Salute e malattia
L'uso incauto di attrezzature d'ufficio crea vettori pervasivi di esposizione PHI. Rischi chiave e controlli:
| Rischio | Meccanismo | Mitigazione |
|---|---|---|
| 1. Dispositivi Incustoditi | Schermi aperti in aree pubbliche | Auto-lock (≤2 min), privacy filters, clean desk policy |
| 2. Reti Non Sicure | Wi-Fi pubblico, crittografia debole | VPN obbligatoria, WPA3, niente PHI su reti pubbliche |
| 3. Dispositivi Condivisi | Residui dati cross-paziente | Kiosk dedicati, wipe sessione, no login condivisi |
| 4. Smaltimento Improprio | Carta in cestino, drive non puliti | Shred cross-cut, NIST 800-88 media sanitization |
| 5. Dati Non Criptati a Riposo | Laptop/telefono persi/rubati | Full-disk encryption (BitLocker, FileVault, MDM) |
| 6. Password Deboli | Indovinabili, riutilizzate, condivise | MFA obbligatorio, password manager, policy rotazione |
| 7. Software Non Aggiornato | Vulnerabilità sfruttabili | Patch management automatizzato, vulnerability scanning |
| 8. Accessi Eccessivi | Account over-privileged | Role-based access (RBAC), least privilege, recertificazione trimestrale |
| 9. Formazione Insufficiente | Phishing, misdelivery, shadow IT | HIPAA + security awareness annuale; simulated phishing |
| 10. Dispositivi Over-Shared | Multi-utenti, record misti | Assegnazione 1:1 dispositivo; fast user switching con audit |
| 11. Dispositivi Mobile Insicuri | BYOD senza MDM | MDM enrollment, containerizzazione, remote wipe |
| 12. Difese Perimetrali Deboli | Nessun firewall/IDS, AV obsoleto | Next-gen firewall, EDR, segmentazione rete |
| 13. Nessun Monitoraggio | Breach non rilevati | SIEM, UEBA, audit log review, 24/7 SOC |
| 14. Gap Accesso Remoto | VPN senza MFA, split tunneling | Zero Trust Network Access (ZTNA), device health attestation |
| 15. Stampa Non Sicura | PHI lasciato su vassoio, hack stampante rete | Pull printing (badge release), spool criptato, hardening stampante |
HIPAA Security Rule richiede salvaguardie amministrative, fisiche e tecniche. Una strategia defense-in-depth a strati è non negoziabile.
Riciclaggio