Il settore sanitario è diventato oggi uno dei principali bersagli dei cyberattacchi a livello globale, principalmente per due motivi: uno, il valore elevato dei dati sanitari sul mercato nero, superiore a quello dei dati finanziari perché permanenti e non modificabili, e due, la crescente interconnessione di dispositivi medici (il cosiddetto Internet of Medical Things) che moltiplicano le vulnerabilità delle infrastrutture ospedaliere e ampliano la superficie d'attacco, con conseguenze potenzialmente letali per i pazienti.

Un rapporto di Cynerio mostra che su 10 milioni di dispositivi medici connessi, ben il 53% presenta almeno una vulnerabilità nota, il 21% dei dispositivi è protetto da credenziali deboli o predefinite e molti sistemi operano su software obsoleti. Questo fa sì che il 73% delle pompe infusionali — i dispositivi più diffusi negli ospedali — è a rischio.

Parlando di casi reali per rendere le cose piu chiare, ad esempio, nel 2018 e poi nel 2021, Medtronic ha dovuto richiamare i telecomandi dei propri microinfusori di insulina MiniMed, vulnerabili a intercettazioni del segnale wireless che avrebbero potuto causare sovradosaggi o blocco dell'insulina; nel 2017, la FDA ha emesso un richiamo per circa 500.000 pacemaker di Saint Jude Medical, vulnerabili ad accessi non autorizzati via radiofrequenza, risolvendo il problema con un aggiornamento firmware.

Sul piano normativo, il Regolamento UE 2017/745 (MDR) disciplina la produzione e commercializzazione dei dispositivi medici, imponendo ai fabbricanti un sistema continuo di gestione del rischio lungo l'intero ciclo di vita del prodotto, tenendo sempre in considerazione quello che dice il GDPR, dal momento che i dispositivi medici trattano dati sanitari sensibili. Il Medical Device Coordination Group (MDCG) ha pubblicato una guida non vincolante sulla cybersicurezza, che promuove un approccio risk-based e impone requisiti di sicurezza by design già dalla fase di progettazione.

Non bisogna dimenticarsi però del ruolo sempre piu centrale giocato dai grandi player stranieri — principalmente statunitensi (come Palantir) e israeliani (come Armis, acquisita da ServiceNow per oltre 7 miliardi di dollari) — nella catena di fornitura di questi dispositivi medici.

‍