La Cybersecurity and Infrastructure Security Agency degli Stati Uniti (CISA) ha rilasciato una completa guida sulla sicurezza informatica per aiutare le organizzazioni sanitarie e di salute pubblica a comprendere e mitigare le minacce informatiche specifiche del loro settore. La guida di mitigazione: Settore sanitario e di salute pubblica (HPH) offre preziosi consigli e supporto per migliorare la postura di sicurezza di queste entità critiche.
La guida incorpora le informazioni derivate dai programmi di scansione delle vulnerabilità e delle applicazioni web, i dati raccolti dalle organizzazioni aderenti e le informazioni provenienti da diverse fonti. Sfrutta il rinomato framework MITRE ATT&CK per contestualizzare le tendenze delle vulnerabilità nel settore HPH.
La gestione del patrimonio e la sicurezza hanno un ruolo centrale nella guida, riconoscendo l’importanza dei dati sensibili, come le informazioni sanitarie protette (PHI), trattati dalle organizzazioni HPH. Queste entità sono costantemente minacciate da attori malintenzionati che cercano di sfruttare il valore di tali informazioni. La guida fornisce raccomandazioni sulla sicurezza dei beni e sulla gestione efficace della loro sicurezza.
La gestione delle identità e la sicurezza dei dispositivi sono anch’esse enfatizzate, e la guida offre indicazioni su aree cruciali come la sicurezza della posta elettronica, la prevenzione delle frodi via phishing, la gestione delle password, il controllo degli accessi, il monitoraggio e le pratiche di protezione dei dati. La gestione delle vulnerabilità, l’applicazione di patch e la gestione delle configurazioni sono trattate in modo esauriente, incoraggiando le organizzazioni a mantenere le patch dei server e delle applicazioni sempre aggiornate, a effettuare inventari regolari dei beni e ad affrontare prontamente eventuali configurazioni errate.
Inoltre, la guida sottolinea l’importanza dei principi di design sicuro nello sviluppo dei prodotti HPH. Poiché i sistemi sanitari sono sempre più dipendenti dalle tecnologie connesse a Internet, i produttori dovrebbero adottare pratiche di design sicuro per contrastare le potenziali minacce informatiche.
Infine, la guida offre indicazioni sulla risoluzione delle vulnerabilità, consentendo alle organizzazioni HPH di dare priorità all’applicazione delle patch in base all’architettura della rete interna e alla postura di rischio. In particolare, richiama l’attenzione su cinque vulnerabilità che sono state frequentemente sfruttate dagli attaccanti, tra cui il famigerato bug Log4Shell e le falle critiche in PHP e Microsoft Exchange.
Implementando le raccomandazioni indicate in questa guida, le organizzazioni HPH possono ridurre significativamente il proprio rischio informatico e proteggere i dati sensibili loro affidati. La CISA invita queste entità a essere vigili nelle pratiche di mitigazione delle vulnerabilità al fine di prevenire proattivamente e ridurre al minimo l’impatto delle minacce informatiche.
Fonte: CISA
Domande frequenti (FAQ)
1. Qual è lo scopo della guida di mitigazione per il settore HPH?
La guida di mitigazione: Settore sanitario e di salute pubblica (HPH) ha lo scopo di assistere le organizzazioni sanitarie e di salute pubblica nella comprensione e affrontare le minacce informatiche specifiche del loro settore. Fornisce raccomandazioni e indicazioni su vari aspetti della sicurezza informatica per migliorare la postura complessiva di sicurezza di queste entità critiche.
2. Quali argomenti tratta la guida?
La guida copre una serie di argomenti sulla sicurezza informatica, tra cui la gestione e la sicurezza del patrimonio, la gestione delle identità e la sicurezza dei dispositivi, la gestione delle vulnerabilità, l’applicazione di patch, la gestione delle configurazioni e i principi di design sicuro per i prodotti HPH. Offre anche indicazioni per la risoluzione delle vulnerabilità per aiutare le organizzazioni a dare priorità ed affrontare in modo efficace le vulnerabilità.
3. Perché la gestione e la sicurezza del patrimonio sono importanti per le organizzazioni HPH?
La gestione e la sicurezza del patrimonio sono cruciali per le organizzazioni HPH a causa della natura sensibile dei dati da esse gestiti, come le informazioni sanitarie protette (PHI). Queste organizzazioni sono obiettivi attraenti per gli attori delle minacce, rendendo indispensabile avere in atto solide pratiche di gestione e sicurezza del patrimonio per proteggere dati di valore.
4. Come possono beneficiare le organizzazioni HPH dall’implementazione delle raccomandazioni della guida?
Implementando le raccomandazioni indicate nella guida, le organizzazioni HPH possono ridurre significativamente il loro rischio informatico. La guida offre preziose informazioni e migliori pratiche specifiche per il settore HPH, aiutando le organizzazioni a prevenire proattivamente e ridurre al minimo l’impatto delle minacce informatiche.
5. Perché l’adozione di principi di design sicuro è cruciale per i produttori di prodotti HPH?
Poiché i sistemi sanitari dipendono sempre più da tecnologie connesse a Internet, è fondamentale che i produttori di prodotti HPH prioritizzino i principi di design sicuro. Ciò garantisce che la tecnologia utilizzata dalle entità HPH sia intrinsecamente sicura e meno suscettibile alle minacce informatiche, proteggendo in definitiva sistemi e funzioni critiche per la salute.