I dispositivi medici, a partire dagli apparati diagnostici ospedalieri fino ai sistemi elettronici indossabili e a quelli impiantabili nel nostro corpo, costituiscono un imprescindibile strumento per la cura e la salute della persona, sia in ambiente ospedaliero sia in quello domestico. La loro rapida evoluzione li ha portati a incrociare le traiettorie delle tecnologie wireless e dei sistemi di Intelligenza Artificiale: se da un lato questo ha permesso di realizzare strumenti sempre più all’avanguardia per la salute dei pazienti, dall’altra moltiplica l’eventualità di possibili rischi per la sicurezza informatica e fisica dei dispositivi, rischi legati proprio alla varietà delle interazioni con l’esterno che questi strumenti rendono possibile. I sistemi wireless, cioè, vanno collegati a una rete: una finestra che va presidiata.
Nell’ambito delle attività di ricerca svolte in collaborazione con il Centro di Competenza Cyber 4.0, l’Università di Roma “Tor Vergata” ha realizzato l’Osservatorio Cyber4Health, una piattaforma per la sicurezza informatica dei dispositivi medici, tra le prime al mondo nel suo genere, finalizzata a fornire una base di conoscenze tecniche e legislative sulla vulnerabilità dei dispositivi medici, soprattutto wireless, rispetto a eventuali attacchi informatici ed elettromagnetici. Cyber4Health si rivolge in particolare a sviluppatori tecnologici, integratori di sistemi, gestori di servizi, ospedali ma anche ai pazienti.
L’Osservatorio vuole stimolare una cultura di “Cyber-Physical Security by Design”
L’Osservatorio vuole stimolare una cultura di “Cyber-Physical Security by Design” che, partendo dalla conoscenza delle problematiche già accertate o plausibili, possa mitigare i rischi già nella fase di definizione del dispositivo medicale. La piattaforma è stata presentata la scorsa settimana in un workshop durante il quale sono stati illustrati anche i primi risultati ottenuti con una dimostrazione dal vivo dell’uso del sito. Sono intervenuti, tra gli altri, il rettore dell’Università di Roma “Tor Vergata” Nathan Levialdi Ghiron, il prorettore al Trasferimento Tecnologico dell’Università di Roma “Tor Vergata”, Vincenzo Tagliaferri, il presidente di Cyber 4.0, Università La Sapienza di Roma, Leonardo Querzoni.
“Possiamo distinguere due tipi di security, la Cybersecurity, che riguarda la protezione nei confronti di attacchi di natura software e la Sicurezza Fisica, che riguarda la protezione nei confronti dell’hardware, la parte elettronica dei dispositivi medici”, ha specificato sin da subito Francesca Nanni, dottoranda in Ingegneria medica all’Università di Roma “Tor Vergata” che ha lavorato alla realizzazione dell’Osservatorio Cyber4Health.
Paolo Abundo del Policlinico Tor Vergata, Responsabile del servizio di Ingegneria Medica, ha elencato i potenziali rischi per la sanità: le interruzioni possono comportare chiusura di intere unità operative, furto di dati sensibili, blocco del servizio sanitario anche per diversi giorni, possibile danneggiamento di dispositivi medici ed elevati rischi per la sicurezza del paziente.
Metodo CVSS, un punteggio di vulnerabilità
“La piattaforma, il cuore dell’Osservatorio, è stata realizzata anche con la collaborazione del Laboratorio di Elettromagnetismo Pervasivo di “Tor Vergata” della Macroarea di Ingegneria. Se da un alto intende offrire un servizio non solo alle aziende ma a tutti coloro che si occupano dello sviluppo, della certificazione, della manutenzione e della messa in commercio riguardo alle attuali vulnerabilità, dall’altro ha l’obiettivo di innalzare il livello di consapevolezza dell’utente finale, ovvero medici e pazienti”, ha affermato Francesco Lestini, dottorando in ingegneria medica a “Tor Vergata” che ha lavorato alla realizzazione della piattaforma. Tutto questo, ha precisato, perché quando un dispositivo medico subisce un attacco alla sicurezza, un problema di sicurezza cyber diventa un problema di salute.
L’Osservatorio raccoglie dati sui dispositivi esistenti nel settore medicale proveniente, al momento, da organizzazioni governative e articoli scientifici e fornisce in tempo reale il numero delle vulnerabilità dei dispositivi medici e degli attacchi informatici rilevati, assegnando ai sistemi utilizzati un punteggio di vulnerabilità, “Common Vulnerability Scoring System (CVSS)”:”un metodo che non misura il rischio ma la gravità delle vulnerabilità scoperte, con la possibilità per industrie, organizzazioni e governi di definire delle priorità per le attività di risoluzione di tali vulnerabilità”, ha spiegato Gaetano Marrocco, professore ordinario di Campi Elettromagnetici, Università di Roma “Tor Vergata” e coordinatore del corso di studi in Ingegneria Medica, Dipartimento di Ingegneria Civile e Ingegneria Informatica, che ha organizzato il workshop e moderato l’evento.
La piattaforma classifica i dispositivi rispetto ad alcuni campi individuati dai ricercatori di “Tor Vergata: in base al distretto corporeo di applicazione (stomaco, cuore, etc), alla tipologia di dispositivi (pacemaker, risonanza magnetica, rete ospedaliera, ecc.), al tipo di attacco cyber (eavesdropping, sniffing, accesso non autorizzato…), alla tipologia generica del dispositivo (impiantato, wearable, smartwatch, dispositivi ospedalieri), all’anno della vulnerabilità, al tipo di vulnerabilità (cyber o fisica), ma soprattutto sulla base della gravità della vulnerabilità (CVSS) e sulla classe di rischio, sono quattro le classi dal punto di vista della sicurezza del paziente.
Attacchi informatici: dai sistemi informativi ospedalieri ai pacemaker
“Ho chiesto di scrivere a ChatGPT un comunicato stampa apocalittico datato 17 maggio 2028”. Ha aperto così il suo intervento il professor Giuseppe Bianchi, ordinario di Telecomunicazioni a “Tor Vergata”. “Lo scenario descritto dall’Intelligenza Artificiale riguardo a probabili attacchi informatici dei dispostivi medici, seppur realistico, probabilmente non si verificherà perché l’attaccante, che in genere agisce per soldi o per distruggere infrastrutture critiche durante, ad esempio, conflitti bellici, sembra avere altri obiettivi rispetto a quello costituito dalla salute dell’individuo. Quello che però potrebbe succedere – continua Bianchi – è l’evoluzione dei ransomware, predetto già una decina di anni fa. Nel momento in cui passiamo all’Internet delle Cose (IoT) il rischio è che gli attacchi ransomware, che oggi colpiscono i dati, possano bloccare invece gli oggetti e quindi l’attaccante possa chiedere un riscatto semplicemente per sbloccare una lavatrice, il frigorifero oppure un dispositivo medico“. Cosa fare quindi? Serve unire le competenze medicali con quelle “cyber”, ha affermato. Cosa non facile.
In campo medico, le disfunzioni causate oggi ai sistemi informativi degli ospedali, spesso oggetto di attacchi informatici con richieste di riscatto, potrebbero però affliggere in un futuro non lontanissimo anche neuro-stimolatori, pacemaker, pompe di insulina e defribillatori, con conseguenze ben più dannose per la privacy e la salute del paziente. “Il tema della sicurezza cyber-fisica dei dispositivi medici assume una significativa rilevanza per produttori, ospedali e pazienti soprattutto nell’attuale e futuro scenario di crescente interconnessione”, sottolinea il professor Marrocco. “Inoltre, i dispositivi medici del futuro saranno sempre più biointegrati, pensiamo all’utilizzo di protesi sensorizzate, e questo moltiplicherà la numerosità dei dispositivi medici impiegati”.
Diffondere una cultura di cyber sicurezza by design
L’Osservatorio vuole stimolare una cultura di “Cyber-Physical Security by Design” che, partendo dalla conoscenza delle problematiche già accertate o plausibili, possa mitigare i rischi già nella fase di definizione del dispositivo medicale e della catena di valore da esso abilitata. Il workshop ha fornito un punto di vista multidisciplinare sulla tematica emergente della cybersicurezza in ambito medico grazie alla partecipazione di relatori e relatrici del mondo scientifico, regolatorio, legislativo e industriale: uno scenario che ben rappresenta la complessità dello stato dell’arte e le tante sfide ancora aperte.
A illustrare il quadro normativo europeo – a partire da Regolamento UE 2017/745, MDCG 2019-16 Guidance on Cybersecurity for medical devices e indicazioni dell’International Medical Device Regulators Forum – e nazionale è stata Lucia R. Quitadamo del Ministero della Salute, Ufficio Sperimentazioni Cliniche, Direzione generale dei Dispositivi Medici e del Servizio Farmaceutico. “Le vulnerabilità da cybersecurity derivano dalla presenza di software all’interno di un dispositivo medico – ha infine sintetizzato -. Per gestire la natura dinamica del rischio da cybersecurity, il fabbricante deve applicare la gestione del rischio per tutto il ciclo di vita del prodotto. Il rischio deve essere valutato e mitigato nella progettazione, produzione, testing (fase pre-market) e durante il monitoraggio post-market. La gestione del rischio da cybersecurity deve coinvolgere tutti gli stakeholder che intervengono nelle varie fasi di vita di un dispositivo medico“.
Samuela Persia dell’Agenzia per la Cybersicurezza Nazionale ha sottolineato come sia necessario avere fiducia nel fatto che avere un dispositivo medico wireless non comporti la perdita di qualcosa da parte nostra. “Le nuove tecnologie portano con sé enormi opportunità nel settore dell’healthcare grazie alla possibilità di connettere diverse strutture sanitarie e dispositivi abilitando così potenziali applicazioni innovative. Il crescente utilizzo di dispositivi mobili di IoT, AI ed Edge computing porterà a progressi nel settore sanitario grazie ai quali i pazienti possono ricevere diagnosi e cure personalizzate da remoto attraverso la tecnologia digitale – ha spiegato Persia -. Per fare in modo che tutto questo diventi realtà, è necessario che le soluzioni vengano definite e realizzate con sistemi end-to-end affidabili. La sicurezza deve essere assicurata durante la connessione dei dispositivi alla rete e devono essere garantiti elevati livelli di riservatezza, integrità e disponibilità delle informazioni e dei servizi. La protezione delle informazioni private dei pazienti deve essere garantita. Le normative europee (come le direttive NIS e NIS II), recepite a livello nazionale (la seconda in attesa di recepimento), mirano a implementare tutte le misure necessarie affinché ci sia un elevato livello di sicurezza di tutti i componenti per la realizzazione di applicazioni sanitarie d’avanguardia. Lo scrutinio tecnologico di dispositivi di e-Health in ambito Perimetro (CVCN) richiede interventi normativi. In questo processo si concorrerà a rimuovere barriere che ostacolino la fiducia nella digitalizzazione del settore sanitario portando così a sostanziali progressi”.
Safety vs Security
Dai numerosi interventi che si sono avvicendati durante il workshop è emerso che tra i principali motivi di vulnerabilità nel campo dei dispostivi medici ci sono l’obsolescenza tecnologica e la mancanza di aggiornamenti dei sistemi embedded, come ad esempio il macchinario per la TAC, o a livello software (patching) e che spesso i dispositivi risultano ingegnerizzati bene per garantire la safety ma non altrettanto bene per garantire la security. Cosa fare allora? Innanzitutto cominciare a diversificare le reti su cui viaggiano le informazioni e fare in modo che i tempi dei processi di aggiornamento e quelli di certificazione vadano di pari passo.
Il punto di vista aziendale è stato affidato a Roger Cataldi di Almaviva, che ha ampliato il discorso alla telemedicina, che dei dispositivi medici wireless fa e farà sempre più intenso uso: “L’evoluzione delle tecnologie digitali abilita nuovi modelli di gestione e presa in carico dei pazienti (Connected Care). Nell’ambito sanitario, la pandemia ha accelerato lo sviluppo di alcuni servizi digitali e in particolare la telemedicina. Il PNRR e le recenti iniziative nazionali (Piattaforma Nazionale di Telemedicina e i futuri sistemi di Telemedicina regionali) stanno imprimendo una forte accelerazione alla diffusione dei sistemi di telemedicina a livello nazionale. Nuovi modelli di Connected Care si stanno consolidando con l’avvio del nuovo assetto della sanità territoriale, DM 77/2002“.
Questo comporta diversi vantaggi:
- Migliore allocazione delle risorse. La possibilità di gestire i pazienti a distanza consente di ottimizzare la distribuzione delle risorse (professionisti) superando i vincoli territoriali
- Razionalizzazione nell’accesso alle strutture ospedaliere. La connessione continua con i pazienti a domicilio contribuisce a ridurre gli accessi alle strutture
- Riduzione dei costi. La gestione dei pazienti nelle strutture intermedie (Case della Comunità, Ospedali di Comunità) migliora la compliance
- Aderenza ai piani di cura. Il monitoraggio continuo migliora il coinvolgimento del paziente nel processo di cura e l’aderenza al percorso terapeutico
Una serie di opportunità da cogliere, nella tutela della sicurezza, attuando tutte le possibili contromisure.
Quali? Secondo il Prof. Lorenzo Bracciale, Docente di Sanità Digitale, Università di Roma Tor Vergata: “Dotarsi di sistemi di intelligence mirati per minimizzare i costi di audit e migliorare le analisi del rischio. Avvicinare la parte regolatoria alle esigenze (anche temporali) della cybersecurity: questo perché i dispositivi impiantabili hanno una durata anche di molti anni. Incrementare le competenze, perché servono contesti culturali e capacità tecniche”.
