Cybersecurity per la Sanità: Vulnerability Assessment e Penetration Test

La sicurezza informatica di ospedali e strutture sanitarie è oggi una delle priorità più urgenti del settore, e le ragioni sono precise. Una struttura sanitaria custodisce i dati più preziosi che esistano sul mercato criminale — cartelle cliniche, dati identificativi, informazioni di pagamento — e allo stesso tempo non può permettersi alcuna interruzione: quando un ransomware blocca i sistemi di un ospedale, non si ferma un ufficio, si fermano le cure. È questa combinazione tra valore del dato e urgenza di ripristino che rende le strutture sanitarie il bersaglio ideale degli attacchi ransomware a doppia estorsione, in cui i criminali cifrano i sistemi e minacciano di diffondere i dati dei pazienti.

A rendere il quadro più critico c’è la superficie esposta: la digitalizzazione della sanità ha moltiplicato i dispositivi connessi — apparecchiature diagnostiche, monitor, sistemi di imaging — molti dei quali funzionano su firmware datato e non aggiornabile, pur restando collegati alla rete clinica. Ogni dispositivo è un potenziale punto d’ingresso. La cybersecurity in sanità non è quindi un adempimento formale, ma una condizione della continuità delle cure e della tutela dei pazienti.

La sicurezza informatica di un ospedale o di una clinica non si verifica con un singolo intervento, ma con un percorso in due fasi che conduciamo in sequenza. Si parte dal Vulnerability Assessment: una scansione sistematica e approfondita di tutta l’infrastruttura — server, postazioni, gestionali, dispositivi di rete — che individua le vulnerabilità note e restituisce una fotografia completa di dove la struttura è esposta, con le criticità ordinate per priorità di intervento.

Il passo successivo è il Penetration Test, dove i nostri analisti non si limitano a segnalare le falle, ma provano a sfruttarle in un ambiente controllato e autorizzato, come farebbe un attaccante reale. È qui che si scopre la differenza tra una vulnerabilità teorica e un rischio concreto: quali falle portano davvero alla cartella clinica elettronica, quali permettono di muoversi lateralmente dalla rete amministrativa a quella dei dispositivi medici.

Il Vulnerability Assessment dice dove siete esposti;
il Penetration Test dimostra quanto quell’esposizione è grave davvero.

Ogni struttura sanitaria ha un’infrastruttura diversa: il perimetro dell’analisi va definito sul caso concreto.
Descriveteci la vostra situazione e vi proponiamo l’intervento più adatto, dal vulnerability assessment al penetration test.

Apparecchiature diagnostiche, monitor, pompe di infusione e sistemi di imaging sono sempre più connessi alla rete, ma spesso operano su firmware datato e privo di aggiornamenti di sicurezza. Analizziamo questi dispositivi per individuare i punti in cui un attaccante potrebbe sfruttarli come porta d’ingresso alla rete clinica.

I sistemi che custodiscono i dati dei pazienti sono il bersaglio primario del ransomware e dell’esfiltrazione. Verifichiamo la sicurezza degli applicativi gestionali, dei database clinici e dei controlli di accesso, per assicurare che i dati sensibili siano protetti da accessi non autorizzati.

In molte strutture la rete clinica, quella amministrativa e quella degli ospiti non sono adeguatamente separate: una compromissione in un punto marginale può raggiungere i sistemi critici. Verifichiamo la segmentazione e testiamo i percorsi di movimento laterale che un attaccante potrebbe seguire.

Per una struttura sanitaria la sicurezza informatica è anche un obbligo normativo, e le verifiche tecniche sono lo strumento con cui dimostrarne il rispetto. L’Agenzia per la Cybersicurezza Nazionale ha indicato, tra le raccomandazioni per il settore sanitario, l’esecuzione periodica di vulnerability assessment e penetration test come strumenti per identificare e correggere le vulnerabilità prima che vengano sfruttate.

A questo si aggiunge la direttiva NIS2, che include la sanità tra i settori essenziali, e il GDPR, che per i dati sanitari richiede un livello di protezione rafforzato, con sanzioni fino al 4% del fatturato in caso di violazione.

Gli strumenti automatici trovano ciò che è già noto: porte aperte, versioni obsolete, vulnerabilità già catalogate. È un punto di partenza, non un risultato.

Il valore reale di un penetration test sta nell’esperienza degli analisti, che ragionano come un attaccante: concatenano debolezze apparentemente minori fino a costruire uno scenario di compromissione concreto, individuano errori di configurazione e logiche applicative che nessuno scanner segnala, e distinguono il falso allarme dal rischio reale. In un ambiente complesso come quello sanitario — fatto di dispositivi medici, gestionali clinici e reti stratificate — è questa capacità di analisi che fa la differenza tra un elenco di avvisi e una valutazione che vi dice davvero quanto siete esposti.