Da anni sostengo che quanto accade al di là di uno schermo produce sempre più spesso conseguenze al di qua:
Il 25 agosto Boston Scientific. grande multinazionale statunitense che produce dispositivi medici e apparecchiature biomediche, ha comunicato alla SEC un incidente informatico che ha prodotto un blocco globale delle operazioni, limitando l’accesso ai sistemi che supportano anche produzione, elaborazione e spedizione degli ordini. Non sappiamo quale sia stato il vettore dell’attacco e neppure chi ci sia dietro. Meglio così: almeno possiamo evitare il consueto esercizio di attribuzione creativa e concentrarci sulla parte più interessante, cioè sulle conseguenze.
Quella più clamorosa ha riguardato il Regno Unito dove la NHS Supply Chain, un’organizzazione pubblica che gestisce gli acquisti, la logistica e la distribuzione di prodotti sanitari e alimentari per il Servizio Sanitario Nazionale (NHS) in Inghilterra e Galles, ha costituito un Major Incident Team insieme alle strutture sanitarie nazionali. Nell’aggiornamento del 4 settembre risultava ripresa la spedizione della maggior parte dei prodotti già disponibili nei centri di distribuzione europei, ma la produzione non era ancora ripartita e restava un arretrato di ordini da smaltire. Per le procedure previste nelle successive 48 ore è stato attivato un canale d’emergenza e, nel frattempo, il NHS sta identificando prodotti alternativi.
A quel punto il problema ha smesso definitivamente di sembrare “informatico”. Quando serve un numero dedicato per capire se un prodotto necessario a una procedura medica arriverà in tempo, i bit sono entrati nel mondo fisico.
C’è poi un secondo dettaglio ancora più istruttivo. Boston Scientific ha precisato che non risultano compromessi i dispositivi cardiaci impiantati già operativi né il monitoraggio remoto già attivato. Tuttavia, l’incidente ha impedito temporaneamente l’attivazione del monitoraggio remoto per alcuni nuovi impianti: i dati continuano a essere registrati, ma in determinate situazioni non possono essere trasmessi finché non saranno ripristinate alcune funzionalità dei sistemi.
Non serve, quindi, immaginare qualcuno intento a “hackerare un pacemaker”, immagine perfetta per una serie televisiva e molto meno utile per capire il problema. Basta rendere indisponibile ciò che produce, ordina, spedisce, attiva o supporta quel dispositivo.
La vicenda è esemplare. Negli ultimi anni abbiamo costruito una lunga catena digitale tra sistemi gestionali, produzione, logistica, portali, ospedali e dispositivi. Finché tutto funziona, questa integrazione si chiama efficienza: meno attrito, meno attese, meno scorte, più velocità, poi un anello si blocca e scopriamo che quella che chiamavamo ottimizzazione era anche dipendenza.
La cybersecurity, allora, non può più essere raccontata soltanto come la disciplina che impedisce a qualcuno di entrare nei sistemi o di rubare dati. Certo, deve continuare a fare anche quello, ma oggi deve soprattutto proteggere la capacità dell’organizzazione di restare operativa quando una parte della sua infrastruttura digitale non è disponibile.
Significa prevedere modalità degradate, alternative, ridondanze, procedure d’emergenza e accettare che non tutto può essere ottimizzato fino all’ultimo secondo e all’ultima scorta. Ogni margine eliminato in nome dell’efficienza può trasformarsi, in caso di incidente, in un margine che avremmo voluto avere.
La lezione è precisamente qui. Il cyber entra nella sanità da una porta laterale e non deve necessariamente colpire la sala operatoria: gli basta fermare il sistema che fa arrivare nella sala operatoria ciò che serve. Abbiamo digitalizzato processi che consideravamo accessori fino al giorno in cui abbiamo scoperto che erano diventati indispensabili.
La sicurezza cerca di evitare che il digitale si fermi; la resilienza decide quanto mondo reale si fermerà insieme a lui e, questa resilienza sembra avere assoluta necessità di un po’ di sana inefficienza.