Ransomware nel Sistema di Cartella Clinica Elettronica (CCE)

Sequenza di iniezioni (T+0 → T+72h)

I tempi seguono il cronometro dell'art. 25 del DLgs 138/2024 (pre-notifica 24h / notifica 72h). Il facilitatore legge ogni iniezione al momento indicato oppure comprime l'esercizio in un blocco di 60-90 minuti.

1. T+0

   05:38. Il responsabile IT dell'ospedale riceve un allarme dal SIEM: attività anomala di cifratura su 23 server nel segmento della cartella clinica elettronica (CCE). I terminali del pronto soccorso mostrano una nota di riscatto in inglese. Il sistema di gestione dei posti letto non risponde. I PACS di radiologia funzionano ma con latenza elevata.

   Iniezione 1 di 6

2. T+15min

   T+15min. Il primario di turno chiede se gli interventi programmati per le 08:00 devono essere cancellati. Non si accede alla lista dei farmaci somministrati né alle allergie note. Il fornitore della CCE conferma segnalazioni analoghe da altri tre ospedali italiani. Il DPO viene allertato.

   Iniezione 2 di 6

3. T+1h

   T+1h. Il CSIRT Italia contatta il punto di contatto dell'ospedale dopo una correlazione trasversale nei sensori nazionali. La direzione IT conferma cifratura su 31 dei 48 server. Il backup più recente verificato ha 28 ore. Non esiste procedura documentata di operazione in modalità degradata per la CCE.

   Iniezione 3 di 6

4. T+4h

   T+4h. La squadra IT avvia il ripristino dal backup offsite. Gli interventi elettivi sono cancellati; il pronto soccorso opera con registro cartaceo. Il Direttore Generale convoca il Comitato di Crisi. L'Azienda Sanitaria Locale (ASL) chiede un punto di situazione. RAI TG Regione e Il Sole 24 Ore hanno giornalisti al telefono.

   Iniezione 4 di 6

5. T+24h

   T+24h. Ripristinati 36 dei 48 server. La CCE è operativa in sola lettura; la gestione farmaci ancora no. La pre-notifica (preallarme) al CSIRT Italia è stata inviata tramite la piattaforma ACN entro le 24 ore dalla rilevazione (art. 25 c. 4 DLgs 138/2024). Il Garante Privacy non è ancora stato notificato — l'ambito di esposizione dei dati personali (potenzialmente dati sanitari particolari) è sotto valutazione.

   Iniezione 5 di 6

6. T+72h

   T+72h. Notifica completa (art. 25 c. 5 lett. b) DLgs) trasmessa al CSIRT Italia tramite piattaforma ACN. Valutazione iniziale conferma incidente significativo (impatto sostanziale su servizio essenziale sanitario + rischio per i pazienti). Ripristino tecnico al 91%; la squadra forense ha identificato il vettore iniziale (allegato phishing aperto da operatore della farmacia ospedaliera). Notifica GDPR art. 33 consegnata al Garante Privacy nella 70ª ora. Comunicazione proattiva ai pazienti in corso.

   Iniezione 6 di 6