Il Garante per la protezione dei dati personali è tornato a occuparsi di sicurezza nel settore sanitario con un provvedimento che analizza il data breach subito dalla ASL di Matera, colpita dal ransomware del gruppo Rhysida con conseguente esfiltrazione di dati personali. Più che la sanzione in sé, a fare scuola sono le carenze organizzative che il Garante ha messo nero su bianco.

Cosa è andato storto

Dall'istruttoria emerge un quadro di difese inadeguate. L'azienda sanitaria disponeva di un sistema SIEM che, però, non raccoglieva i log del firewall e si limitava a quelli dei server locali: di conseguenza, non è stato generato alcun allarme per le attività dell'attaccante, che apparivano legittime perché condotte attraverso account utente autorizzati.

A peggiorare la situazione, l'organizzazione non era dotata di un Security Operations Center (SOC) e il personale dedicato alla cybersicurezza operava solo durante l'orario lavorativo. Questo ha impedito di rilevare tempestivamente la violazione: gli attaccanti hanno potuto muoversi indisturbati proprio nelle finestre in cui nessuno stava sorvegliando.

La lezione per chi tratta dati sensibili

Il caso è emblematico perché tocca dati sanitari, tra i più delicati in assoluto. Il messaggio del Garante è chiaro: dotarsi di tecnologie di difesa non basta se queste non sono configurate e monitorate correttamente. Un SIEM che non vede il traffico di rete è cieco proprio dove serve di più.

Come ridurre il rischio

  • Raccogli e correla i log di tutti i sistemi rilevanti, firewall compresi: la visibilità è la base di qualsiasi capacità di rilevamento.
  • Prevedi un monitoraggio continuo, idealmente 24 ore su 24, tramite un SOC interno o un servizio gestito esterno.
  • Adotta il principio del privilegio minimo e monitora gli accessi effettuati con account legittimi, perché è proprio lì che si nascondono molti attacchi moderni.
  • Pianifica e prova un piano di risposta agli incidenti, così da reagire rapidamente anche fuori dall'orario d'ufficio.
  • Segmenta la rete e proteggi i backup, rendendoli inaccessibili e ripristinabili in caso di cifratura da ransomware.

Per le strutture sanitarie, dove la continuità dei servizi è vitale tanto quanto la riservatezza dei dati, investire in monitoraggio e governance della sicurezza non è più un'opzione: è un obbligo, anche normativo.