Soluzioni per settore
IT sicuro per la sanità.
Protezione dei dati sanitari, continuità e conformità per studi medici e strutture sanitarie.
Scopri la soluzioneI dati sanitari sono la categoria più protetta dal GDPR e la più ricercata dagli attaccanti. In sanità un blocco dei sistemi non è un disservizio amministrativo: sono agende ferme, referti irraggiungibili e assistenza rallentata.
Categoria particolare, obblighi più stringenti
I dati relativi alla salute rientrano tra le categorie particolari dell'articolo 9 del GDPR: il trattamento è vietato salvo specifiche condizioni, e le misure di sicurezza devono essere proporzionate a un rischio che è per definizione elevato. Cambiano anche le conseguenze di un incidente: nella valutazione di una violazione che coinvolge dati sanitari il rischio elevato per i diritti degli interessati è quasi sempre presumibile, il che rende probabile la comunicazione anche ai pazienti oltre alla notifica al Garante entro settantadue ore. Non è un dettaglio formale: significa dover scrivere alle persone che i loro dati sanitari sono stati esposti.
Perché la sanità è un bersaglio
Gli attaccanti scelgono la sanità per due ragioni molto concrete. La prima è che i dati sanitari valgono più di quelli finanziari sui mercati illeciti, perché non si possono cambiare come si cambia una carta di credito. La seconda è che una struttura sanitaria bloccata subisce una pressione enorme a ripristinare in fretta, il che la rende più incline a cedere a un ricatto. A questo si aggiunge un fattore tecnico: molti dispositivi diagnostici sono computer a tutti gli effetti, con sistemi operativi vecchi certificati dal produttore e non aggiornabili senza invalidare la conformità del dispositivo medico.
I dispositivi diagnostici vanno isolati
Ecografi, apparecchi radiologici, analizzatori di laboratorio e sistemi di refertazione sono spesso collegati in rete e girano su versioni di sistema operativo che non ricevono più aggiornamenti da anni. Aggiornarli non si può; sostituirli costa quanto l'apparecchiatura. L'unica strada percorribile è la stessa dell'industria: rete separata, comunicazione consentita solo verso i sistemi necessari, accessi dei fornitori nominali e temporanei anziché permanenti. È un intervento di configurazione che riduce drasticamente lo scenario peggiore.
Un ecografo con un sistema operativo del 2014 non è un problema se sta in una rete isolata. Lo diventa quando condivide la rete con la posta della segreteria.
Un tecnico (non un commerciale) analizza la tua situazione e ti dice cosa sistemare. Che tu scelga noi o no.
Cosa mettiamo in campo
Un impianto tarato sulla natura particolare dei dati trattati.
- Rete separata per dispositivi diagnostici e sistemi di refertazione
- Accessi nominali e tracciati ai dati dei pazienti, con privilegi minimi per ruolo
- Autenticazione a più fattori su posta, gestionale e accessi da remoto
- Cifratura di postazioni, portatili e supporti che escono dalla struttura
- Backup immutabile con test di ripristino, dimensionato sui tempi di continuità dell'assistenza
- Registrazione degli accessi ai dati sanitari e procedura di gestione delle violazioni
Continuità significa assistenza
In altri settori il piano di continuità serve a non perdere fatturato; qui serve a non interrompere le cure. Le domande da porsi sono operative: se il gestionale si ferma, come si accede alle terapie in corso e alle allergie note? Se il sistema di refertazione è irraggiungibile, come si consegnano i referti già pronti? Chi avvisa i pazienti in agenda? Serve una procedura scritta e provata, con modalità di lavoro alternative anche su carta per le prime ore, perché l'attività non può semplicemente fermarsi in attesa che i sistemi tornino.
La sanità è nel perimetro NIS2
Il settore sanitario compare negli allegati del D.Lgs. 138/2024, e a seconda della tipologia e delle dimensioni una struttura può risultare soggetto essenziale o importante — con le soglie e i criteri da verificare caso per caso. Gli obblighi conseguenti sono precisi: registrazione sulla piattaforma ACN nella finestra annuale, misure di sicurezza di base con evidenze documentali entro il 31 ottobre 2026, notifica degli incidenti significativi con preallarme entro 24 ore, e responsabilità in capo agli organi di amministrazione. Facciamo l'assessment per stabilire la posizione e costruiamo il percorso di adeguamento.
FAQ
Domande frequenti
Una struttura sanitaria è soggetta alla NIS2?
Il settore sanitario è tra quelli degli allegati del D.Lgs. 138/2024, ma la qualifica come soggetto essenziale o importante dipende da tipologia di attività e dimensioni. Serve una verifica puntuale: con un assessment breve determiniamo la posizione e gli obblighi conseguenti.
I dispositivi diagnostici non sono aggiornabili: come li proteggiamo?
Isolandoli in una rete separata che comunichi solo con i sistemi necessari, con accessi dei fornitori nominali e temporanei. Aggiornarli invaliderebbe la certificazione del produttore, quindi la protezione si costruisce attorno, non sopra.
Quali sono le conseguenze di una violazione di dati sanitari?
Oltre alla notifica al Garante entro 72 ore, con dati sanitari è molto probabile che ricorra il rischio elevato per gli interessati, il che comporta anche la comunicazione ai pazienti coinvolti. Vanno aggiunti il danno reputazionale e le possibili conseguenze sanzionatorie.
I dati dei pazienti possono stare in cloud?
Sì, se il fornitore offre garanzie adeguate, l'ubicazione dei dati è definita, il trattamento è regolato contrattualmente e gli accessi sono protetti e tracciati. La valutazione va fatta caso per caso con il DPO o il consulente privacy della struttura.
Serve tracciare chi accede alle cartelle dei pazienti?
Sì, ed è una delle misure attese in caso di verifica quando si trattano dati sanitari. Configuriamo la registrazione degli accessi e la conservazione dei log in modo proporzionato, distinguendola dal controllo a distanza sui lavoratori.
Come garantite la continuità dell'attività clinica?
Con backup immutabili e testati, tempi di ripristino concordati sulla base dell'attività e un piano di continuità che preveda modalità alternative per le prime ore, comprese quelle su carta. La priorità di ripristino si definisce sui processi assistenziali, non sull'organigramma.
Vale anche per uno studio medico o odontoiatrico piccolo?
Sì, in forma proporzionata. Anche uno studio singolo tratta dati particolari e ha gli stessi obblighi di base: backup testato, autenticazione a più fattori, cifratura delle postazioni e una procedura da seguire in caso di violazione.