatica deve evolvere da adempimento burocratico a postura resiliente e misurabile. In un ecosistema in cui i dati sanitari sono costantemente sotto tiro. Il fenomeno è ben evidenziato nel recente articolo di Mario Dal Co e analizzato da anni nel contesto internazionale (- Kruse, C. S. et al. (2017) -Coventry, L., Branley, D. (2018)).
In un contesto in cui notoriamente l’economia regola ogni tipologia di investimento/spesa vincolando anche l’efficacia dei servizi, sorge una domanda cruciale: la sanità italiana possiede un perimetro di rischio cyber uniforme e difendibile?
Indice degli argomenti
Analisi del rischio cyber nella sanità italiana: il quadro frammentato
Per rispondere a questo quesito bisogna capire quali modelli di rischio sono adottati.
Standard internazionali e applicazione sanitaria
Le principali metodologie di analisi del rischio in ambito cyber security presentano approcci differenti ma fortemente complementari, soprattutto se applicate al contesto sanitario, che richiede una protezione particolarmente elevata sia dei dati sia della continuità delle cure. La famiglia ISO 27000, e in particolare la ISO/IEC 27005 in sinergia con la ISO 27001, rappresenta uno dei riferimenti più strutturati e riconosciuti a livello internazionale, offrendo un modello completo che copre tutto il ciclo di gestione del rischio, dalla identificazione fino al monitoraggio.
Questo approccio risulta particolarmente adatto agli ospedali che adottano un sistema di gestione della sicurezza certificato, poiché consente di integrare la protezione dei dati sensibili con i requisiti normativi, inclusi quelli legati alla privacy. Tuttavia, proprio la sua natura non prescrittiva può richiedere un elevato livello di maturità organizzativa e l’adozione di metodologie operative complementari per essere applicato efficacemente.
Accanto agli standard ISO si colloca il framework proposto da ENISA, che si distingue per un approccio più pratico e orientato alla normativa europea, in particolare alla direttiva NIS2. Questo modello si basa su domini operativi e checklist che facilitano l’implementazione concreta delle misure di sicurezza, risultando particolarmente adatto al settore sanitario pubblico e alle infrastrutture critiche. Apparentemente meno formalizzato rispetto agli standard ISO, offre un forte vantaggio in termini di immediatezza applicativa e di allineamento alle politiche europee di resilienza, risultando utile per garantire la continuità dei servizi clinici e la gestione degli incidenti.
Il NIST Risk Management Framework rappresenta invece un modello molto completo e articolato, strutturato lungo tutto il ciclo di vita dei sistemi informativi e caratterizzato da una forte enfasi sul monitoraggio continuo. Questo lo rende particolarmente efficace nei contesti sanitari complessi, come i grandi ospedali o i sistemi regionali, dove la presenza di infrastrutture articolate e dispositivi medicali connessi richiede un approccio sistemico. Tuttavia, la sua elevata complessità e la necessità di risorse e competenze significative possono rappresentare un limite per organizzazioni meno mature o con minore disponibilità di competenze.
Un ruolo più trasversale è svolto dalla ISO 31000, che fornisce un quadro generale di gestione del rischio a livello aziendale. Pur non essendo specifica per la cybersecurity, risulta particolarmente utile nel contesto sanitario perché consente di integrare il rischio informatico con il rischio clinico e organizzativo, favorendo un approccio olistico alla governance. In maniera analoga
Nel contesto strettamente sanitario assumono poi un ruolo centrale le norme IEC 80001 e le linee guida AAMI TIR57, che affrontano in modo specifico la gestione del rischio nelle reti IT che includono dispositivi medicali e la sicurezza dei dispositivi stessi. Questi approcci introducono una visione integrata che considera contemporaneamente sicurezza, efficacia clinica e safety del paziente, rappresentando quindi un riferimento fondamentale per la gestione dei sistemi ospedalieri moderni, caratterizzati da un’elevata interconnessione. Tuttavia, la loro complessità e la necessità di collaborazione tra IT e ingegneria clinica possono rendere l’implementazione più impegnativa.
Attenzione va posta anche alla gestione dei sistemi OT Operational Technology che controllano infrastrutture e funzioni essenziali per l’operatività delle strutture ospedaliere, dall’energia alla climatizzazione, dagli impianti tecnologici ai sistemi di automazione e supervisione . Una loro compromissione può incidere direttamente sulla continuità delle cure, sulla sicurezza dei pazienti e sulla capacità della struttura di garantire servizi affidabili anche in condizioni di crisi. In questo ambito IEC 62443 rappresenta la famiglia di standard internazionali di riferimento per la cybersecurity.
Metodologie come la FMEA e l’HERM offrono invece una prospettiva complementare, più orientata alla gestione dei processi e alla governance integrata. La FMEA, già ampiamente utilizzata in ambito clinico, consente di valutare i rischi in base a probabilità, impatto e rilevabilità, risultando semplice e facilmente comprensibile, anche se meno efficace nell’analisi di minacce cyber evolute. L’HERM, invece, propone un approccio olistico che integra il rischio clinico e quello tecnologico, favorendo una visione strategica a livello organizzativo, pur essendo ancora poco standardizzato e meno diffuso.
Nel complesso si può dire che non esiste una singola metodologia in grado di coprire tutte le esigenze del settore sanitario. Le evidenze mostrano come ISO 27005 e NIST RMF siano tra i modelli più consolidati nella letteratura per la gestione del rischio informatico, mentre IEC 80001 e AAMI TIR57 rappresentano riferimenti chiave per la sicurezza dei dispositivi medici, ed ENISA costituisce un punto di riferimento per la resilienza nel contesto europeo.
Di conseguenza, forse, l’approccio più efficace consiste nell’adozione di una combinazione di metodologie, in cui i framework generalisti forniscono la struttura di base, quelli normativi assicurano la compliance, e quelli specifici per la sanità garantiscono la protezione del paziente e dei processi clinici.
ACN e rischio clinico nella governance sanitaria
Il modello sviluppato dall’Agenzia per la Cybersicurezza Nazionale per la Pubblica Amministrazione Centrale introduce un approccio basato su analisi di impatto, scenari di rischio e trattamenti mitigativi, risultando particolarmente rilevante per le strutture centrali pubbliche italiane, anche se la sua applicabilità risulta più limitata fuori da questo ambito.
In questo senso le strutture pubbliche italiane di tipo sanitario possono essere fortemente interessate all’adozione del modello di ACN potenzialmente uniforme a livello nazionale ma, al contempo, potenzialmente ignorando le correlazioni tra rischio cyber e il rischio clinico.
Ormai numerose sono le evidenze che portano a dire che in sanità non si può fare analisi del rischio cyber senza inserire l’analisi del rischio clinico. Negli articoli dei colleghi Ospedali sotto attacco: quando il cyber blocca le cure – Agenda Digitale , Cybersicurezza in sanità: perché i dispositivi medici sono centrali – Agenda Digitale , si richiamano alcuni aspetti (in primis quelli dei dispositivi medici) per cui un attacco cyber in una azienda sanitaria non mette più solo in difficoltà l’operatività dell’azienda e quindi in senso indiretto la vita dei pazienti (Abbou B et Al 2024). Un attacco che coinvolge un dispositivo medico può interrompere o variare le funzioni salva vita o terapeutiche di medical device (Affia, A.-a.O et al. 2023).
In conclusione l’assenza di una indicazione univoca spinge le singole strutture a muoversi in autonomia o su base regionale, generando un panorama frammentato.
Al meglio delle nostre conoscenze, la risposta alla domanda iniziale è che non esiste un’analisi del rischio omogenea per le aziende sanitarie italiane. AISIS e AIIC per permettere una maggiore consapevolezza su questi ed altri aspetti stanno promuovendo un questionario a livello nazionale per tutti gli attori (aziende sanitarie e fornitori) della sanità italiana (www.aisis.it),
Per il cittadino comune, questo si traduce in un paradosso informativo: l’utente si aspetta, inconsciamente, che ogni azienda sanitaria o regione utilizzi gli stessi standard di protezione. La realtà, invece, mostra una mappa dei rischi non omogenea a livello regionale o nazionale, lasciando scoperti perimetri nevralgici.
Rischio cyber sanitario e servizi hub-and-spoke
La mancanza di un perimetro uniforme su cui investire in cybersecurity si fonde drammaticamente con l’organizzazione intrinseca della sanità italiana. L’erogazione dei servizi primari avviene su base aziendale, ma le strutture di alta specializzazione in grado di coprire specifiche patologie sono poche in ogni regione.
Nelle regioni più grandi e popolate, la concentrazione dei servizi salvavita rende i nodi di rete estremamente critici. Ad esempio in Emilia-Romagna le strutture di Neurochirurgia ad alta complessità non sono capillarmente diffuse, ma concentrate solo in pochi hub (come l’IRCCS Istituto delle Scienze Neurologiche di Bologna o l’Azienda Ospedaliero-Universitaria di Parma), in modo simile avviene per il Centro Ustioni presente negli ospedali di Cesena per l’intera area romagnola e quello di Parma per quello emiliana. In Veneto la concentrazione delle alte specialità segue logiche hub-and-spoke simili, dove centri come l’Azienda Ospedaliera di Padova o Verona catalizzano l’assistenza per patologie che le singole ULSS non possono trattare.
Un blocco cyber in queste macro-strutture paralizzerebbe l’assistenza specialistica di milioni di cittadini.
Il problema si amplifica se si osservano realtà regionali di dimensioni ridotte dove la ridondanza dei servizi è molto limitata. Ad esempio il Molise ha un unico grande ospedale cardine a Campobasso, la Basilicata ha la concentrazione nei poli di Potenza e Matera e la Valle d’Aosta è caratterizzata da un solo presidio ospedaliero di riferimento.
Queste realtà non hanno possibilità di reindirizzare i pazienti critici su strutture limitrofe della stessa regione in caso di blackout dei sistemi di cartella clinica o diagnostica.
Questo si traduce in una considerazione molto semplice: se un attacco informatico blocca una ASL periferica, il danno è “circoscritto” a quell’area; se colpisce un servizio hub l’impatto è macro-regionale.
Il prodotto di questi due fattori (differenti modelli di analisi del rischio ed eterogeneità dell’importanza nell’erogazione dei servizi delle strutture sanitarie) possono portare a classificazioni errate e priorità differenti mettendo a rischio le funzioni hub & spoke.
FSE 2.0 e interconnessione del rischio cyber sanitario
Risulta infine evidente come le aziende sanitarie, con la piena diffusione del FSE 2.0, siano tutte indirettamente interconnesse attraverso la rete del FSE. Il FSE stesso rappresenta un servizio sempre più importante nell’erogazione dei servizi sanitari del nostro SSN. Un approccio eterogeneo al rischio cyber rappresenta un elemento di attenzione particolare nell’analisi del rischio cyber delle diverse piattaforme FSE regionali esistenti e interconnesse con quello nazionale.
ACN, AISIS e AIIC verso un modello nazionale per la sanità
Risulta pertanto evidente l’importanza in ambito sanitario di un modello omogeneo per l’analisi del rischio cyber.
In questo scenario complesso, è doveroso lodare l’approccio strategico intrapreso da ACN, che ha avviato un percorso virtuoso volto a omogeneizzare il rischio e le posture di sicurezza per la Pubblica Amministrazione Centrale. Questo sforzo normativo e metodologico rappresenta la base ideale da declinare nel settore specifico della sanità locale.
Proprio in questo solco si inserisce il contributo proattivo delle associazioni di settore AISIS ed AIIC. Con il consolidamento delle proprie Linee Guida del 2025 e i risultati dell’Analisi metodologica, la cui presentazione ufficiale è prevista nel mese di ottobre 2026, AISIS si dichiara fortemente interessata e pienamente a disposizione di ACN per supportare lo sviluppo del modello di analisi del rischio omogeneo e standardizzato nell’ambito sanitario. Questo a favore non solo delle aziende sanitarie pubbliche ma anche delle aziende sanitarie private accreditate.
Del resto AISIS ritiene che l’accreditamento debba considerare anche gli aspetti IT e l’analisi del rischio di cybersecurity condividendo quanto già espresso da Clara ed Emilio Mirante.
Uscendo dalla logica dell’intervento isolato e adottando un framework nazionale condiviso sarà più accessibile raggiungere l’obiettivo di una sanità digitale sicura indipendentemente dalla regione in cui risiede.
Riferimenti su rischio cyber e sanità
- Kruse, C. S. et al. (2017)
Cybersecurity in healthcare: A systematic review of modern threats and trends
Technology and Health Care
https://doi.org/10.3233/THC-161263 - Coventry, L., Branley, D. (2018)
Cybersecurity in healthcare: a narrative review of trends, threats and ways forward
Maturitas (Elsevier)
https://doi.org/10.1016/j.maturitas.2018.04.008 - Affia, Abasi-amefon Obot, Hilary Finch, Woosub Jung, Issah Abubakari Samori, Lucas Potter, and Xavier-Lewis Palmer. 2023. IoT Health Devices: Exploring Security Risks in the Connected Landscape
- https://doi.org/10.3390/iot4020009
- Abbou B, Kessel B, Ben Natan M, Gabbay-Benziv R, Dahan Shriki D, Ophir A, Goldschmid N, Klein A, Roguin A and Dudkiewicz M (2024)
When all computers shut down: the clinical impact of a major cyber-attack on a general hospital.
Partecipa alla community