Negli ultimi giorni, il mondo della sicurezza informatica italiana è stato scosso da una notizia di grande impatto: il 3 giugno 2024, l’Azienda Sanitaria Locale di Pescara è stata colpita da un attacco ransomware che ha letteralmente messo in ginocchio molti servizi essenziali, tra cui prenotazioni, referti e attività amministrative. Il caso è emblematico non solo per la gravità, ma perché conferma quanto le infrastrutture critiche – e il settore sanitario in particolare – siano un bersaglio privilegiato per i cybercriminali.
L’attacco, stando alle prime ricostruzioni, ha colpito la componente storage della ASL abruzzese con un impatto su decine di server e sistemi informativi. I responsabili hanno criptato i dati e richiesto un riscatto in criptovalute per decriptare le informazioni rubate. L’azienda ha comunicato il blocco dei servizi e si è immediatamente attivata per limitare i danni e ripristinare la normalità, segnalando l’evento alle autorità competenti. Sul caso sta ormai indagando anche la Procura.
Questa vicenda offre lo spunto per riflettere sulla sicurezza delle informazioni nel contesto aziendale, in particolare per settori sottoposti a normative stringenti in materia di privacy (GDPR), sicurezza (NIS 2) e gestione del rischio (risk management). Vediamo insieme i punti salienti, tra obblighi normativi, contromisure e scenari evolutivi.
## Perché sanità e infrastrutture critiche sono così vulnerabili?
Il settore healthcare gestisce quotidianamente dati personali e dati sanitari – come referti, cartelle cliniche, dati anagrafici – tra i più custoditi dal GDPR. Spesso, però, si trova a lavorare con sistemi informatici complessi, obsoleti, sottodimensionati o scarsamente aggiornati. Il rischio cyber non riguarda solo la perdita temporanea dei servizi (che di per sé rappresenta un danno grave ai cittadini), ma anche la possibilità di esfiltrazione e diffusione dei dati sensibili.
Non è un caso che i regolatori europei, con il nuovo pacchetto normativo NIS 2 in vigore dal 2023 ma operativo dal prossimo ottobre, abbiano esteso l’obbligo di protezione e notifica degli incidenti cyber anche alle “entità essenziali” come le aziende sanitarie, prevedendo multe importanti e responsabilità personali per manager e dirigenti. Con l’entrata di questa normativa, la postura di sicurezza non è più solo una questione tecnica da demandare agli specialisti IT, ma un compito condiviso che coinvolge tutto il management aziendale.
## Norme, obblighi e sanzioni: GDPR e NIS 2 a confronto
– **GDPR (Reg. UE 2016/679)**: tutela la privacy delle persone fisiche e impone forti obblighi per la gestione sicura dei dati. La violazione di un database sanitario può comportare sanzioni fino al 4% del fatturato globale annuo.
– **NIS 2 (Direttiva UE 2022/2555)**: stabilisce stringenti requisiti di cybersecurity per i gestori di servizi essenziali e operatori di servizi digitali. Impone la notifica tempestiva degli incidenti alle autorità nazionali e forti misure tecniche, procedurali e organizzative. Prevede responsabilità diretta sia per l’ente che per gli amministratori in caso di inadempienza.
– **Risk Management**: la nuova logica normativa trasforma il rischio informatico in rischio d’impresa, obbligando le aziende a fare assessment, adottare contromisure e aggiornare costantemente i sistemi (non solo tecnicamente, ma anche a livello di governance, formazione del personale ed esercizio di piani di crisi).
## Cosa insegnano gli ultimi attacchi e come possono reagire le aziende?
Il caso ASL Pescara segue una lunga serie di attacchi simili, sia nel settore pubblico che nel privato. La tendenza è in crescita, complice la pervasività dei ransomware, la sofisticazione degli attaccanti e i rischi correlati all’intelligenza artificiale generativa a supporto degli hacker. Da qui alcune lezioni cruciali per tutte le aziende:
1. **Non esiste più il concetto di sicurezza «a compartimenti stagni»**: la cultura cyberdev’essere trasversale e coinvolgere tutti, dal personale tecnico fino al board.
2. **Backup e piani di continuità operativa**: l’unica difesa efficace se si è colpiti da ransomware rimane la capacità di ripristinare sistemi e dati da backup offline, testati e ben protetti.
3. **Formazione e awareness**: la maggior parte degli attacchi sfrutta errori umani, email di phishing o social engineering. Investire sulla formazione costante del personale non è un lusso, ma una necessità.
4. **Governance e gestione delle terze parti**: i fornitori possono diventare la “porta d’ingresso” per chi attacca. Serve mappare l’intera filiera e chiedere compliance documentata a tutti gli stakeholder.
5. **Nel dubbio, segnalare subito**: la notifica rapida di un incidente, come richiesto da GDPR e NIS 2, può limitare danni e sanzioni. Tacere, o temporeggiare, oggi diventa un rischio persino per i vertici aziendali.
## L’impatto sull’operatività e la fiducia: cosa aspettarsi dopo un cyber attacco?
Un attacco come quello alla ASL di Pescara lascia strascichi pesantissimi:
– Danni economici diretti (fermo servizi, costi di ripristino, eventuale riscatto pagato)
– Danni reputazionali (perdita di fiducia da parte di utenti, cittadini, pazienti)
– Obbligo di ricostruire i processi, con azioni legali e disciplinari spesso inevitabili
– Pressione da parte delle autorità e rischio di ispezioni a tappeto
Le normative recenti sono pensate proprio per stimolare la resilienza e la reazione tempestiva. Oggi perdere dati o consentire un data breach non significa solo incorrere in multe: apre la porta a class action da parte dei cittadini danneggiati e, in alcuni casi, a responsabilità personale e patrimoniale per i vertici dell’ente coinvolto.
## Best practice: dai CISO alle piccole realtà, cosa fare sul concreto?
1. **Mappare i sistemi e i dati critici**: sapere dove risiedono i «gioielli di famiglia» è il primo passo per proteggerli
2. **Cyber assicurazione**: valutare piani di copertura assicurativa contro i rischi informatici, bilanciando costi, coperture e obblighi di compliance
3. **Simulazioni di attacco (Red Teaming, PenTesting)**: testare periodicamente la resilienza interna con esercitazioni e interventi esterni
4. **Parlare chiaro agli utenti**: la trasparenza nella gestione della crisi aiuta a recuperare più rapidamente la fiducia della cittadinanza
## Guardando al futuro: l’impegno necessario di management e istituzioni
Il caso ASL Pescara è destinato a non rimanere isolato, proprio perché la maggior parte delle infrastrutture critiche ha ampie lacune tecnologiche, organizzative e culturali sul tema cybersecurity. Con i sempre maggiori investimenti previsti dal PNRR e i nuovi obblighi normativi, cambierà anche il ruolo richiesto ai vertici aziendali: la sicurezza informatica è ormai parte della gestione del rischio d’impresa. E le aziende che sapranno attrezzarsi fin da ora – con governance solide, procedure collaudate, tecnologie aggiornate e personale formato – saranno quelle che potranno navigare il futuro digitale in modo sicuro, competitivo e in linea con quanto chiedono le normative.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio