admin

Dal 17 ottobre 2024 le imprese dovranno adeguarsi a nuovi standard di cybersecurity: responsabilità, obblighi e rischi secondo la direttiva NIS 2

{
“title”: “Sicurezza informatica e responsabilità nell’era dell’IA: il caso Change Healthcare e le lezioni per le aziende europee”,
“subtitle”: “Dal recente cyberattacco negli Stati Uniti nuove riflessioni su compliance normativa e gestione delle crisi nelle aziende sanitarie e non solo”,
“content”: “Negli ultimi giorni si è discusso molto, a livello internazionale, del maxi attacco informatico che ha colpito Change Healthcare, uno dei principali provider di servizi IT del comparto sanitario statunitense. Il caso, oltre ad aver causato disservizi gravissimi a centinaia di ospedali e strutture sanitarie, solleva questioni attualissime su sicurezza delle informazioni, business continuity e responsabilità normativa—temi cruciali per qualsiasi realtà aziendale, anche nel nostro Paese e nel contesto europeo.\n\n## Il caso Change Healthcare: una panoramica\n\nIl 21 febbraio 2024, un attacco ransomware sferrato dal gruppo criminale ALPHV/BlackCat ha paralizzato i sistemi di Change Healthcare, all’origine delle prestazioni di pagamento per buona parte degli ospedali e farmacie degli USA. I dati compromessi riguardano milioni di individui: cartelle sanitarie, informazioni assicurative ma anche dati di pagamento, mettendo a rischio privacy e operatività di strutture vitali.\n\nNei giorni successivi, la società madre UnitedHealth Group ha riferito di aver pagato un riscatto (si stima superiore a 20 milioni di dollari), ma la crisi si è rapidamente trasformata in una questione di compliance: le autorità stanno indagando per accertare eventuali violazioni in tema di privacy e sicurezza informatica.\n\n## Perché il caso Change Healthcare riguarda tutte le aziende\n\nSeppure il settore sanitario sia particolarmente appetibile per i cybercriminali (la sanità è tra i comparti più colpiti dai dati violati), lo scenario che emerge dal caso Change Healthcare riguarda tutte le aziende che trattano informazioni sensibili o fanno affidamento su sistemi digitali critici per la continuità del business.\n\nIn primo luogo, la gestione dell’attacco ha evidenziato quanto sia necessario dotarsi di strategie efficaci di risk management, piani di risposta alle crisi e strumenti per la valutazione dell’impatto sugli stakeholder. In secondo luogo, il filo rosso che lega sicurezza informatica e compliance normativa non è mai stato così visibile: errori, ritardi o falle nella protezione delle informazioni personali possono tradursi in pesanti sanzioni, danni reputazionali e crisi finanziarie.\n\n## Le normative europee tra GDPR, NIS2 e responsabilità degli amministratori\n\nL’Europa si sta muovendo con decisione verso un rafforzamento delle regole sulla sicurezza cibernetica. Il Regolamento Generale sulla Protezione dei Dati (GDPR) già prevede pesanti obblighi per chi tratta dati personali e prevede sanzioni fino al 4% del fatturato mondiale delle aziende responsabili di violazioni. Ma è la nuova direttiva NIS2, in via di recepimento tra gli Stati membri, a cambiare le regole del gioco.\n\nNIS2 (Network and Information Security Directive 2) amplia il perimetro dei settori e delle imprese coinvolte, imponendo obblighi stringenti anche a società di medio-piccole dimensioni considerate vitali per infrastrutture e servizi essenziali. I principali obblighi riguardano:\n\n- adozione di misure tecniche e organizzative adeguate; \n- valutazione e gestione dei rischi informatici con approccio proattivo;\n- formazione specifica per il personale;\n- segnalazione degli incidenti significativi entro precise tempistiche;\n- responsabilità diretta degli organi amministrativi.\n\nNIS2 colma diversi gap della precedente regolamentazione e, non a caso, attribuisce agli organi di amministrazione (il consiglio di amministrazione nelle società di capitali, per esempio) la responsabilità diretta nella supervisione e nell’allocazione delle risorse sulla cybersecurity. Le sanzioni sono severe e possono prevedere sia multe economiche che interdizioni o responsabilità penali.\n\n## Il ruolo della cultura aziendale e della formazione\n\nUno degli aspetti emersi dal caso Change Healthcare, e che si ritrova nei principali report di security recenti (come il Verizon Data Breach Investigations Report), è la centralità della cultura aziendale. Troppo spesso le policy di sicurezza restano sulla carta, non sono aggiornate con le minacce attuali (si pensi al ruolo crescente dell’Intelligenza Artificiale generativa negli attacchi) e soprattutto non sono «vissute» dai dipendenti.\n\nLa formazione costante e la consapevolezza del rischio devono diventare parte integrante del DNA aziendale: bastano pochi minuti di disattenzione per aprire la porta a social engineering, attacchi phishining mirati o, come ormai accade di frequente, alla compromissione di credenziali di amministrazione.\n\n## Intelligenza Artificiale, automazione e nuovi rischi\n\nUn’ulteriore lezione fornita dal recente caso Change Healthcare riguarda il ruolo dell’Intelligenza Artificiale: sia come strumento di difesa (AI per la detection automatica delle minacce, per il response e threat hunting), sia come possibile nuovo vettore di attacco.\n\nSecondo le analisi pubblicate proprio negli ultimi giorni, i gruppi criminali stanno affinando trappole basate su generative AI, deep fake e automazione degli exploit; l’Europa, anche con regolamenti come l’AI Act, cerca di anticipare questi rischi chiedendo alle aziende un salto di qualità nella gestione e supervisione delle soluzioni AI impiegate.\n\n## Incident response e business continuity: cosa serve davvero alle aziende?\n\nLe aziende che vogliono evitare di trovarsi impreparate di fronte a minacce che—come quelle vissute da Change Healthcare—possono paralizzare il core business, devono oggi investire su:\n- Analisi di rischio periodica e dinamica;\n- Incident response plan che preveda anche lo scenario di pagamento di un eventuale riscatto ransomware;\n- Test regolari di restore dei backup e simulazioni di attacco;\n- Pianificazione di crisi con comunicazione efficace verso autorità, clienti, stakeholder;\n- Partnership con fornitori e consulenti qualificati (come previsto dal NIS2);\n- Sensibilizzazione e training costante del personale;\n- Valutazione dei fornitori essenziali in ottica di supply chain security.\n\n## Che cosa cambierà da ottobre 2024? (Focus NIS2)\n\nLa direttiva NIS2 sarà ufficialmente recepita negli ordinamenti nazionali entro il 17 ottobre 2024: questo significa che moltissime aziende pubbliche e private dovranno adeguarsi a nuovi standard di sicurezza e gestione. Non solo IT, ma anche compliance legale, governance interna e formazione entreranno tra le priorità strategiche richieste per non incorrere in possibili sanzioni.\n\nMolte realtà stanno già correndo ai ripari, adottando framework di gestione del rischio (come ISO/IEC 27001), nominando responsabili interni della sicurezza e aggiornando le proprie policy. Tuttavia, il rischio sottovalutato è quello legato all’interconnessione tra filiere: il ransomware ha dimostrato che una sola vulnerabilità può impattare l’intero ecosistema, non solo la vittima primaria.\n\n## Spunti operativi per le aziende italiane\n\nAnche se il caso Change Healthcare si è verificato negli Stati Uniti, le lezioni che se ne traggono sono assolutamente rilevanti per il settore pubblico e privato italiano:\n\n1. Ogni azienda, non solo quelle “critiche”, è un potenziale bersaglio: la gestione del rischio cyber deve essere trasversale e riguarda finance, produzione, servizi e, ovviamente, la sanità.\n2. La compliance normativa (GDPR, NIS2) non è solo un tema legale, ma strategico: investire su formazione, tecnologia e processi ora significa evitare sanzioni e danni domani.\n3. L’adozione controllata dell’Intelligenza Artificiale richiede governance e risk assessment dedicati, per ridurre la superficie di attacco e rispondere ai futuri scenari regolatori.\n4. La collaborazione nella filiera (supplier, partner, outsourcer) diventa cruciale: occorre chiedere e dimostrare sicurezza anche a monte e a valle del proprio business.\n\n## Conclusioni\n\nQuello che ci insegna il caso Change Healthcare è che nessuna organizzazione può dirsi immune. La sicurezza delle informazioni, oggi, è un prerequisito di sopravvivenza per qualsiasi azienda: un dovere verso clienti, utenti, pazienti, ma anche verso soci e amministratori.\n\nAdottare un approccio proattivo, lavorare su risk management, compliance e formazione, restare aggiornati sullo scenario normativo e sulle nuove minacce tecnologiche (AI inclusa) sono le chiavi per costruire aziende più sicure e resilienti.\n\nChe ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.\n\nAndrea Bisio”,

L’attacco informatico ai sistemi sanitari britannici Synnovis scuote il panorama aziendale: implicazioni per normative, gestione dei dati e obblighi di sicurezza secondo NIS 2 e GDPR

La scadenza per l’attuazione della direttiva NIS 2 si avvicina: challenge e opportunità tra nuove minacce cyber, normative e gestione dei dati in azienda

La recente vulnerabilità scoperta nell’uso dell’intelligenza artificiale evidenzia le nuove sfide per la sicurezza e la compliance aziendale

Come cambia il panorama della cybersecurity in azienda dopo l’approvazione definitiva della NIS 2 e quali sono gli impatti concreti su compliance e gestione operativa

Aziende sotto pressione: le sanzioni aumentano e la compliance diventa una questione di sopravvivenza

La recente violazione di dati ai danni di Microsoft mette in evidenza l’importanza della compliance normativa e dei processi di cybersecurity aziendale.

L’adozione dell’intelligenza artificiale nelle imprese obbliga a riconsiderare strategie di sicurezza, privacy e conformità normativa: cosa emerge dalle ultime notizie