Il 18 aprile 2024 Synlab Italia, uno dei principali laboratori di analisi privati in Italia, ha annunciato la sospensione dei servizi a seguito di un attacco ransomware attribuito al gruppo Black Basta. Il 30 aprile sul leak site del gruppo è apparsa la rivendicazione con la pubblicazione di circa 1,5 TB di dati: anagrafiche, referti, dati amministrativi, documenti d'identità.
L'impatto
- Sospensione di prelievi ed esami in centinaia di centri prelievo italiani per più giorni.
- Pubblicazione nel dark web di dati sanitari di centinaia di migliaia di pazienti, con conseguenti rischi di profilazione, ricatti, frodi assicurative e sanitarie.
- Notifica al Garante Privacy e comunicazione agli interessati ai sensi degli artt. 33-34 GDPR.
- Avvio di un'istruttoria del Garante e attenzione mediatica sostenuta.
Perché conta sotto la NIS2
Il settore sanità è incluso tra i soggetti essenziali (Allegato I D.Lgs. 138/2024). Anche le strutture sanitarie private rientrano nell'ambito quando soddisfano i criteri dimensionali. Per Synlab e analoghi operatori, gli obblighi NIS2 includono:
- Misure di gestione del rischio cyber proporzionate (art. 24).
- Notifica degli incidenti significativi entro 24h pre-notifica + 72h + 1 mese.
- Formazione dell'organo di gestione e responsabilità personale dei vertici (art. 23).
Le lezioni operative
1. Dati sanitari = dati art. 9 GDPR. Misure tecniche e organizzative rafforzate (cifratura, segregazione, controllo accessi rigoroso, log).
2. Esfiltrazione + cifratura (double extortion). Il backup risolve la disponibilità, non la riservatezza dei dati esfiltrati. La prevenzione (segmentazione, EDR, monitoring delle esfiltrazioni) è insostituibile.
3. Comunicazione di crisi. La gestione comunicativa verso pazienti, clienti B2B (medici di base, ospedali), media e autorità è parte del piano di incident response.
4. Coordinamento Garante + ACN + AGCM. La sanità è settore vigilato da più autorità: la procedura di gestione di un breach va costruita per soddisfare contestualmente i diversi obblighi.
5. Vendor risk per MMG e ospedali. Le strutture che si appoggiano a laboratori esterni devono valutare la sicurezza dei propri fornitori (DPA, audit, exit plan).