La cybersecurity awareness come prima difesa contro i crimini informatici nel settore sanitario

1. Evoluzione tecnologica e sicurezza informatica
L’evoluzione tecnologica in atto negli ultimi anni, costituita da un grado sempre maggiore di
digitalizzazione e soprattutto di interconnessione di persone e oggetti a livello globale, è in
grado di portare benefici all’interno della vita privata - sempre più legata a strumenti
tecnologici quali smartphone, tablet, smartwatch e simili - e dei contesti lavorativi moderni.
D'altro canto, però, ogni aggiunta di un nuovo dispositivo all’interno di una rete esistente ne
aumenta la “superficie informatizzata” e dunque le possibili modalità di attacco da parte dei
criminali informatici.
Se essere totalmente immuni da tali attacchi non è possibile, in quanto pensare ad una
situazione di “rischio zero” non è realistico, diventa una necessità sempre più impellente
l’innalzamento e il mantenimento nel tempo su livelli alti dei sistemi di difesa e protezione
delle risorse informatiche aziendali, nel settore privato ed ancora di più in quello pubblico, per
frenare il più possibile le iniziative illegali.
Infatti, al giorno d’oggi, sembra ragionevole affermare con sostanziale certezza che chiunque
affidi alla rete la pubblicazione di servizi debba mettersi nelle condizioni di affrontare
potenziali attacchi informatici, così come debba adottare misure preventive per cercare di
evitarli.
Una successiva analisi forense, poi, risulta necessaria ogni volta che si verifichi un incidente o
un’intrusione di qualsiasi tipologia, per ottenere una stima dei danni subiti, attuare un piano di
risposta, verificare la possibilità che persistano nel sistema le tracce della presenza dei
cybercriminali o dei loro software malevoli e ridurre la possibilità che il problema si verifichi
nuovamente.
In un simile contesto, è diventato ormai abituale sentir parlare di “cybersecurity” - traduzione
inglese di “sicurezza informatica” - quale termine di uso piuttosto recente che deve la propria
diffusione soprattutto al National Institute for Standards and Technologies (NIST), afferente
al Dipartimento del Commercio statunitense. 
Una definizione universale di “cybersecurity” non esiste, tuttavia la stessa potrebbe essere
intesa come quel complesso di “tutele e misure adottate per difendere i sistemi informativi e i
relativi utenti da accessi non autorizzati, attacchi e danni al fine di assicurare la riservatezza,
l’integrità e la disponibilità dei dati”
1
.
1 Fonte  : Veiluva Enzo, “Dispense di Cybersecurity”, in Master in “Specialista in Cybersecurity, Digital
Forensics e Data Protection” - Modulo 2, Università Niccolò Cusano, a.a. 2021-22;
4
Dagli anni ‘70 - epoca a cui si attribuisce la nascita della sicurezza informatica - ad oggi,
molta strada è stata fatta ma molta ne resta da fare su un percorso in costante mutazione,
aggiornamento ed evoluzione. Con il presente elaborato, si cerca di dare, pertanto, con la
massima modestia, un contributo al dibattito su un tema così delicato ed estremamente attuale.
Nella sicurezza informatica, rientrano la prevenzione e il rilevamento degli incidenti
informatici, la risposta agli stessi e le successive azioni di recupero. Gli incidenti possono
essere intenzionali o accidentali e vanno dalla divulgazione involontaria di informazioni agli
attacchi ad imprese e infrastrutture critiche fino al furto di dati personali. Nell’uso comune,
peraltro, vi rientrano anche reati informatici perpetrati mediante software malevoli nonchè
tentativi di truffa e furto effettuati sfruttando la rete internet.
In una realtà in cui gli strumenti informatici sono caratterizzati da un crescente livello di
complessità e integrazione con le attività aziendali, la cybersecurity non può essere intesa in
maniera “statica”. La logica basata sulla sola protezione degli “endpoint”
2
 non è sufficiente a
garantire un’efficace copertura dei rischi legati ad eventuali attacchi. Piuttosto, la sicurezza
informatica deve integrarsi con le logiche delle aziende e “accompagnare” ogni direttrice
delle attività. A tal fine, deve essere considerata non come un prodotto bensì come un
processo continuo che coinvolge sia le risorse aziendali sia i fornitori esterni.
In particolare, i tre aspetti alla base della sicurezza ICT, su cui focalizzare l’attenzione per
raggiungere un’adeguata gestione della protezione delle informazioni e dei dati sono:
1. la riservatezza;
2. l’integrità;
3. la disponibilità
Tali principi richiedono dunque di mettere in atto misure finalizzate a minimizzare,
rispettivamente, i rischi di accessi o utilizzi delle informazioni in forma non autorizzata (1), di
modifiche o cancellazioni a seguito di errori o azioni volontarie ma anche di
malfunzionamenti dei sistemi tecnologici (2), di furto o compromissione dei dati (3).
Per riuscire nell’intento, è fondamentale che, nell’ambito del piano di sicurezza di
un’organizzazione, un ruolo di primo livello sia dedicato alla “cybersecurity awareness”. Con
tale espressione, si rimanda al concetto di consapevolezza degli utenti dei sistemi circa i
2 dispositivi di diverse tipologie (pc, notebook, smartphone, dispositivi IoT come telecamere di sicurezza
digitali e sensori, ecc.) usati come punti di accesso alla rete dagli utenti finali e dunque potenzialmente resi
vulnerabili da eventuali errori di questi ultimi
5
metodi, le tecniche e gli impatti dei cyberattacchi ai danni dell’infrastruttura informatica,
degli applicativi e dei dati detenuti da un’azienda. Infatti, accade sempre più frequentemente
che un dipendente, pur in buona fede, si trovi ad abilitare un accesso illecito alla rete
aziendale tramite una propria azione non corretta, ad esempio cliccando su un link presente
all’interno di un’email sospetta o scaricando file erroneamente ritenuti sicuri.
La consapevolezza necessaria a minimizzare certi errori può essere raggiunta attraverso
un’informazione e una formazione precisa e continua rivolta al personale aziendale partendo
soprattutto dalle figure apicali
3
, altrimenti si rischierebbe di avere una visione solo parziale
del problema. Risulta indispensabile, infatti, che la sicurezza tenga conto di tutte le dinamiche
aziendali e dei suoi attori con le relative peculiarità. Tra questi rientrano, quindi, anche i
componenti della direzione di un’azienda, spesso caratterizzati, ad esempio, da un ampio uso
in mobilità di dispositivi contenenti un’elevata quantità di informazioni delicate per la propria
attività. 
Pertanto, tutto il personale di un’organizzazione deve diventare consapevole delle minacce
informatiche (che vanno dalle intrusioni al blocco dei sistemi, dai malware al social
engineering, solo per citarne alcune) nonché dei loro possibili impatti negativi sull’operatività
e sugli interessi aziendali ma anche - in particolare in un settore estremamente delicato come
quello sanitario - sui diritti e le libertà delle persone di cui vengono trattati i dati. Gli stessi
soggetti, inoltre, devono essere informati ed aggiornati in modo da conoscere le opportune
misure difensive da adottare che, a seconda dei casi, potrebbero comprendere - a titolo
esemplificativo - la custodia adeguata delle credenziali di accesso ai sistemi, la cifratura dei
file, la capacità di riconoscere messaggi email falsificati o siti non autentici. 
I criminali informatici hanno elaborato, col tempo, tecniche sempre più all’avanguardia per
poter beneficiare dei punti deboli delle aziende. Tra gli strumenti utilizzati
4
, figurano le email
con i relativi allegati e i siti web, ma non mancano neppure i file binari di Windows sospetti,
le applicazioni potenzialmente indesiderate - come le estensioni dannose per i browser -, i
Trojan Dropper che installano più software maligni simultaneamente attraverso un file che
l’antivirus non riesce ad eliminare perché in esecuzione. Esistono, inoltre, i tentativi di portare
attacchi sfruttando il tempo che intercorre tra il rilascio di una “patch” di sicurezza e
l’effettiva installazione da parte degli utenti, così come le infezioni tramite “adware” che
permettono - utilizzando le pubblicità - di trasmettere virus, modificare le impostazioni dei
3 Fonte  : https://universeit.blog/cyber-security-awareness/ 
4 Fonte  : https://blog.4ward.it/news/correlati_cloudcore/cybersecurity 
6
sistemi operativi e dei browser per abbassarne il livello di sicurezza, violare gli antivirus o
acquisire il controllo totale dell’host. Anche lo spam, che circola in grande quantità, può
provocare danni: i criminali cercano di sottrarsi alla rilevazione dei loro messaggi dannosi
cambiando frequentemente strategie e tipi di file, usando spesso messaggi di fatture,
pagamenti e ordini di acquisto.
Per fronteggiare una minaccia in continua mutazione, la sicurezza informatica deve rincorrere
le iniziative dei criminali aggiornandosi a propria volta. Un modello evolutivo della
cybersecurity ha trovato forma nell’approccio “Zero Trust”
5
 basato sulla convinzione che
nulla sia automaticamente affidabile, né all’interno né all’esterno della rete di un’azienda, e
procede delineando un perimetro di rete aziendale in cui vengono incluse persone ed
informazioni, prevedendo che qualsiasi tentativo di collegamento dall’esterno verso l’interno
debba essere verificato all’accesso. L’approccio parte da un comportamento di tipo “zero
fiducia” da parte delle persone interne e si estende poi alle tecnologie cosicché gli accessi
siano consentiti, in modo sicuro, solo ai dati e alle informazioni realmente necessarie, per di
più nel momento dell’effettiva necessità, al fine di mitigare il rischio di cyberattacchi.
In un contesto caratterizzato da un crescente utilizzo di soluzioni cloud e di dispositivi mobili,
nonché da un sempre maggiore ricorso allo smart working, il tradizionale perimetro aziendale
è andato di fatto scomparendo. Pertanto il modello “zero trust” introduce un perimetro
differente, svincolato dai confini fisici e tale da permettere ai soggetti legittimati, ovunque si
trovino, di accedere ai contenuti  autorizzati seguendo specifiche procedure di autenticazione
forte (“strong authentication”).
In parallelo, la formazione diventa altrettanto necessaria per permettere agli operatori di
comprendere realmente come muoversi, a cosa credere e dove cliccare, ossia per renderli
consapevoli dei rischi.
Non è semplice concretizzare tale approccio, in quanto costituito da un’integrazione tra
processi definiti e contributo degli utenti. Dalle persone, a tutti i livelli, deve partire il
cambiamento culturale all’interno di un’azienda ma, consapevoli delle comuni ed umane
resistenze di fronte alle novità, le stesse devono essere messe in condizione per essere il vero
motore di questo processo. 
5 Fonte  : https://blog.horsa.com/tech-cybersecurity/il-modello-zero-trust-levoluzione-della-cyber-security/);
7