Innovating the Healthcare: Trends, Challenges ... · • crescente diffusione di malattie croniche; ... è il più grande problema che la maggior parte dei paesi sta affrontando in

Ing. Paolo Piccardo

BV TECH S.p.A.

CISEF GASLINI - Centro Internazionale di Studi e Formazione Germana Gaslini

Innovating the Healthcare: Trends, Challenges, Opportunities and Risks

THE WAY TOWARDS SMART HOSPITALS

Gruppo BV TECH The way towards Smart Hospitals, CISEF GASLINI 18/06/2018

La domanda di servizi di assistenza sanitaria

La domanda di servizi di assistenza sanitaria è in aumento in tutto il mondo:

• maggiori esigenze di salute;

• invecchiamento e crescita della popolazione;

• crescente diffusione di malattie croniche;

• espansione dei mercati emergenti;

• miglioramenti delle infrastrutture;

• progressi in termini di trattamento e tecnologia.

La spesa sanitaria globale annua è prevista in aumento del 4,1% nel periodo 2017-2021, mentre è cresciuta dell'1,3% nel periodo 2012-2016, diventando sempre più insostenibile dalla maggior parte dei paesi (*).

(*) Deloitte, 2018, “Global health care outlook - The evolution of smart health care”


La sostenibilità dei costi

Tuttavia, il costo è il più grande problema che la maggior parte dei paesi sta affrontando in questi anni. L'incertezza politica, lo stress economico persistente e le misure di austerità in numerosi paesi mettono in discussione la sostenibilità dei finanziamenti per l'assistenza sanitaria pubblica.


La necessità di ripensare il modello di fornitura e gestione

Per mantenere l'assistenza sanitaria accessibile e ampiamente disponibile per le generazioni future, è fondamentale ripensare a come l'assistenza sanitaria è fornita e gestita. Se analizziamo la spesa sanitaria di un paese (*), gli ospedali sono i principali erogatori di assistenza, rappresentano quindi la voce di costo più elevata e sono al centro della attenzione. Diverse innovazioni tecnologiche di questi ultimi anni promettono una risposta alla domanda: Come possiamo sfruttare informazioni acquisite in tempo reale per raggiungere l'eccellenza clinica, migliorare l'esperienza del paziente e ridurre i costi ?

(*) Dati ISTAT 2016 «Il sistema dei conti della sanità per l’Italia»


Cosa identifica uno Smart Hospital

E’ un ospedale che si basa su processi automatizzati che utilizzano dispositivi IoT per migliorare l’operatività e la personalizzazione dei servici clinici e per aumentare le capacità diagnostiche e chirurgiche. Una gestione integrata dei dati e delle informazioni riduce gli errori, introduce nuove possibilità di analisi.

Tutto ciò permette di ridurre i costi complessivi e consente una migliore qualità dell'assistenza.

Dove i servizi medici sono supportati da un ambiente ICT basato su sistemi in cloud, che permettono analisi di big data su eventi e dati che possono essere considerati affidabili perché ricevuti attraverso processi che ne certificano la provenienza.

Gli ospedali intelligenti utilizzano un approccio incentrato sul paziente, per garantire una ottimale esperienza del paziente, seguendolo anche a casa, in remoto.

Ciò si riflette ad esempio nel superamento dei silos isolati di dati e nell’utilizzo di EMR centralizzati dove è possibile analizzare l’intera storia clinica del paziente.


Le tecnologie abilitanti gli Smart Hospital (1/2)

I dispositivi medici collegati (IoT) forniranno una grande quantità di nuovi dati, più aggiornati e dettagliati che mai: • Automatizzeranno alcune procedure di reparto • Permetteranno il monitoraggio dei pazienti in casa propria,

riducendo i ricoveri, tracciando il progresso post-ospedalizzazione, analizzando il recupero e la risposta al trattamento;

• Guideranno i pazienti nella routine quotidiana di esercizi, ad esempio prescritti a seguito di interventi chirurgici ortopedici.

Le applicazioni sanitarie saranno in cloud e supporteranno la condivisione di informazioni sanitarie e le sperimentazioni cliniche, anche in collaborazione tra diverse istituzioni.


Le tecnologie abilitanti gli Smart Hospital (2/2)

L’ analisi dei big data, basata sull'apprendimento automatico e sulla genomica, permetterà di creare soluzioni di intelligenza artificiale. Queste promettono ad esempio di scoprire e prevenire malattie ad alto rischio ed ampia diffusione, ad un costo inferiore rispetto al passato. La blockchain permetterà di migliorare l’interoperabilità dei sistemi, collegare i tradizionali silos di dati che oggi generano carenze organizzative e aumento dei costi IT: • Garantendo la certezza sulla provenienza dei dati; • Aumentando il controllo degli accessi ai dati; • Implementando le preferenze di consenso dei pazienti.


Healthcare Cyber Attacks 2017

…

L'introduzione di funzionalità connesse a Internet, l’utilizzo di dispositivi IoT e di servizi cloud, aumentando significativamente la superficie di attacco disponibile per gli hacker.


L’interesse del cyber crime per la sanità

Nel febbraio 2018, il Council of Economic Advisers (CEA) ha stimato che negli Stati Uniti la criminalità informatica è costata tra $ 57 miliardi e $ 109 miliardi (dati riferiti al 2016). Il grafico evidenzia

- (in blu) la composizione del Prodotto Interno Lordo degli Stati Uniti (GDP)

- (in grigio) il numero di violazioni informatiche

Questo a causa del valore che i dati sanitari possiedono, rappresentando sia dati personali PII (Personally Identifiable Information) che dati sensibili PHI (Protected Health information).

(*) definito come «un incidente che si traduce nella divulgazione confermata, non solo nella esposizione potenziale dei dati a terzi non autorizzati»


USA - Cybersecurity Act (2015)

The Cybersecurity Act of 2015 provided a much needed opportunity to convene public and private sector subject matter experts to spend the last year discussing and developing recommendations on the growing challenge of cyber attacks targeting health care.

They also reflect a shared understanding that for the health care industry cybersecurity issues are, at their heart, patient safety issues. As health care becomes increasingly dependent on information technology, our ability to protect our systems will have an ever greater impact on the health of the patients we serve.

…

The Task Force’s discussions resulted in the development of six imperatives along with cascading recommendations and action items. All of these reflect the need for a unified effort among public and private sector organizations of all sizes and across all sub-sectors – to work together to meet an urgent challenge.

…


Le peculiarità di uno Smart Hospital (1/3)

Gli Smart Hospitals sono organizzazioni straordinariamente complesse con molte caratteristiche organizzative tipiche di altri settori ma con peculiarità significative, ad esempio: Il livello e la quantità di tecnologia:

• analogamente ad altre organizzazioni, gli Smart Hospital gestiscono una varietà significativa di dispositivi che vanno dai sistemi legacy, ai dispositivi IoT collegati, dai Data Center interni alle reti e sistemi di automazione degli edifici;

• A differenza di altre organizzazioni, hanno spesso un numero di dispositivi da gestire con un ordine di grandezza in più di loro, acquistati non solo secondo specifiche IT definite centralmente, ma spesso soprattutto secondo specifiche mediche specialistiche richieste dai diversi reparti, talvolta anche forniti in conto visione da società del settore.



Le Procedure interne sono relative a processi normalmente esistenti all’interno delle grandi aziende, ma rese più complicate dalla specificità delle funzioni realizzate negli Smart Hospital.

• Accanto all’amministrazione, alle risorse umane, all’IT, proprio come le altre organizzazioni,

• troviamo radiologia, cardiologia e pediatria, tra gli altri. Il grado di specializzazione è alto, ogni dipartimento richiede attrezzature totalmente diverse, soddisfa le diverse esigenze dei pazienti, ha flussi di lavoro diversi e impiega una forza lavoro altamente specializzata che richiede anni di addestramento.



Pressioni normative:

• analogamente ad altre organizzazioni, gli Smart Hospital devono rispettare i regolamenti regionali e nazionali;

• In più, gli Smart Hospital gestiscono dati sanitari in grande quantità, considerati particolarmente sensibili, e quindi protetti da leggi specifiche sulla protezione dei dati;

Assistenza centrata sul paziente:

• come tutte le organizzazioni, gli ospedali hanno un budget da rispettare per rimanere operativi,

• ma a differenza di altre organizzazioni, la missione principale è prendersi cura dei loro pazienti, anche quando ciò significa impiegare significative risorse e infrangere regole interne.


Come ridurre i rischi legati al cyber crime (1/6)

Le leve su cui agire per ridurre i rischi legati al cyber crime e proteggere la privacy, i dati e le infrastrutture sono note: • l'uso di strumenti e tecnologie per la sicurezza ICT tradizionali e ‘smart’, • il rafforzamento delle pratiche di sicurezza nei processi operativi interni, • l'aumento della sicurezza fisica degli edifici.

Gli Smart Hospital sono intelligenti non solo grazie alle nuove tecnologie, ma anche grazie al continuo miglioramento di come le persone offrono servizi di assistenza in modo intelligente, e quindi attraverso migliori processi assistenziali ed organizzativi:

• Importanza del fattore umano, non solo a livello di direzione, coinvolgendo tutte le persone all'interno dello Smart Hospital, indipendentemente dal livello nell’organizzazione e dal servizio offerto (assistenza sanitaria, amministrazione, gestione tecnica, logistica, ecc.)

• La creazione di una organizzazione in grado di coniugare alta professionalità nei servizi sanitari con la consapevolezza della necessità di preservare ed assicurare la sicurezza informatica.



Identificazione degli asset • Sistemi informativi clinici

• Cartella Clinica • applicativi verticali ADT, LIS,

RIS, ecc. • Database

• Dati clinici, • dati amministrativi, • dati di ricerca, ecc.

• Apparati medicali stazionari • TAC • PET, ecc.

• Apparati medicali portatili • Dispositivi IoT medicali

• Apparati e dispositivi che costituiscono l’infrastuttura di rete dati

• Switch, router, ecc.



Assegnazione di un valore (criticità) ad ogni asset Sulla base degli effetti sull’operatività complessiva dello Smart Hospital in caso di incidente (fallimento) di uno di essi

Quali sono gli asset di uno Smart Hospital che sono considerati più critici ?

(*) ENISA 2016 «Security and Resilience for Smart Health Service and Infrastructures»



Identificazione degli attacchi noti che che sono stati effettuati in passato a strutture analoghe Ricerca sui siti di settore e confronto con esperti per integrare/rivedere i dati raccolti

Associazione tra attacchi noti e asset mirati Ricerca sui siti di settore e confronto con esperti per integrare/rivedere i dati raccolti

Identificazione delle vulnerabilità • Apparati medicali portatili e stazionari

• sono fortemente interconnessi mentre molti di essi non sono stati progettati per esserlo.

• sono spesso in grado di connettersi autonomamente ad altri sistemi, anche su Internet • Apparati medicali portatili

• sono sparsi ovunque nell’ospedale implementare sicurezza fisica è impraticabile

• ecc.



Identificazione delle minacce (Threat taxonomy) • Azioni malevoli • Errori umani • System failures • Third-party failures • Natural phenomena



Identificazione delle ‘good practices’ per migliorare la sicurezza di ciascun asset e ridurre il rischio di attacco specifico

Gap analysis


CHALLENGE 1: Difficoltà nella valutazione del rischio

• Esistono studi e valide proposte (framework) per effettuare l'analisi del rischio per qualsiasi tipo di organizzazione (ad es. ENISA Threat Modeling and Risk Assessment Framework)

• Sono disponibili le basi di conoscenza e i modelli per definire il comportamento cyber-avversario (ad es. MITRE attack trees taxonomy)

• Ma data la complessità degli Smart Hospital, l’analisi delle fonti di minaccia, gli eventi e le kill-chains specifiche devono ancora essere chiaramente identificate e categorizzate al fine di valutare correttamente le strategie, le interdipendenze e gli effetti a cascata per ridurre efficacemente il rischio cibernetico.


CHALLENGE 2: Necessità di tecnologie specifiche

All’interno di uno Smart Hospital, gli ambiti di applicazione sono significativamente diversi:

• sistemi IT ospedalieri, che supportano funzionalità essenziali come i sistemi informativi clinici e dispositivi medici interconnessi;

• sistemi OT ospedalieri, che supportano funzionalità altrettanto essenziali quali la fornitura di servizi tecnici (gas medicali, condizioni climatiche specifiche per laboratori e magazzini) oppure l'automazione degli edifici (illuminazione, la regolazione climatica, ecc.), il controllo dell'accesso fisico (lettori di schede di controllo accessi, sistema di chiusura delle porte, parcheggio, ecc.), sistemi di videosorveglianza;


CHALLENGE 3: Pochi esempi di implementazione di EMR in cloud

Ci sono forti ragioni per spostare nel cloud gli archivi di dati sanitari esistenti (Electronic Medical Record, EMR):

• il numero e la dimensione media degli EMR crescono ogni anno;

• i repository EMR richiedono infrastrutture ad alta disponibilità, con backup dei dati e siti di disaster recovery);

• migliore raggiungibilità dai dispositivi medici collegati (dispositivi IoT in primis);

• semplificazione della tele-medicina (servizi di assistenza remota / domiciliare), del tele-monitoraggio (servizi di post-ospedalizzazione), del tele-consulto,

dove possono essere gestiti da organizzazioni ITC specializzate. Ci sono davvero pochi esempi di implementazioni effettive di questi centri con l’implementazione dell’intero set di regole sul consenso e la privacy:

- Servizi ospedalieri e territoriali; - Consent Management;

- Servizi sanitari e sociali; - Registro dei trattamenti;

- Servizi pubblici e privati; - Lettere di incarico.

- Clinical Pathway (PDTA);

- Cura primaria (MMG e PLS)


USA - Health Care Industry Cybersecurity Task Force (1/2)

The Director of the National Institute of Standards and Technology, the Secretary of Homeland Security, the Secretary of Health and Human Services brought together a diverse group of industry representatives to discuss these issues, consistent with the requirements outlined in the Act. Industry participation in the Task Force brought to light critical areas for discussion. Some of the topics raised included:

Who from the federal government provides cybersecurity leadership and coordinates the preparedness and response for cybersecurity incidents for the health care sector ? (Recommendation 1.1)

How does industry organize itself to oversee and promote health care cybersecurity priorities and share information ? (Recommendation 1.4, Recommendation 4.5,Recommendation 6.2)

How does the sector leverage the National Institute of Standards and Technology (NIST) Cybersecurity Framework, or other frameworks, as a standard to measure itself, as well as to design and implement risk management practices? (Recommendation 1.2)

What impact does the diversity of regulations have on the ease of adoption of cybersecurity practices or the ability of industry members to collaborate on cybersecurity issues ? (Recommendation 1.3, Recommendation 1.5)

How do legacy systems (including medical devices, electronic health records, etc.) affect health care industry cybersecurity and how can these systems be made more resilient ? (Recommendation 2.1)

What are the cybersecurity challenges facing small and rural organizations ? (Recommendation 3.3, Recommendation 3.4, Recommendation 6.1)

How does supply chain affect the secure development, on-going maintenance, and system hardening (i.e., managing vulnerabilities in third party software) for medical devices, pharmaceutical manufacturing, and Internet of Things innovation ? (Recommendation 2.2, Recommendation 2.3)


USA - Health Care Industry Cybersecurity Task Force (2/2)

The imperatives are:

1. Define and streamline leadership, governance, and expectations for health care industry cybersecurity.

2. Increase the security and resilience of medical devices and health IT.

3. Develop the health care workforce capacity necessary to prioritize and ensure cybersecurity awareness and technical capabilities.

4. Increase health care industry readiness through improved cybersecurity awareness and education.

5. Identify mechanisms to protect research and development efforts and intellectual property from attacks or exposure.

6. Improve information sharing of industry threats, weaknesses, and mitigations.


Cybersecurity in Smart Hospitals

Quali sono le minacce che temo di più all’interno di uno Smart Hospital ?



Cybersecurity in Smart Hospitals

Quali sono gli aspetti più importanti che vanno protetti all’interno di uno Smart Hospital ?


Documents

Innovating the Healthcare: Trends, Challenges ... · • crescente diffusione di malattie croniche; ... è il più grande problema che la maggior parte dei paesi sta affrontando in