Il settore sanitario italiano è tra quelli più esposti agli attacchi informatici, e le ragioni sono facilmente comprensibili: ospedali e aziende sanitarie locali gestiscono dati estremamente sensibili, dalle cartelle cliniche alle informazioni genetiche, e al tempo stesso non possono permettersi interruzioni di servizio, rendendo la loro capacità di pagare un riscatto, agli occhi dei criminali informatici, particolarmente elevata rispetto ad altri settori.
La transizione verso la sanità digitale, accelerata negli ultimi anni con l’introduzione del fascicolo sanitario elettronico, la telemedicina e la digitalizzazione delle cartelle cliniche, ha portato indubbi benefici in termini di efficienza e continuità delle cure, ma ha anche ampliato in modo significativo la superficie di attacco. Dispositivi medicali connessi in rete, sistemi di gestione ospedaliera integrati con piattaforme esterne e l’interconnessione crescente tra diverse strutture sanitarie regionali moltiplicano i potenziali punti di ingresso per un attaccante.
Gli attacchi ransomware contro strutture sanitarie italiane hanno avuto, in diversi casi, conseguenze dirette sulla capacità di erogare cure: il blocco dei sistemi informatici ha costretto alcuni ospedali a tornare temporaneamente alla gestione cartacea, con ritardi negli esami diagnostici, rinvii di interventi chirurgici non urgenti e dirottamento dei pazienti verso altre strutture. Al di là dell’aspetto economico, in questo settore la sicurezza informatica assume quindi una dimensione che tocca direttamente la sicurezza fisica delle persone.
Uno dei problemi strutturali del settore sanitario italiano è rappresentato dall’età media delle infrastrutture tecnologiche: molti dispositivi medicali e sistemi informatici ospedalieri sono progettati per rimanere in uso per un decennio o più, un orizzonte temporale incompatibile con i cicli di aggiornamento richiesti dalla sicurezza informatica moderna. Sostituire o anche solo aggiornare questi sistemi comporta costi elevati e processi di validazione complessi, che spesso portano le strutture a mantenere in funzione apparecchiature con vulnerabilità note ma difficili da correggere senza comprometterne il funzionamento certificato.
Anche il fattore umano gioca un ruolo determinante: il personale sanitario, concentrato prioritariamente sulla cura dei pazienti, dispone raramente del tempo e della formazione necessari per riconoscere tentativi di phishing sofisticati o comportamenti anomali nei sistemi informatici che utilizza quotidianamente. Le campagne di sensibilizzazione, per essere efficaci in questo contesto, devono essere calibrate sulla realtà operativa degli ospedali, evitando di aggiungere ulteriore carico a professionisti già sottoposti a forte pressione.
Sul piano regolatorio, il settore sanitario rientra generalmente tra i soggetti essenziali previsti dalla direttiva NIS2, con obblighi di sicurezza rafforzati e tempi di notifica degli incidenti particolarmente stringenti. Le aziende sanitarie italiane sono quindi chiamate a un percorso di adeguamento che richiede investimenti significativi, spesso in competizione con altre priorità di spesa sanitaria, ma che rappresenta una condizione ormai imprescindibile per garantire la continuità e la sicurezza delle cure.
