Ci sono provider SPID che consentono secondo tramite token fisico (FIDO2 come yubico security key)? Altrimenti password + OTP o notifica nell’app sono phishabili. Sì, CIE è più sicura.
danilo_g ha scritto: ↑sabato 15 giugno 2024, 0:20L'FSE sta sui server del SI regionale. Il fatto che i dati siano (semi)centralizzati semmai è un sinonimo di maggiore sicurezza, perché viene fatto UN investimento di risorse consistente per una infrastruttura critica, anziché tot investimenti minori per infrastrutture più piccole, magari non sufficienti a garantire la sicurezza dovuta.
La decentralizzazione dei dati riduce l’entità del danno in caso di data breach. Questo investimento consistente di risorse è tutto da vedere, allo stato attuale indicazioni che sia così non ce ne sono, piuttosto non mi pare assolutamente prioritaria la sicurezza vista la situazione catastrofica in cui versano le strutture sanitarie.
danilo_g ha scritto: ↑sabato 15 giugno 2024, 0:20Ma a quali data breach di cartelle cliniche ti riferisci esattamente?! Qui si sta parlando di FSE regionale del SSI, non andiamo a prendere situazioni che non c'entrano nulla per piacere. Le uniche violazioni successe finora, documentate dalla stampa, riguardano per lo più casi di ransomware che esfiltrazioni di dati clinici, e comunque sempre da infrastrutture periferiche di realtà territoriali più piccole (ospedali e ASL), che comunque vengono multate per la loro negligenza.
A parte che se io sviluppassi un ransomware, preferirei anche esfiltrare i dati just in case, comunque ti sbagli, questi sono i primi che mi vengono in mente:
1) ASL Sulmona: sottratti 363 GB di dati sanitari, pubblicati integralmente sul un onion service.
2) Azienda Ospedaliera Universitaria Integrata di Verona: 612 gb di dati sottratti.
3) AUSL Modena: quasi 1 TB di dati sottratti.
In tutti i casi si tratta di dati altamente sensibili come dati relativi relativi a interruzioni di gravidanza, minori con patologie psichiatriche, informazioni su trapianti, informazioni su sieropositivi, cartelle cliniche, referti, etc. La multa se arriva non spinge la sanità a migliorare le procedure non essendoci accountability (la multa la paghiamo noi tutte con le tasse) e comunque i dati rubati non te li ridà indietro nessuno anche una volta comminata la sanzione.
Secondo me non leggi le cose che scrivo o le reinterpreti a modo tuo. Questi esempi riguardano banche dati di singoli enti territoriali che non c'entrano niente con il FSE che è 
due motivi. Uno e' il maggior spazio disco richiesto per un archivio permanente (ma sarebbe poi cosi' tanto considerando tutte le porcate irrilevanti che qualcuno salva in rete, tipo le foto delle vacanze), l'altra e' l'assenza di uno standard condiviso (ricordo anni fa che qualcuno di area biomedica diceva di invidiare noi astrofisici che dal 1979 abbiamo un formato, FITS, usato da tutti in tutto il mondo) ... ma oggigiorno non sono tutte DICOM ?
