La digitalizzazione delle strutture sanitarie, la dematerializzazione delle cartelle cliniche, la condivisione di dati relativi ai pazienti tra i diversi medici curanti, sono ormai realtà consolidate da un punto di vista tecnologico, tanto da poter essere considerate la nuova normalità nella gestione dei sistemi sanitari. I benefici del digitale da un punto di vista gestionale sono evidenti, dato che hanno consentito il miglioramento dell’accesso a prestazioni sanitarie sempre più veloci ed efficienti, riducendo se non eliminando i lag time e portando la capacità di assorbimento delle strutture sanitarie vicino al proprio massimo teorico. Questo comincia ad avere riflessi anche sui sistemi di presa delle decisioni organizzative, anche se quest’ultimo dominio è in attesa di strumenti adeguati per la qualificazione, il tracciamento e la velocizzazione delle decisioni.
L’esplosione in corso dei medical devices connessi, uscita ormai dalla fase infantile per entrare nella pratica clinica consolidata, consente inoltre la raccolta di una messe di dati qualitativi e quantitativi senza precedenti. Questo offre opportunità inimmaginabili rispetto a solo alcuni anni fa nella modellizzazione delle patologie, nella generazione di algoritmi di risoluzione dei problemi sanitari acuti e soprattutto nella costruzione di pattern previsionali per la prevenzione di eventi patologici maggiori.
Accanto alle opportunità, esistono tuttavia dei rischi da valutare ed affrontare in termini strutturali, basandosi sull’esperienza sviluppata in ambiti commerciali e non-profit differenti. Il fenomeno del ransomware – vale a dire malware che limita l’accesso del dispositivo che infetta, richiedendo un riscatto da pagare per rimuovere la limitazione – è un aspetto da non sottovalutare quando si progettino ad esempio sistemi di protezione dei dati per strutture sanitarie o singoli medical devices.
In contesti più avanzati per quanto riguarda la digitalizzazione dell’healthcare, come ad esempio gli Stati Uniti, si sono osservati già numerosi eventi in cui l’attacco di criminali informatici – smettiamola una buona volta di chiamarli hackers – ha causato gravi interruzioni di servizio.
Una rete informatica ospedaliera attaccata da ransomware è come un sistema nervoso colpito da una tossina: smette di funzionare, rendendo impossibile la prosecuzione delle attività fino a quando la tossina stessa non viene rimossa. Il blocco di una rete interna o di un database centralizzato può voler dire non essere più in grado di accettare o mettere in dimissione i pazienti; non avere più accesso alle cartelle cliniche e quindi essere costretti a sospendere interventi ed accessi in ambulatorio; non avere più alcun controllo sulla situazione delle scorte di risorse – personale, farmaci, strumenti, materiali di consumo – e quindi vedere bloccata qualunque attività di pianificazione e approvvigionamento. In molti casi, solo il pagamento di una certa somma (ransom=riscatto) ai malintenzionati
Più critica ancora è la necessità di proteggere adeguatamente i medical devices connessi, che monitorano o determinano condizioni patologiche. Questo tipo di sistemi si prestano ad un tipo più strisciante e personale di ricatto. Un malintenzionato potrebbe accedere ai dati personali di un paziente attraverso meccanismi di sniffing e minacciare di renderli pubblici; o, nei casi più gravi, potrebbe prendere il controllo di un device connesso perché compia la sua funzione di monitoraggio o erogazione di farmaci o stimoli funzionali in difformità al protocollo medico. In questo caso, il ricatto prenderebbe la forma di una minaccia personale all’incolumità stessa dell’individuo, un’eventualità davanti alla quale pochi si rifiuterebbero di pagare.
Lungi da voler costituire fonte di allarmismo, gli scenari di cui sopra devono essere considerati come un’eventualità non verosimile o diffusa allo stato attuale, ma comunque verosimile sul medio periodo. La strategia da adottare, quindi, è quella di arrivare al più presto, man mano che la tecnologia specie IoT pervade progressivamente il settore healthcare, a standard robusti e condivisi di sicurezza informatica e di trasmissione e conservazione dei dati. Serve quindi uno sforzo da parte dei costruttori di sistemi tecnologici per elevare notevolmente i livelli di protezione intorno ai nuovi devices ed alle banche dati, non fosse altro che per conformarsi alla normativa GDPR che, con diverse declinazioni, sta essendo adottata anche al di fuori dell’Europa.
Tra le iniziative di ricerca di consenso in questo campo, vanno segnalati i CyberMed Summits, eventi nati negli Stati Uniti e ancora limitati nei numeri, ma che hanno il merito di porre il problema e di mettere intorno ad un tavolo tutti gli attori interessati. Nello sviluppo di una Agenda Digitale per la Salute nel nostro paese, è fondamentale essere quindi consci dei rischi e degli strumenti per la loro gestione, in modo che tutti possano godere delle opportunità che la Digital Health offre.
