Privacy Fault Detection: rilevamento dello snooping negli accessi alle cartelle cliniche elettroniche.

La protezione dei dati sanitari deve fronteggiare una minaccia che i controlli di sicurezza tradizionali non riescono a intercettare: lo healthcare snooping, cioè la consultazione di dati clinici da parte del personale ospedaliero che, seppur dotato di credenziali legittime, nei fatti risulta privo di un titolo effettivo che ne legittimi l’accesso. Essendo l’operatore regolarmente autenticato e autorizzato, dal punto di vista del sistema, un simile accesso non è facilmente distinguibile da uno lecito; infatti, firewall, autenticazione e regole deterministiche non riescono ad intercettarlo, e i provvedimenti del Garante mostrano come la violazione emerga quasi sempre dal reclamo della vittima anziché da un controllo automatico. Il lavoro parte da una premessa: se non è possibile stabilire a priori quando un accesso sia illecito, visto che la valutazione richiederebbe informazioni sulle finalità e sulle relazioni dell’operatore non disponibili al sistema, è però possibile misurare quanto un accesso sia anomalo rispetto al comportamento abituale dell’utente e a quello dei suoi pari. In virtù di ciò è stata progettata e realizzata una catena di elaborazione completa che, a partire dai log grezzi prodotti da un applicativo sanitario e raccolti tramite un filtro Tomcat, li normalizza traducendoli in AuditEvent e ne arricchisce le operazioni con un significato clinico e un livello di sensibilità derivato dalle categorie particolari di cui all’articolo 9 del Regolamento (UE) 2016/679 (GDPR). Inoltre, estrae un insieme di caratteristiche comportamentali e individua le anomalie mediante un algoritmo non supervisionato, l’Isolation Forest, corredando ogni segnalazione della spiegazione dei fattori che l’hanno determinata e di una priorità operativa governata da regole dichiarate. L’elemento distintivo non risiede nei singoli stadi, tutti fondati su tecnologie consolidate, bensì nel modo in cui essi vengono messi in relazione tra loro: da un lato la continuità dell’intera catena, che inizia dal log applicativo fino ad arrivare alla segnalazione leggibile da un ufficio privacy; dall’altro lato, il legame esplicito tra le firme comportamentali osservate dal modello e i comportamenti già qualificati come illeciti dall’autorità di controllo, dai quali ciascuna caratteristica è stata derivata. In assenza di violazioni realmente etichettate, il metodo è stato validato attraverso l’iniezione di anomalie sintetiche sia a intensità fissa che a intensità crescente, e la scelta dell’algoritmo è stata giustificata sperimentalmente, confrontando cinque metodi non supervisionati sugli stessi dati. Sviluppato su un ambiente dimostrativo popolato da anagrafiche fittizie – con la conseguenza, tutt’altro che secondaria in un lavoro dedicato alla protezione dei dati sanitari, che nessun dato clinico reale è stato trattato – l’elaborato costituisce una proof of concept completa e funzionante, corredata dai requisiti necessari a un’eventuale messa in esercizio.