Incidente informatico USL di Modena. Valentina Castaldini:”Il Governo Commissari la Regione sulla Sicurezza informatica. Assessore alla transizione digitale non all’altezza del compito”

Poco fa arriva in redazione un comunicato che riporta una situazione di stallo nel gravissimo incidente alla USL di Modena. Come abbiamo riportato nelle scorse settimane, la pubblicazione dei dati nelle underground da parte della cybergang Hunters International porta grandi preoccupazioni tra impiegati e pazienti.

Come avevamo riportato analizzando i samples, molti dati sanitari e sensibili erano presenti tra le informazioni messe a disposizione nel data leak site della cyber gang criminale. Successivamente Red Hot Cyber, non ha proceduto ad analizzare con precisione i dati pubblicati a causa di un comunicato stampa che l’ospedale ha pubblicato che riportava quanto segue: “Si ricorda che chiunque visualizzi, entri in possesso o scarichi i dati pubblicati senza consenso sul dark web o altrove – e li utilizzi per propri scopi o li diffonda on-line, sui social network o in altro modo – incorre in condotte illecite che possono, nei casi previsti dalla legge, costituire reato.“

Nel comunicato arrivato oggi in redazione, inviato da Paolo Giunchi (Ufficio del Consigliere Regionale Castaldini del Gruppo consiliare Forza Italia) della Regione Emilia Romagna, viene riportato che Valentina Castaldini, Consigliere regionale e capogruppo Forza Italia Emilia-Romagna, coordinatore delle commissioni PNRR, chiede che “IL GOVERNO COMMISSARI LA REGIONE SULLA SICUREZZA INFORMATICA. ASSESSORE ALLA TRANSIZIONE DIGITALE NON ALL’ALTEZZA DEL COMPITO“.

Nel comunicato scritto da Valentina Castaldini è riportato quanto segue:

È ormai tristemente noto il gravissimo incidente che ha coinvolto le strutture sanitarie regionali della Provincia di Modena, milioni di file indebitamente diffusi con dati sensibili e personalissimi, resi pubblici e disponibili a chiunque.

La regione ha per troppo tempo negato che ci fosse stata una fuga di dati, ha ritardato di almeno 8 giorni la comunicazione che per legge deve fornire ai cittadini quando si verificano degli incidenti informatici, ed in questo modo chi può essere coinvolto non immagina neanche che i propri dati siano stati resi pubblici.

Faccio alcuni esempi per far capire la portata:

1) un malintenzionato in possesso di una cartella clinica può chiamare il cittadino facendo finta di essere l’azienda sanitaria, saprebbe talmente tanti dati privati non solo personali, ma anche patologie, trattamenti farmacologici, date di ricovero, che sarebbe difficile per chiunque capire le cattive intenzioni, e immaginiamo quanto sarebbe semplice farsi fornire i dati della carta di credito o assensi a stipule di contratti;

2) un malintenzionato in possesso della copia del documento e del codice fiscale potrebbe, rubare l’identità ad un cittadino, attivare utenze telefoniche, conti bancari, prestiti e addirittura utilizzarlo come prestanome per aprire società con le quali operare in modo fraudolento;

3) un malintenzionato che viene a conoscenza di patologie socialmente impattanti (epatiti, hiv, malattie veneree, disfunzioni sessuali…) potrebbe ricattare il cittadino per non diffondere i dati nella sua cerchia di colleghi e conoscenti, che in un mondo connesso sono sempre più facilmente raggiungibili;

4) i grandi gruppi assicurativi, anche stranieri, potrebbero utilizzare i dati per fare campagne mirate a malati di alcune patologie, o al contrario, potrebbero alzare il premio assicurativo o rifiutare la stipula della polizza a chi ha certe malattie.

Questi sono solo alcuni esempi, ma le implicazioni sono infinite, non sappiamo se nei dati diffusi ci siano procedure interne private, corrispondenza riservata e dati che possono mettere in ulteriore rischio la sicurezza della Regione.

Questa volta è successo alle aziende sanitarie regionali di Modena, ma se non c’è una strategia regionale e un assessore che si occupi di sicurezza informatica come possiamo fare si che non succeda più in un’altra struttura?

È di oggi la notizia che alcuni consiglieri del Partito Democratico Palma Costi, Francesca Maletti e Luca Sabattini hanno chiesto allo stato di intervenire per garantire la sicurezza informatica della nostra regione.

Mi associo alla loro richiesta di aiuto, anche io credo che lo stato debba intervenire a sopperire alle mancanze di questa giunta regionale, che Roma commissari l’assessorato alla transizione digitale e fornisca una risposta concreta perché sia di supporto alle aziende e ai cittadini nel minimizzare gli effetti della fuga di dati già avvenuta, e soprattutto perché fatti come questi non avvengano più.

Anni fa si diceva che i dati personali sarebbero stati le miniere d’oro del futuro, oggi quel tempo è arrivato, e non è possibile che la Regione, alla quale i cittadini danno in gestione i propri dati sensibili, personali e privatissimi, non sia ancora all’altezza di questo compito.

La speranza per questo Natale è che in dono arrivi un assessore che si occupi davvero di sicurezza informatica, dato che gli anni di mandato di Paola Salomoni, alla quale sono oggi affidate le deleghe di Agenda Digitale, politiche per l’innovazione tecnologica, le infrastrutture di rete e le competenze digitali, Coordinamento interassessorile delle politiche e dei progetti attuativi nell’ambito dell’innovazione tecnologica, Sviluppo e innovazione dei sistemi informativi interni e coordinamento della rete dei servizi telematici per il sistema delle Autonomie locali, hanno rivelato con chiarezza il suo non essere all’altezza della responsabilità richiesta.

Silvia Felici

Red Hot Cyber Security Advisor, Open Source e Supply Chain Network. Attualmente presso FiberCop S.p.A. in qualità di Network Operations Specialist, coniuga la gestione operativa di infrastrutture di rete critiche con l'analisi strategica della sicurezza digitale e dei flussi informativi.

Aree di competenza: Network Operations, Open Source, Supply Chain Security, Innovazione Tecnologica, Sistemi Operativi.

Visita il sito web dell'autore