Nei primi giorni di giugno 2024, il settore sanitario britannico è stato travolto da un grave attacco ransomware che ha colpito Synnovis, uno dei principali fornitori di servizi diagnostici del NHS (National Health Service). Il blocco improvviso dei sistemi informatici ha causato la sospensione o il rinvio di centinaia di interventi chirurgici e procedure urgenti, attirando l’attenzione dei media e delle autorità europee sulla vulnerabilità delle infrastrutture critiche. Ma l’eco della notizia travalica i confini dell’ambito sanitario e si rivolge a tutte le aziende che gestiscono dati sensibili e devono adeguarsi a un quadro normativo sempre più stringente.
In questo articolo analizziamo quali insegnamenti chiave le realtà aziendali possono trarre da questo incidente: dal rafforzamento degli standard di cybersecurity alla gestione dei dati personali, fino agli adempimenti imposti dalle direttive NIS 2 e GDPR. Una panoramica utile non solo per i responsabili IT, ma anche per chi si occupa di compliance, privacy e government aziendale.
**Il caso Synnovis: cosa è successo e perché è rilevante**
Il 3 giugno 2024 la South London Pathology, gestita da Synnovis, è stata colpita dal ransomware di una cybergang criminale nota come Qilin. Il risultato è stato il blocco delle infrastrutture digitali di diversi ospedali, coinvolgendo la gestione di esami del sangue, consegna dei referti e pianificazione di interventi. Migliaia di risultati diagnostici sono rimasti inaccessibili e pazienti oncologici e cronici, nonché pazienti che necessitavano trasfusioni urgenti, sono stati rimandati di giorni. Si parla di uno dei blackout informatici più dannosi della storia della sanità europea.
Questo attacco non è soltanto una questione tecnica, ma evidenzia la necessità imprescindibile della protezione delle informazioni come asset critici per la business continuity. Inoltre, diventa paradigma dei profondi legami tra cybersecurity, regulatory compliance e responsabilità aziendale.
**Ransomware e infrastrutture critiche: un rischio trasversale**
La prima lezione riguarda la natura trasversale del rischio ransomware, che non colpisce solamente servizi pubblici, ma anche aziende del settore privato e organizzazioni che gestiscono dati sensibili, come quelli finanziari o dei dipendenti.
È emersa ancora una volta l’importanza dei piani di backup e di disaster recovery costantemente aggiornati, così come di procedure chiare per la gestione degli incidenti di sicurezza. Le aziende devono investire non solo in tecnologie avanzate di protezione, ma anche sulla formazione del personale, affinché sappiano riconoscere possibili tentativi di phishing, porta d’accesso frequente per i ransomware.
**Compliance normativa: tra NIS 2 e GDPR**
Il panorama normativo europeo è oggi più attento che mai alla protezione delle infrastrutture critiche e dei dati personali. Lo scorso anno è stata approvata la direttiva NIS 2 (Network and Information Security), la quale introduce nuovi obblighi per le aziende che operano in settori considerati essenziali, tra cui sanità, energia, trasporti e digital infrastructure provider.
Le aziende devono:
– Adottare misure tecniche e organizzative adeguate alla valutazione dei rischi specifici
– Notificare entro 24 ore eventuali incidenti significativi agli organi competenti
– Documentare politiche, procedure e controlli adottati
– Promuovere la formazione sulla sicurezza tra i dipendenti
In parallelo resta vigente il regolamento GDPR, che impone specifiche tutele sui dati personali. In caso di attacco informatico, la mancata notifica all’Autorità Garante o alle persone coinvolte può comportare sanzioni amministrative severissime, fino al 4% del fatturato mondiale annuo dell’azienda colpita.
**Data breach: la centralità della gestione incidenti**
Il breach subito da Synnovis impone a tutte le realtà aziendali una revisione profonda dei piani di incident response. È necessario avere strumenti di monitoraggio in tempo reale e canali comunicativi efficaci, anche per la trasparenza verso clienti e stakeholder. La tempestività nella notifica di una violazione agisce come un potente deterrente nei confronti degli attaccanti e consente di limitare l’impatto reputazionale.
Di fronte all’accelerazione degli standard richiesti da GDPR e NIS 2, diventa fondamentale:
– Consolidare un team interfunzionale per la gestione delle crisi (IT, compliance, legale, HR)
– Cambiare rapidamente credenziali compromesse e aggiornare patch di sicurezza
– Definire checklist di comunicazione interna ed esterna, con template pronti all’uso
– Collaborare sin da subito con le autorità competenti
**Lezioni per le aziende italiane: presidio, governance, cultura della sicurezza**
L’attacco a Synnovis deve essere uno spunto di riflessione per tutte le aziende, non solo per quelle del settore sanitario. La digitalizzazione dei processi in atto in Italia aumenta la superficie potenziale di attacco e rende imprescindibile uno sforzo continuo in termini di governance della security.
Alcuni consigli pratici:
– **Valutazione periodica dei rischi**: utilizzare modelli aggiornati e audit per identificare vulnerabilità tecniche e organizzative
– **Aggiornamento continuo dei software**: implementare piani di patch management e check preventivi
– **Formazione costante**: erogare corsi anti-phishing e simulazioni di attacco per sensibilizzare i dipendenti
– **Rafforzamento delle policy di backup e recovery**: mantenere copie dei dati, offline e offsite
– **Verifiche di compliance e privacy by design**: coinvolgere il DPO e i responsabili IT nella fase di sviluppo di nuovi servizi digitali
L’avvento dell’Intelligenza Artificiale nei sistemi di monitoraggio delle minacce rappresenta una nuova frontiera, ma non può sostituire la cultura della sicurezza che deve permeare ogni livello aziendale.
**Risvolti per la cybersecurity e la reputazione aziendale**
Le conseguenze di un attacco come quello di Synnovis non sono solo operative e normative. I danni reputazionali si protraggono a lungo e possono determinare la perdita della fiducia da parte dei clienti. Sempre più stakeholder, investitori e partner commerciali stanno includendo la sicurezza delle informazioni tra i criteri ESG di valutazione delle imprese.
Per un’azienda, comunicare in modo trasparente e tempestivo è parte integrante della gestione della crisi. Predisporre simulazioni di incident response e piani di business continuity, testandoli periodicamente, rappresenta oggi uno dei principali asset di differenziazione competitiva.
**Conclusioni: la sicurezza delle informazioni come responsabilità diffusa**
Il caso Synnovis rappresenta un monito per tutto il mondo imprenditoriale: la sicurezza dei dati e la compliance normativa non possono più essere considerate ambiti separati ma devono confluire in una strategia aziendale integrata.
Con l’entrata in vigore di NIS 2, i controlli e le sanzioni aumenteranno sensibilmente anche nel contesto italiano. Le aziende che mostreranno capacità di adattamento e presidio costante ne usciranno più forti, più resilienti e – soprattutto – più affidabili agli occhi del mercato.
Adottare una governance della sicurezza che anticipa i rischi, promuove la formazione e integra la compliance nelle decisioni aziendali non è un costo, ma un investimento nel futuro.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio