Cyber Threat Intelligence for Hospitals a A Systematic Literature Review

Gli ospedali sono i luoghi verso cui la società si rivolge quando il corpo cede, offrendo un flusso continuo di cure che mantiene in vita le persone. Poiché queste istituzioni detengono enormi quantità di dati personali sensibili e gestiscono il complesso macchinario che sostiene la vita, sono diventate obiettivi primari per gli attaccanti digitali. Quando i sistemi informatici di un ospedale vengono interrotti, le conseguenze non sono meramente finanziarie; possono costare vite umane. Per proteggere queste strutture critiche, gli esperti di sicurezza raccomandano sempre più un approccio proattivo noto come cyber threat intelligence (intelligence sulle minacce cibernetiche). Piuttosto che limitarsi a costruire muri più alti per tenere fuori gli attaccanti, questo approccio consiste nel raccogliere informazioni su chi siano gli attaccanti, quali strumenti utilizzino e come operino, per poi usare tale conoscenza per anticiparli e fermarli prima che colpiscano. È un passaggio dal reagire a una violazione al comprendere il nemico prima del suo arrivo.

Nonostante l'urgente necessità di tale protezione, una recente revisione della ricerca scientifica rivela una lacuna sorprendente: esiste pochissima conoscenza specifica su come applicare questi metodi di intelligence all'interno degli ospedali. I ricercatori della Brandenburg University of Applied Sciences in Germania si sono posti l'obiettivo di capire perché ciò avvenga. Hanno condotto una ricerca sistematica della letteratura scientifica, cercando qualsiasi studio pubblicato tra il 2020 e il maggio 2025 che affrontasse specificamente la cyber threat intelligence per gli ospedali. Hanno gettato una rete molto ampia, ricercando attraverso milioni di record in nei principali database scientifici, utilizzando termini relativi agli ospedali, ai dispositivi medici e alla sanità digitale. Dopo aver rimosso i duplicati e filtrato gli studi che non rispettavano i loro rigorosi criteri, sono rimaste solo sette pubblicazioni che affrontavano direttamente l'argomento.

La scarsità di questi sette articoli racconta una storia a sé stante. I ricercatori hanno scoperto che la maggior parte degli studi esistenti si concentra pesantemente sulla raccolta tecnica dei dati — ovvero il recupero di informazioni grezze sugli attacchi — ma spesso si ferma prima di spiegare come tali dati vengano trasformati in intelligence utile per un contesto ospedaliero. Sebbene gli studi propongano vari modi per raccogliere informazioni, come il monitoraggio del traffico di rete o l'analisi dei forum degli hacker, raramente discutono la realtà pratica di un ospedale. Nessuno dei sette articoli ha considerato le dimensioni specifiche dell'ospedale, i diversi dipartimenti al suo interno o l'esclusiva combinazione di computer standard e apparecchiature mediche specializzate che compongono la rete di un moderno ospedale. La ricerca tende a trattare gli ospedali come bersagli generici, trascurando le sfumature critiche che li rendono unici.

Una parte significativa della ricerca esistente fatica anche a causa di una mancanza di accordo fondamentale su cosa significhino i termini stessi. Nel mondo della cyber threat intelligence, autori diversi utilizzano definizioni diverse per gli stessi concetti, il che crea confusione e rallenta il progresso. Alcuni articoli definiscono il processo come un prodotto, mentre altri lo vedono come un team o un insieme di attività. Questa mancanza di un linguaggio condiviso rende difficile per i ricercatori costruire sul lavoro altrui. Gli autori di questa revisione propongono una definizione più chiara e unificata per aiutare gli studi futuri a parlare la stessa lingua, sottolineando che l'intelligence è un processo di trasformazione dei dati grezzi in conoscenza azionabile per aiutare i difensori a prendere decisioni migliori.

La revisione ha inoltre evidenziato un distacco critico tra il mondo digitale e i dispositivi medici fisici di cui i pazienti si affidano. Sebbene gli studi menzionino i dispositivi medici, raramente esaminano i tipi specifici di apparecchiature presenti negli ospedali, come monitor indossabili, macchine per l'imaging stazionarie o dispositivi impiantati. Questi dispositivi spesso funzionano con software obsoleti e hanno rigorosi requisiti di sicurezza che impediscono loro di essere aggiornati o monitorati allo stesso modo di un normale computer da ufficio. La ricerca esistente spesso trascura questi vincoli, proponendo soluzioni che potrebbero funzionare per una banca o un'università, ma che potrebbero essere pericolose o impossibili da implementare in un ambiente di supporto vitale. Inoltre, gli studi esplorano raramente come gli ospedali potrebbero condividere in modo sicuro le informazioni sulle minacce con i propri vicini, come i servizi di emergenza o le aziende di forniture mediche, senza violare le rigide leggi sulla privacy dei pazienti.

In definitiva, la revisione conclude che, sebbene l'idea di utilizzare la cyber threat intelligence per proteggere gli ospedali sia fondata, la ricerca attuale è troppo limitata e troppo astratta per essere veramente utile nel mondo reale. I pochi studi esistenti sono per lo più prove teoriche o simulazioni, piuttosto che test basati sulle reali operazioni ospedaliere. Gli autori sostengono che, affinché questo campo possa maturare, la ricerca futura debba andare oltre i concetti generici dell'informatica e impegnarsi profondamente nella realtà specifica e ad alta posta in gioco degli ospedali. Ciò significa comprendere i dispositivi medici unici, le rigide normative sulla privacy e la cultura organizzativa dei fornitori di assistenza sanitaria. Finché i ricercatori non si concentreranno su questi dettagli del mondo reale, la promessa di una protezione proattiva rimarrà esattamente questo: una promessa, piuttosto che una realtà praticata per gli ospedali che mantengono sicura la società.