Cybersecurity in sanità: quasi 5 milioni di dollari il costo medio totale di un attacco IT

Proofpoint, azienda specializzata nel settore della cybersecurity e della compliance, e Ponemon Institute, importante organizzazione di ricerca sulla sicurezza informatica, hanno di recente pubblicato il report “Cyber Insecurity in Healthcare: The Cost and Impact on Patient Safety and Care 2023”.

Quanto emerge da questa ricerca annuale sugli effetti della cybersecurity nel settore sanitario - sono stati coinvolti 653 professionisti IT  - è alquanto preoccupante: l’88% delle aziende sanitarie coinvolte è stata oggetto negli ultimi 12 mesi di una media di 40 attacchi, con un costo medio totale di 4,99 milioni di dollari, in aumento del 13% rispetto all’anno precedente.

“Per il secondo anno consecutivo, abbiamo scoperto che i quattro tipi di attacchi analizzati hanno un impatto negativo diretto sulla sicurezza e sulla salute dei pazienti,” ha dichiarato Larry Ponemon, chairman e founder di Ponemon Institute. “I nostri risultati mostrano anche che, rispetto al 2022, un numero maggiore di professionisti IT e di sicurezza consideri la propria azienda vulnerabile a ciascun tipo di attacco, cosa che mette a più dura prova le risorse rispetto all’anno scorso, con un costo medio complessivo superiore del 13% e un aumento del 58% del tempo necessario per garantire il ripristino dall’impatto sulle cure dei pazienti.”

Gli attacchi più comuni

Quattro sono i tipi di attacchi più comuni: compromissione cloud, ransomware, supply chain e compromissione della posta elettronica aziendale (BEC). Tra le aziende che li hanno subìti, il 66% ha dovuto registrare interruzioni nell’assistenza ai pazienti. In maggiore dettaglio: il 57% ha riportato esiti inadeguati a causa di ritardi nelle procedure ed esami, il 50% ha registrato un aumento delle complicazioni nei processi medici e il 23% un aumento del tasso di mortalità dei pazienti. E’ il ransomware la minaccia sempre presente per le organizzazioni sanitarie: il 54% degli intervistati afferma di aver subìto un attacco ransomware (erano il 41% del 2022).

Gli attacchi alla supply chain sono la tipologia di minaccia che ha le maggiori probabilità di avere conseguenze sull’assistenza ai pazienti. Quasi due terzi (64%) delle aziende hanno subìto un attacco alla supply chain negli ultimi due anni e tra queste, il 77% ha affrontato interruzioni dell’assistenza ai pazienti (in aumento rispetto al 70% del 2022). Gli attacchi BEC sono la tipologia con maggiori probabilità di provocare esiti non adeguati a causa di procedure ritardate (71%), seguiti dal ransomware (59%). È inoltre molto probabile che un attacco BEC provochi un aumento delle complicazioni delle procedure mediche (56%) e un allungamento dei tempi di degenza (55%). In tema di perdita di dati, emerge che la totalità delle aziende intervistate ha subìto almeno una perdita di dati o un’esfiltrazione di informazioni sanitarie sensibili e riservate negli ultimi due anni.

Una maggiore consapevolezza da parte delle organizzazioni sanitarie

Dinanzi a questi dati, è chiaro che le organizzazioni sanitarie hanno compiuto pochi passi in avanti nel mitigare i rischi di attacco alla sicurezza e alla salute dei pazienti. Vi è però uno spiraglio di positività nelle dichiarazioni di Ryan Witt, Healthcare Customer Advisory Board di Proofpoint.

“Nonostante il settore sanitario rimanga altamente vulnerabile agli attacchi di cybersecurity, è positivo il fatto che i dirigenti del settore comprendano come un incidente informatico possa avere un impatto negativo sulle cure dei pazienti e sono ottimista sui progressi significativi che si possano realizzare per proteggere i pazienti dai danni fisici che questi attacchi potrebbero causare. La nostra ricerca dimostra che le organizzazioni sanitarie stanno acquisendo consapevolezza dei rischi informatici da affrontare. Ora devono collaborare con i colleghi del settore e ottenere il sostegno dei governi per costruire una postura di sicurezza informatica più forte e, di conseguenza, fornire migliori cure ai pazienti.” 

La sfida della competenza

La mancanza di competenze interne e la carenza di personale rappresentano una sfida ancora maggiore all’efficacia della postura della cybersecurity rispetto al passato. Per il 58% la mancanza di competenze, rispetto al 53% del 2022, e per il 50% il personale insufficiente, rispetto al 46% dello scorso anno. E’ stata inoltre rilevata una scarsa preparazione anche nell’affrontare gli attacchi BEC/spoofing e alla supply chain, con conseguenze rischiose per i pazienti.

Il report Cyber Insecurity in Healthcare: The cost and impact on patient safety and care 2023, è disponibile al seguente link: https://www.proofpoint.com/us/resources/threat-reports/ponemon-healthcare-cybersecurity-report

Per ulteriori informazioni sulle soluzioni Proofpoint dedicate al settore sanitario: https://www.proofpoint.com/healthcare