Cyber Resilienza sanitaria:

L’esperienza zero trust dell’ASL Viterbo e la necessità di un approccio integrato IT/OT

fonte ForumPA

L’ASL di Viterbo, grazie alla collaborazione con Gyala, ha implementato un modello avanzato di cybersecurity basato su una strategia di Difesa Attiva e Zero Trust. Il caso evidenzia l’efficacia di una proattività metodologica. Questa esperienza, combinata con l’implementazione di architetture IT/OT integrate che Gyala ha sviluppato presso altre Aziende Sanitarie, offre un benchmark prezioso. La lezione appresa sottolinea come il principio Zero Trust (visto a Viterbo) e la visibilità unificata (necessaria negli ambienti IT/OT) siano essenziali per neutralizzare attacchi complessi e vulnerabilità nascoste.

La preparazione come vantaggio: il metodo dell’ASL di Viterbo

In collaborazione con Gyala, l’ASL di Viterbo ha avviato un percorso strutturato di rafforzamento della sicurezza aderendo a standard internazionali come la ISO/IEC 27005 per la gestione del rischio informatico. Questo lavoro preliminare non è stato un mero adempimento burocratico, ma la base che ha consentito una reazione efficace. I passaggi chiave includevano:

un meticoloso Asset Inventory, indispensabile per definire il perimetro di difesa;
una revisione e l’aggiornamento delle Procedure Operative di sicurezza per il personale e i fornitori esterni;
l’identificazione strutturata dei punti di miglioramento tecnologico.

L’integrazione con la piattaforma Gyala ha fornito a Viterbo una soluzione completa di visibilità e protezione. Il sistema è basato su Agent (XDR) per l’analisi interna dei processi, Security probe per il monitoraggio del traffico e Correlazione temporale per l’identificazione di attacchi complessi. Inizialmente installata in modalità di solo rilevamento (per apprendere il comportamento normale della rete), l’infrastruttura si è rivelata pronta per il cambio di strategia imposto dagli eventi esterni.

Le vulnerabilità nascoste: come risolvere le criticità nell’OT

Separatamente dall’esperienza di Viterbo, l’attività di monitoraggio condotta da Gyala in diverse altre strutture sanitarie italiane che hanno implementato l’architettura integrata IT/OT, ha messo in luce vulnerabilità critiche spesso latenti, che sottolineano l’urgente necessità di un approccio olistico.

I casi riscontrati sono emblematici della sfida:

L’obsoleto e il connesso. La scoperta di un analizzatore di lipidi controllato da un PC con Windows XP infetto, la cui vulnerabilità era stata innescata da una semplice chiavetta USB Wi-Fi utilizzata dagli operatori per connettere la macchina alla rete guest di navigazione. Un errore procedurale che crea un ponte non autorizzato e vanifica ogni misura perimetrale.
L’anomalia dimensionale. Il rilevamento, su un gascromatografo, di uno scambio anomalo di 32 Terabyte di dati nell’arco di un mese tra due computer interni. Un volume sproporzionato e inspiegabile, indicatore di una potenziale esfiltrazione massiva o di un’infezione fuori controllo, che era passato inosservato ai sistemi tradizionali.

Questi episodi confermano che la sicurezza del paziente dipende in ultima analisi dalla garanzia che il dispositivo medico faccia esattamente ciò che è stato progettato per fare, senza alterazioni o interferenze esterne.

La via per una sanità Cyber-Resiliente

Secondo l’esperienza di Gyala, ci sono tre elementi fondamentali per la costruzione della cyber-resilienza:

La proattività. La preparazione metodologica e l’analisi del rischio condotte prima della crisi sono stati il fattore che ha consentito all’ASL di Viterbo di non soccombere all’onda d’urto del contesto regionale, grazie all’adozione della sua strategia Zero Trust.
L’unificazione IT/OT è obbligatoria. La sanità non può permettersi una sicurezza a compartimenti stagni. L’integrazione tecnologica, come quella fornita da Gyala in altre realtà, è l’unico modo per proteggere l’intero ecosistema, dal server al dispositivo elettromedicale.
La visibilità è la prima linea di difesa. Non è possibile difendere ciò che non si vede. La capacità di rilevare e correlare anomalie – siano esse un’azione insolita di un software (Word che apre una shell, come nel caso Emotet rilevato a Viterbo) o un volume di dati anomalo (i 32 TB rilevati su apparati OT in altre ASL) – è la vera chiave per intercettare e bloccare gli attacchi complessi prima che possano arrecare danni irreversibili.

Leggi l’intero articolo su forumpa.it