Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Stefano Gazzella : 11 Marzo 2025 14:09
Si sa, il settore sanitario si conferma essere decisamente fuzzy per quanto riguarda l’aspetto della gestione dei dati personali. Soprattutto quando si parla di sicurezza, pressoché ogni istruttoria del Garante Privacy si trova ad affrontare l’affermazione all’interno delle memorie difensive relative a delle “difficoltà organizzative”. Le quali sono più che comprensibili durante il corso dell’emergenza Covid, ma oramai non è che possono fondare una scusa sempiterna, distorcendo il tempo alla pari di un wormhole a comando simile al buco portatile della ACME.
Eppure, il sottotesto drammatico ricorrente è un qui salviamo vite, non c’è tempo per la privacy. Falsa argomentazione, perpetrata per ignoranza o malafede, ma terribilmente suadente. E stavolta rivela una capacità di gestione del tempo pari a quella del Bianconiglio. Gran parte del settore sanitario – pubblico o privato che sia – ha coltivato l’abitudine di porre la protezione dei dati in secondo piano. Anzi: in un piano che forse non può nemmeno ambire al podio.
Si può auspicare che nel caso di interventi sanzionatori da parte del Garante Privacy nel settore pubblico l’attenzione alla responsabilizzazione degli apicali venga rilevata da opportune indagini della magistratura contabile, mentre per il settore privato saranno gli stakeholder a formulare i rilievi del caso.
 Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Se questo porterà, nel tempo, ad una maggiore attenzione agli aspetti della privacy da parte di chi decide, resterà sempre il problema di fondo: una cultura della privacy incompiuta o distorta. In pratica, quella che induce l’utenza dei servizi a sottostimare le conseguenze di un data breach ed è effetto di una narrazione da parte di chi ovviamente ha voluto far passare proprio l’idea che in fondo una violazione dei dati sanitari possa essere un niente di che in quanto non si tratta di segreti di Stato.
I principali artefici di questa narrazione sono però gli stessi soggetti che hanno tutto da guadagnare dall’effetto di una deresponsabilizzazione diffusa, dal momento che il conto di una mancata o pessima gestione della sicurezza sarà pagato per lo più dagli interessati coinvolti. I quali avranno anche meno critiche da porre in caso di illeciti o violazioni, e potranno accettare di buon grado di riqualificare il tutto come disguidi o burocrazie.
Eppure, l’opera di svilire l’autorità di controllo o ridurre privacy e sicurezza come meri adempimenti burocratici ha contribuito ad aumentare la frequenza delle violazioni e ad aggravarne le conseguenze negative.
Prendiamo infatti il caso di un data breach che ha coinvolto delle analisi del sangue. L’argomento fantoccio impiegato per minimizzare l’accaduto è: che problema c’è se il cybercriminale conosce il mio emocromo?
Peccato però che siano presenti dati personali che:
ma non solo. Infatti, è possibile trarre informazioni dal semplice fatto di aver svolto delle analisi in quella determinata struttura sanitaria e prevedere, ad esempio, che l’interessato stia attendendo una comunicazione da parte della struttura.
Questo è un elemento di valore per un cybercriminale il quale se ne potrà giovare per organizzare campagne mirate di phishing e confidare in una maggiore efficacia delle leve impiegate. L’elemento dell’aspettativa espone infatti l’interessato a ritenere come maggiormente affidabile una comunicazione contraffatta per conto della struttura sanitaria presso cui ha svolto delle analisi e non farsi troppe domande a riguardo
In pratica: quel non essere sorpreso nel ricevere quella comunicazione comporta minori cautele da parte del destinatario. E questo è noto al cybercriminale. Così, la comunicazione sarà impiegata come vettore d’attacco, potendo contare proprio su una maggiore probabilità che degli interessati poco accorti o inconsapevoli – poiché non allertati o anestetizzati dalla narrativa del ma che vuoi che sia – vadano a cliccare un link o un allegato malevolo.
Beninteso, questo è solo uno dei molti esempi possibili perché occorre sempre pensare al peggiore utilizzo dei dati violati da parte di un malintenzionato (*) per essere in grado di adottare le cautele più adeguate ed essere così in grado di mitigare le conseguenze negative di una violazione. Motivo per cui una comunicazione di data breach ai sensi dell’art. 34 GDPR è un adempimento fondamentale.
(*) l’unico limite è la fantasia e la motivazione dell’attaccante. Nulla toglie che questi possa avvalersi dell’indirizzo dell’abitazione, o altrimenti spacciarsi per un operatore sanitario (è sufficiente una ricerca online per avere alcuni nomi utili a tale scopo) che deve dare una comunicazione molto urgente per acquisire facilmente la fiducia di qualche familiare particolarmente preoccupato e farsi aprire ogni porta. O consegnare altri documenti. O chissà cosa. Ricorda nulla il “So cosa hai fatto”?
Solo andando oltre la narrazione di un’anticultura della privacy è però possibile alimentare una maggiore sensibilità diffusa da parte di tutti gli stakeholder coinvolti, primi fra tutti gli interessati i quali dovranno pretendere un approccio responsabile alla protezione dei propri dati personali in ambito sanitario.
Attenzione, però: la consapevolezza rende immuni alle scuse di deresponsabilizzazione.
Anche a quelle che ci siamo raccontati o a cui vorremmo tanto credere.
Tutto qui? Non proprio. In fondo quando c’è un problema diffuso – e questo è il caso – si può sempre scegliere se essere parte del problema, o altrimenti operarsi per risolverlo. Beninteso: nel caso si opti per la comodità dell’inerzia, si è comunque parte del problema.
Bisogna quindi fare i conti con la realtà dei fatti: se lo stato dell’arte piace, ben vengano attacchi e ogni conseguenza negativa ulteriore. Accettando anche tutte quelle ipotesi in cui sono colpiti o i propri interessi o quelli dei propri cari.
Per coerenza, che lo si dichiari senza problemi a questo punto. In fondo non sono queste le persone che si vantano di non avere niente da nascondere? Che facciano di conseguenza un bel virtue signaling sulla pelle delle vittime di una violazione di sicurezza dicendo che in fondo quel data breach non è niente di che così come non è niente di che l’esporsi a tutti i pericoli che ne derivano.
Chissà se si capirà prima o poi che la privacy riguarda chi non ha nulla da nascondere ma tutto da proteggere.
Stefano GazzellaDietro molte delle applicazioni e servizi digitali che diamo per scontati ogni giorno si cela un gigante silenzioso: FreeBSD. Conosciuto soprattutto dagli addetti ai lavori, questo sistema operativo U...
Molto spesso parliamo su questo sito del fatto che la finestra tra la pubblicazione di un exploit e l’avvio di attacchi attivi si sta riducendo drasticamente. Per questo motivo diventa sempre più f...
Dal 1° luglio, Cloudflare ha bloccato 416 miliardi di richieste da parte di bot di intelligenza artificiale che tentavano di estrarre contenuti dai siti web dei suoi clienti. Secondo Matthew Prince, ...
Nel 2025, le comunità IT e della sicurezza sono in fermento per un solo nome: “React2Shell“. Con la divulgazione di una nuova vulnerabilità, CVE-2025-55182, classificata CVSS 10.0, sviluppatori ...
Cloudflare torna sotto i riflettori dopo una nuova ondata di disservizi che, nella giornata del 5 dicembre 2025, sta colpendo diversi componenti della piattaforma. Oltre ai problemi al Dashboard e all...
