|
L’Azienda Ospedaliera di Verona, nata il 1 gennaio 1995, è una realtà sanitaria formata da due Ospedali: l’Ospedale di Borgo Roma, polo universitario e l’Ospedale di Borgo Trento, tradizionale. Con un bacino di utenza nazionale, ben il 17% dei pazienti provenienti da regioni diverse dal Veneto, una tipologia ad alta specializzazione (con reparti di Neurochirurgia, Endocrinochi-rurgia e trapianti, per esempio), l’Azienda Ospedaliera di Verona è, senza dubbio, un caso interessante di complessità organizzativa. Tra i tanti fattori di complessità, non dimentichiamo altri dati dimensionali significativi: 2000 posti letto, più di 60.000 ricoveri all’anno a cui si aggiungono oltre 25.000 pazienti in day hospital e day surgery, 100 unità operative sanitarie distribuite tra i due poli. Accanto a questi dati, poi, c’è la collaborazione con la Facoltà di Medicina dell’Università di Verona; biona parte del personale delle unità operative è costituito proprio da docenti universitari. Una realtà, dunque, di notevole interesse per capire come l’infrastruttura It e gli aspetti della sicurezza ad esso correlati possano essere gestiti in chiave sistemica.
La nascita del Piano di Sicurezza
Fino al 1997 il sistema It era interamente basato su tecnologia mainframe, una soluzione che comportava una certa rigidezza applicativa. Fu a partire dal 1997 (il progetto è stato ultimato nel 2001) che si decise di passare a un sistema aperto e distribuito, capace di offrire flessibilità e scalabilità in relazione ai rinnovati processi operativi. Vuoi per norme cogenti esterne, vuoi per esigenze interne strettamente legate alle fasi di progettazione prima, gestione e amministrazione poi del sistema informativo, la sicurezza è sempre stata un elemento cruciale. Ne abbiamo parlato con Andrea Oliani, Cio dell’Azienda Ospedaliera veronese. Trattandosi di Servizi Sanitari la prima dimensione della sicurezza è quella della privacy. La privacy, di fatto, norma le procedure di raccolta, archiviazione, consultazione dei dati. In un’Azienda ospedaliera, infatti, tutto ciò che è raccolto è sensibile. Nulla sfugge alla legge della Privacy (n.675/96) necessariamente capillare nella sua applicazione ed elemento ispiratore del primo Piano di Sicurezza attuato nel 1998 e, un anno dopo, adeguato in funzione del Dpr 318/99 Misure di Sicurezza. Questo Decreto è infatti il regolamento che contiene le norme necessarie all’individuazione delle misure minime di sicurezza per il trattamento dei dati personali, secondo la legge del 31 dicembre 1996, n. 675, meglio conosciuta come legge sulla Privacy. Nel Decreto si trovano tutti gli elementi necessari per organizzare e gestire il trattamento dei dati personali con strumenti elettronici o automatizzati, con riferimento all’identificazione degli incaricati, alle modalità di accesso, alla stesura del documento programmatico della sicurezza. Quest’ultimo deve contenere i criteri tecnici e organizzativi per la protezione di aree e locali interessati dalle misure di sicurezza e le procedure per il controllo degli accessi delle persone in queste zone; i criteri e le procedure per assicurare l’integrità dei dati, per la sicurezza della loro trasmissione, infine l’elaborazione di un piano di formazione per gli incaricati al trattamento dei dati stessi.
I sistemi di sicurezza
Con un riferimento normativo ben delineato, il Piano di Sicurezza dell’Azienda Ospedaliera di Verona ha così potuto concretizzarsi in un sistema di sicurezza capace di garantire i princìpi indicati dalla legge sulla Privacy e dal suo Regolamento attuativo (Dpr 318/99). "I cardini del sistema informativo aperto e distribuito – come ci segnala Andrea Oliani – sono innanzitutto le misure fisiche e tecnologiche di protezione predisposte sulla singola postazione di lavoro e poi le misure applicate agli accessi e alle abilitazioni legate, in questo caso, al singolo utente. C’è dunque una duplice e complementare lettura della struttura del sistema informativo: da una parte l’approccio statico, quello cioè alla rete di postazioni e piattaforme che richiede misure fisiche di protezione; dall’altra l’approccio dinamico legato invece alla mobilità degli utenti. Il sistema tutto, infatti, deve essere in grado di soddisfare l’esigenza primaria dei suoi utilizzatori, soprattutto medici: la possibilità, cioè, di accedere ai propri dati di lavoro da qualunque postazione dell’Azienda". Il principio ispiratore, infatti, è che da ogni stazione tutto sia possibile, fermo restando il controllo dell’accesso e la relativa abilitazione al livello di fruizione dei dati. Aspetti, questi, gestiti con autenticazione logica dell’accesso che avviene attraverso login e password. Ancora una volta merita tornare sul livello di complessità da governare. Hanno accesso alle postazioni 5300 dipendenti, di cui almeno 3500 abilitati all’uso delle stazioni computerizzate. Queste ultime sono circa 2000 in tutta l’azienda e già collegate in rete. Il rapporto utente-Pc, per il personale operativo, cioè i medici, non è uno a uno, vista anche l’elevata mobilità e la turnazione delle attività, mentre tale rapporto è garantito per tutti gli amministrativi. Risulta dunque chiaro perché l’aspetto di controllo e verifica degli accessi con successive abilitazioni ai livelli di operazione e consultazione sia particolarmente delicato tra il personale operativo.
Cosa proteggere e da chi
Nel caso di Verona la risorsa principale da proteggere è senza dubbio costituita dalle banche dati dei pazienti, patrimonio che, come abbiamo visto, richiede protezioni suppletive in virtù della legge sulla Privacy. Accanto ai dati sensibili (ma nel settore della Sanità tutto è sensibile) c’è poi la necessità di protezione dall’esterno, dalle intrusioni, la cosiddetta sicurezza periferica garantita anche dalla ridondanza dei firewall, progettati e disegnati dallo staff interno dei Sistemi Informativi in collaborazione con consulenti esterni. Torniamo dunque alle banche dati; ancora una volta il regolamento della legge n. 675/96 segnala procedure e modalità di accesso. A Verona ogni accesso alla banche è memorizzato, con completa tracciabilità di ogni singola operazione fatta dall’utente registrato e abilitato, al quale, in busta chiusa, sono stati in precedenza assegnati Login e Password accompagnati dalle norme di utilizzazione e dalle informative richieste per legge. Nel complesso insieme di interventi che compongono la gestione della sicurezza del sistema informativo aziendale, un ruolo centrale ha la realizzazione del sistema di single sign on, dotato di due fondamentali caratteristiche: un’estrema flessibilità nella gestione delle abilitazioni associate a ciascun utente, in un azienda sanitaria con un alto numero di dipendenti e articolata in oltre 120 unità operative ciascuna specializzata ed ad alto grado di autonomia gestionale; una “semplice” ed affidabile interfacciabilità con le numerose procedure applicative in uso. Per l’implementazione di un sistema così complesso e critico per l’azienda sono stati scelti i prodotti di Computer Associates, con la quale è stato definito e condotto un progetto comune di realizzazione, del quale C.A. si è assunta il ruolo di project management. "Al di là della validità tecnologica e funzionale dei prodotti usati – afferma Oliani – la collaborazione con CA è stata determinante per il successo dell’iniziativa, sia per la professionalità dei tecnici che hanno partecipato al progetto sia per l’attenzione mostrata dalla corporate agli inevitabili e specifici problemi manifestatisi nelle diverse fasi di realizzazione". Per il tutto esiste ovviamente un piano di manutenzione ordinaria, con test periodici della sicurezza (con hackeraggio su commissione fornito da società esterne), revisione semestrale di tutte gli apparati di security e integrazione con i sistemi interni, verifica e abilitazione dei fornitori (e sono decine) che svolgono teleassistenza sulle diagnostiche. Infine che dire della dimensione educativa, indispensabile per sensibilizzare gli utenti tutti? "Attualmente – conclude Oliani – la formazione sulla sicurezza coinvolge direttamente lo staff interno dei Sistemi Informativi. Accanto ai primari aspetti di istruzione tecnica c’è la promozione di una cultura della sicurezza che, partendo dai comparti tecnici, possa poi permeare tutta la cultura aziendale" (C.B.).
|
