C ENNI SU S ISTEMI DI G ESTIONE DELLA S ICUREZZA DELLE I NFORMAZIONI E STANDARD DI SICUREZZA INFORMATICA

Salvaguardare integrità, riservatezza e disponibilità dei dati raccolti nei sistemi informativi, limitando, quindi, minacce e rischi di attacchi informatici, è uno dei motivi principali per cui le aziende, di cui quelle sanitarie rappresentano un campione cospicuo sul fronte pubblico nazionale, implementano sistemi di gestione della sicurezza delle informazioni (o “Information Security Management System”); beneficiari dell’adozione di tali strumenti sono prevalentemente gli stessi enti, che, grazie al controllo dei flussi informativi, possono accrescere le proprie performance e strategie di marketing. Per quanto, invece, concerne gli utenti, in generale, essi traggono vantaggio dalla sicurezza dei sistemi soltanto in modo indiretto198; una delle rilevanti differenze tra l’adozione di strumenti a tutela della “security” e della “privacy” consiste, infatti, proprio in questo: la tipologia di dati protetti è, nel primo caso, riferita alla società, nel secondo, al singolo individuo.

Quanto evidenziato avvalora la tesi della complementarietà tra le misure in esame (già sinteticamente introdotta in figura 2) nonché l’importanza di adottare un approccio olistico nella definizione teorica delle stesse, approccio, peraltro, egualmente assunto nel design degli strumenti di Information and Communication Technology.

La complessità e la trasversalità del dominio in esame hanno richiesto agli esperti un impegno esclusivo, volto a considerare, non soltanto i profili più propriamente tecnologici della sicurezza delle informazioni, ma anche quelli organizzativi e procedurali, di cui, a titolo esemplificativo, valutazione e gestione del rischio figurano come problemi emergenti e prioritari.

Per ottemperare alle summenzionate esigenze, e, in particolare, per implementare sistemi di gestione della sicurezza delle informazioni uniformi, sono stati predisposti gli

standard internazionali di sicurezza informatica, di cui la famiglia ISO/IEC 27000,

198

A titolo esemplificativo, la predisposizione di buone misure di sicurezza può contenere, fino ad annullare, i casi di c.d. “furto d’identità”, come il “phishing”.

sviluppata da “International Organization for Standardization” - “Joint Technical

Committee Information Technology”, è un significativo esempio199.

Ai fini del presente studio è rilevante menzionare: ISO/IEC 27001:2005, “Information

security management systems - Requirements”, norma che specifica i requisiti (soprattutto

in termini di sicurezza fisica, organizzativa e logica) per attuare, rendere operativo, monitorare, revisionare, mantenere e migliorare un sistema di gestione della sicurezza delle informazioni; ISO/IEC 27002:2005, “Code of practice for information security

management”, vere e proprie linee guida e principi generali per l’avvio,

l’implementazione, la gestione ed il miglioramento della sicurezza delle informazioni di un’organizzazione, in linea con lo standard ISO/IEC 27001:2005200

; ISO/IEC 27006:2011, “Requirements for bodies providing audit and certification of information security

management systems”, in cui sono identificati gli standard per la certificazione degli audits. Inoltre, in riferimento al tema in esame, parimenti rilevanti sono: ISO/IEC TR

13335-1:1996, “Guidelines for the management of IT Security - Part 1: Concepts and

models for IT Security”, norma dedicata alla gestione della sicurezza informatica, nonché

gli standard ISO/IEC 15408:2008 (part 1, 2 e 3)201, noti anche come “Common Criteria”, le cui indicazioni permettono di testare le applicazioni aziendali per renderle conformi agli

standard vigenti in materia di sicurezza.

2.1.1SICUREZZA INFORMATICA IN SANITÀ

Analogamente a quanto riferito per la sicurezza informatica, anche il tema della sicurezza informatica in sanità è oggetto di crescente interesse da parte della comunità

199

Gli standard della famiglia ISO/IEC 27000 sono stati elaborati dalla sotto-commissione 27 “IT Security

Techniques”, Working Group 1 “Information security management systems”. Altri Working Group (WG)

della JTC 1/SC 27 sono: WG 2 “Cryptography and security mechanisms”, WG 3, “Security evaluation,

testing and specification”, WG 4 “Security controls and services”, WG 5, “Identity management and privacy technologies”. Gli standards della famiglia ISO/IEC 27000 sono consultabili nella “Appendice”, cui si

rinvia.

200

Già ISO 17799:2005, la norma ISO/IEC 27002:2005 deriva dallo standard “BS 7799-1”, pubblicato nel 1995 dal BSI (British Standards Institute) ed ora ritirato. Al “BS 7799-1” si affiancava il “BS 7799-2”, a sua volta sostituito dallo standard ISO/IEC 27001:2005.

Aree tematiche di cui ISO/IEC 27002:2005 espressamente si occupa sono: politiche di sicurezza; sicurezza organizzativa; gestione del risparmio; sicurezza del personale; sicurezza fisica e ambientale; gestione di comunicazioni e operazioni; controllo degli accessi; acquisizione, sviluppo e manutenzione dei sistemi informativi; informazioni di sicurezza per la gestione degli incidenti; business continuity management; conformità.

201

In dettaglio trattasi di ISO/IEC 15408-1:2008 “Evaluation criteria for IT security - Part 1: Introduction

and general model”, ISO/IEC 15408-2:2008 “Evaluation criteria for IT security - Part 2: Security functional components” e ISO/IEC 15408-3:2008 “Evaluation criteria for IT security - Part 3: Security assurance components”.

scientifica202: il rapido diffondersi dei recenti strumenti digitali, come Fascicoli Sanitari Elettronici e Personal Health Device, ha posto in luce, infatti, nuove problematiche connesse alla maggiore, e talora più facile, accessibilità ad informazioni e dati sensibili da parte di soggetti non autorizzati; in questo scenario, non sono poi mancate specifiche iniziative giuridiche, sia a livello europeo sia a livello nazionale. Nel corso degli ultimi anni, i mutati approcci hanno, altresì, determinato una significativa svolta nel ruolo dei sistemi informativi sanitari, principalmente legata ai fattori contingenti già esaminati nei primi due capitoli del presente studio. In particolare, la definizione di standard tecnologici, la previsione di sistemi hardware e software uniformi, l’introduzione di politiche volte all’interoperabilità, la previsione di nuove governance orientate alla sicurezza, l’empowerment dei pazienti, sono solo alcune delle cause che hanno contribuito ad un ripensamento dell’organizzazione e della struttura dei sistemi tradizionali nei quali, invece, prevalevano dinamiche (locali e non) integrate nonché funzioni perlopiù di tipo operativo, non collegate, quindi, a strategie o programmazioni socio-sanitarie. Sebbene tutti gli operatori e gli utenti di questo settore abbiano un’elevata consapevolezza del fatto che proteggere, in modo assoluto, i dati informatizzati non sia possibile, sono, però, egualmente forti la volontà e l’esigenza di ridurre al minimo i danni conseguenti da accessi impropri ai dati sensibili. Al fine di sopperire a tali esigenze, sono state, ad esempio, elaborate specifiche tecniche di de-personalizzazione e de-identificazione per rendere anonimi i dati contenuti nei Fascicoli Sanitari Elettronici; predisposti strumenti per crittografare i dati sensibili trasmessi tramite Internet; implementate tecnologie di “Radio

Frequency IDentification” (RFID) per l’identificazione e la tracciabilità dei dati sanitari203. L’attenzione rivolta all’interoperabilità dei sistemi informativi sanitari risveglia ed acuisce, inoltre, l’intenzione di realizzare mezzi digitali sempre più sicuri, e ciò, soprattutto perché, in uno spazio distribuito più che nei sistemi centralizzati, maggiori sono i rischi da considerare, ad esempio, in termini di integrità, scambio, memorizzazione dei dati nonché responsabilità, civile e penale, delle figure designate.

Congiuntamente ad un profondo processo di riforma culturale che riguardi tutti i soggetti, a qualsiasi titolo coinvolti nello sviluppo, implementazione e fruizione degli

202

Tra gli altri, si rinvia a: R.J. ANDERSON, Security in Clinical Information Systems, University of Cambridge, 1996; E. SMITH, J.H.P. ELOFF, Security in health-care information systems-current trends, International Journal of Medical Informatics 54 (1999), pp. 39-54; D.GRITZALISA,C.LAMBRINOUDAKIS, A

security architecture for interconnecting health information systems, International Journal of Medical

Informatics (2004) 73, pp. 305-309, B.THURAISINGHAM, Security standards for the semantic web, Computer Standards & Interfaces 27 (2005), pp. 257-268.

203

Tra gli altri, cfr. A.BUSCEMI,A.CARRARO, L’innovazione tecnologica RFID a garanzia della sicurezza

strumenti di sanità elettronica, l’attività di standardizzazione rappresenta, almeno in linea teorica, un importante pilastro: l’adozione di modelli condivisi può agevolare la diffusione di best practice sia a livello sovranazionale sia a livello nazionale e locale. Anche in questo caso, per molteplici ragioni, beneficiari finali sono gli stakeholder direttamente ed indirettamente interessati ai processi di diagnosi e cura.

Con specifico riferimento ai Sistemi di Gestione della Sicurezza delle Informazioni nel settore della sanità elettronica, analogamente a quanto più in generale era stato disposto con lo standard ISO/IEC 27002:2005, la “Technical Committee Health Informatics” di “International Organization for Standardization” ha elaborato la norma ISO 27799:2008, “Information security management in health using ISO/IEC 27002 (TC 215)”, il cui scopo è la formalizzazione di vere e proprie linee guida e principi generali per l’avvio, l’implementazione, la gestione ed il miglioramento della sicurezza delle informazioni nelle organizzazioni sanitarie.

Per quanto, infine, concerne i Fascicoli Sanitari Elettronici, peculiari “security standard” sono: ISO/TS 13606-4:2009, “Electronic health record communication - Part 4: Security”, norma che definisce metodologia e requisiti di sicurezza generale applicabili alle comunicazioni tra EHRs; ISO/TS 22600-1:2006, “Privilege management and access

control - Part 1: Overview and policy management”, standard per la condivisione di

informazioni tra fornitori non affiliati alla sanità, organizzazioni sanitarie, compagnie di assicurazione sanitaria, pazienti, personale e partner commerciali; ISO/TS 14265:2011, “Classification of purposes for processing personal health information”, in cui sono classificate le finalità per cui le informazioni sanitarie personali possono essere elaborate, a supporto di una gestione coerente delle informazioni nella fornitura di servizi di assistenza sanitaria e per la comunicazione di cartelle cliniche elettroniche attraverso i confini organizzativi e giurisdizionali.

3. I

“

”.U