Il ransomware che costrinse oltre cento ospedali rumeni a tornare alla carta spiega la resilienza meglio di molti convegni sulla compliance.
La notte tra l’11 e il 12 febbraio 2024 un ransomware colpì i server sui quali funzionava Hipocrate, il sistema informativo utilizzato da numerosi ospedali rumeni. File e database vennero cifrati. Ventisei strutture subirono direttamente l’attacco; molte altre decisero di scollegarsi per precauzione. Alla fine, oltre cento ospedali dovettero fare i conti con l’indisponibilità dei sistemi.
Nei reparti, però, i pazienti continuarono ad arrivare.
Medici e infermieri recuperarono registri, prescrizioni e moduli cartacei. I laboratori tornarono a stampare i risultati. Le informazioni raccolte durante l’emergenza sarebbero state riallineate successivamente, dopo il ripristino dei sistemi. Il racconto sembra quello di una battaglia combattuta con strumenti di un’altra epoca. In realtà spiega molto bene a cosa serve oggi la NIS2.
La NIS2 non promette sistemi invulnerabili
Quando si parla della NIS2, il dibattito italiano finisce spesso per concentrarsi sul perimetro dei soggetti obbligati, sulle registrazioni, sulle notifiche all’ACN e sulle sanzioni.
Sono aspetti importanti. Rappresentano però soltanto la parte più visibile della disciplina.
La NIS2 non nasce dall’idea che ogni incidente possa essere evitato. Un’organizzazione può investire in tecnologie, procedure e controlli e subire comunque un attacco. La differenza si vede dopo: quando deve continuare a erogare il servizio, contenere il danno e ripristinare le proprie attività senza perdere il controllo.
L’articolo 21 della direttiva europea e, in Italia, l’articolo 24 del decreto legislativo 138 del 2024 richiedono misure dedicate alla gestione degli incidenti, alla continuità operativa, ai backup, al disaster recovery, alla gestione delle crisi e alla sicurezza della catena di approvvigionamento. Non è un elenco casuale. Sono esattamente i problemi emersi negli ospedali rumeni.
La carta può essere una misura di resilienza
Il ritorno alla carta non dimostra necessariamente che l’organizzazione fosse arretrata. In alcuni processi può rappresentare una modalità temporanea di funzionamento perfettamente legittima.
Dipende da come viene gestito.
Servono moduli disponibili, responsabilità definite e procedure per identificare correttamente i pazienti, registrare le terapie, comunicare con i laboratori e riportare successivamente le informazioni nei sistemi. Il personale deve sapere quando attivare la modalità manuale e quali attività abbiano la precedenza. Occorre anche stabilire come evitare errori, duplicazioni o perdite di dati durante il riallineamento.
Se tutto questo è stato preparato e provato, la carta è una componente del piano di continuità. Se qualcuno cerca una risma e una penna quando i monitor sono già spenti, siamo ancora nel campo dell’improvvisazione.
La differenza, in sanità, può avere conseguenze dirette sui pazienti.
Il rischio può arrivare dal sistema condiviso
L’incidente rumeno offre anche una seconda lezione. Il ransomware colpì l’infrastruttura sulla quale funzionava una piattaforma utilizzata da molte strutture. La compromissione di un servizio condiviso produsse quindi un effetto molto più ampio del singolo ospedale.
È il motivo per cui la NIS2 dedica attenzione alla sicurezza della catena di approvvigionamento. Affidare un servizio a un fornitore non trasferisce automaticamente anche il rischio. L’organizzazione deve conoscere le dipendenze, valutare le conseguenze di un’indisponibilità e stabilire contrattualmente tempi di comunicazione, assistenza, ripristino e accesso alle evidenze.
Deve soprattutto evitare che il proprio piano di continuità coincida con una frase del fornitore: “Ci stiamo lavorando”.
Nel caso rumeno, la disponibilità di backup relativamente recenti rese possibile il recupero senza pagare il riscatto. La maggior parte delle copie risaliva a uno, due o tre giorni prima; una struttura disponeva di dati vecchi di dodici giorni. Anche questo dettaglio conta. Avere un backup non significa automaticamente essere in grado di ripartire. Bisogna sapere quanto si perderà, quanto tempo servirà e se il ripristino è stato realmente provato.
A cosa serve veramente la NIS2
La NIS2 serve a costringere organizzazioni essenziali e importanti a porsi queste domande prima dell’incidente.
Quali servizi devono continuare? Per quanto tempo possiamo lavorare senza un determinato sistema? Chi decide di isolare la rete? Come comunichiamo se la posta elettronica non funziona? Quali fornitori dobbiamo coinvolgere? Da quale copia possiamo ripristinare? Come torniamo dalle misure provvisorie all’operatività ordinaria?
La conformità documentale serve soltanto se produce risposte utilizzabili.
Un ospedale resiliente non è quello nel quale i computer non si spengono mai. È quello nel quale, quando accade, medici e infermieri possono continuare a curare le persone senza affidarsi al caso. È per questo che esiste la NIS2.