Pericolo nell’ombra: come le abitudini tecnologiche non ufficiali minacciano i dati più sensibili della sanità

A tarda notte, in un affollato ospedale europeo, un radiologo scatta una foto di una radiografia del torace e la invia via WhatsApp a un collega per un secondo parere. Dall’altra parte del corridoio, un’infermiera inserisce la propria chiavetta USB personale in un dispositivo medico obsoleto per trasferire i file dei pazienti. Queste scorciatoie quotidiane, nate dall’urgenza e dalla necessità, stanno alimentando in silenzio una crisi informatica che la maggior parte dei pazienti - e persino molti amministratori - non vede arrivare.

Mentre i titoli si concentrano su hacker esterni e ransomware, una minaccia più insidiosa si annida tra le mura ospedaliere: lo shadow IT. Questo termine indica l’uso, da parte del personale, di tecnologie consumer non approvate - come WhatsApp, USB personali e app di IA “fuorilegge” - per aggirare sistemi macchinosi e obsoleti e tenere il passo con richieste cliniche incessanti.

Un recente sondaggio di Symplr ha rilevato che lo shadow IT non è un fenomeno marginale, ma una pratica profondamente radicata, spesso tollerata o persino incoraggiata dalle pressioni operative. La realtà è netta: quasi ogni ospedale ospita ormai un mosaico di app e dispositivi non autorizzati. Secondo Varonis, il 98% delle organizzazioni sanitarie esegue applicazioni non verificate, inclusi strumenti di “shadow AI” che sfuggono al radar del reparto IT.

I rischi sono reali e in aumento. Il malware che prende di mira le chiavette USB è cresciuto - Honeywell riporta che il 52% delle minacce nel 2025 era progettato per diffondersi tramite supporti rimovibili, rispetto al 37% del 2021. In un caso inquietante, un operatore sanitario ha riportato da una conferenza all’estero una USB infetta dal malware WispRider. Il risultato: rete ospedaliera violata, dati dei pazienti a rischio, tutto per un attimo di comodità.

Perché questi comportamenti persistono? Per molti clinici, le regole di cybersicurezza sembrano ostacoli burocratici, che rallentano decisioni di vita o di morte. L’autenticazione a più fattori può costare secondi preziosi in emergenza; le porte USB bloccate possono interrompere diagnostiche vitali. Quando i sistemi ufficiali restano indietro o frustrano, il personale si affida a ciò che funziona - anche se significa piegare le regole.

La sola formazione si è rivelata inadeguata. Gli studi mostrano che i corsi standard annuali di cybersicurezza lasciano gli operatori sanitari pericolosamente esposti: uno su otto continua a cadere in email di phishing simulate, e il tasso di “phish-prone” del settore resta il più alto di qualsiasi industria. Tuttavia, una formazione mirata, frequente e specifica per contesto - lezioni mensili, brevi, legate a scenari clinici reali - ha mostrato miglioramenti drastici, riducendo i comportamenti rischiosi di oltre l’80%.

Ma le radici dello shadow IT vanno più in profondità dell’ignoranza o della negligenza. Gli ospedali sono organizzazioni complesse e frammentate, dove il turnover del personale è elevato e i sistemi IT raramente comunicano tra loro. I reparti spesso controllano la propria tecnologia, portando a una proliferazione di sistemi ombra fuori dalla vista del CIO. La nuova direttiva UE NIS2 lo riconosce, rendendo i consigli di amministrazione degli ospedali personalmente responsabili dell’igiene di cybersicurezza e della formazione continua del personale.

Un vero progresso richiederà più di controlli più rigidi o di ulteriore formazione. Gli ospedali devono capire perché i clinici ricorrono a strumenti non ufficiali e offrire alternative sicure e facili da usare - app di messaggistica sicura progettate per la sanità, per esempio, o soluzioni di sicurezza che si integrino senza attriti nei flussi di lavoro clinici. Soprattutto, colpa e punizione devono lasciare spazio a incentivi per segnalare le minacce e collaborare alle soluzioni.

Man mano che la sanità diventa sempre più digitale, la tensione tra velocità e sicurezza non potrà che intensificarsi. Lo shadow IT non è solo un problema tecnico - è il sintomo di un disallineamento organizzativo più profondo. Per proteggere sia i dati dei pazienti sia le vite dei pazienti, gli ospedali devono colmare il divario tra urgenza clinica e resilienza informatica, costruendo sistemi in cui la sicurezza non sia un ripensamento, ma una parte naturale dell’assistenza.

WIKICROOK

• Shadow IT: Lo shadow IT è l’uso di sistemi o strumenti tecnologici all’interno di un’organizzazione senza approvazione ufficiale, spesso con conseguenti rischi per la sicurezza e la conformità.
• Phishing: Il phishing è un crimine informatico in cui gli aggressori inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o a cliccare su link malevoli.
• Malware: Il malware è un software dannoso progettato per infiltrarsi, danneggiare o rubare dati da dispositivi informatici senza il consenso dell’utente.
• GDPR: Il GDPR è una rigorosa legge dell’UE e del Regno Unito che protegge i dati personali, imponendo alle aziende di gestire le informazioni in modo responsabile o di affrontare pesanti sanzioni.
• Multi: Multi si riferisce all’uso di una combinazione di tecnologie o sistemi diversi - come satelliti LEO e GEO - per migliorare affidabilità, copertura e sicurezza.