Fractional CISO per sanita: cosa fa e che risultati porta

Chi e il fractional CISO in una struttura sanitaria

Un fractional CISO e il direttore della sicurezza informatica della tua struttura sanitaria, presente pero solo per la frazione di tempo che ti serve davvero. Non e un consulente che ti consegna un report e sparisce, e non e il tecnico che ti sistema il firewall: e la figura che decide la strategia di sicurezza, risponde davanti a un'ispezione e tiene insieme dati, sistemi e persone.

In sanita questo ruolo ha un peso che altrove non ha. Qui i dati non sono un carrello abbandonato: sono cartelle cliniche, diagnosi, terapie. Un sistema fermo non e un ordine perso, e un pronto soccorso che lavora su carta o un laboratorio che non refertta. Il Manager Indipendente sulla sicurezza porta in una clinica, un poliambulatorio o una RSA la testa di un CISO da grande ospedale, senza il costo fisso di un dirigente a tempo pieno.

La differenza rispetto a un Fractional Manager di un altro settore sta tutta nel contesto normativo e nel rischio. Un errore di sicurezza in una struttura sanitaria significa dato particolare violato ai sensi del GDPR, sanzioni del Garante, obblighi NIS2 se rientri tra i soggetti essenziali o importanti, e un danno reputazionale che con i pazienti non si recupera con uno sconto.

Le responsabilita concrete che si prende in carico

Le sigle sulla carta valgono poco. Ecco cosa mette a terra un fractional CISO in una realta sanitaria, settimana dopo settimana, senza raccontarti la solita fuffa sulla cybersecurity.

Prima responsabilita: la protezione del dato clinico end to end. Chi accede alle cartelle, con quali permessi, da quali dispositivi. In troppe strutture il medico, l'infermiere e l'amministrativo vedono le stesse cose, e la password del gestionale e appiccicata al monitor. Il fractional CISO mette ordine su accessi, ruoli e cifratura, perche in caso di controllo la prima domanda del Garante e sempre quella: chi poteva vedere cosa.

Seconda responsabilita: la continuita operativa e il ransomware. La sanita e il bersaglio numero uno degli attacchi ransomware in Italia, perche una struttura sotto pressione paga in fretta pur di riaccendere i sistemi. Il Manager Indipendente costruisce backup testati davvero (non backup che scopri corrotti il giorno dell'attacco), un piano di risposta agli incidenti e le prove periodiche per far girare i reparti anche a sistemi spenti.

Terza responsabilita: la conformita come processo, non come faldone. GDPR sui dati particolari, NIS2, requisiti di sicurezza per accreditamento e gare di fornitura al SSN. Il fractional CISO tiene aggiornati DPIA, registro dei trattamenti lato sicurezza e misure tecniche, cosi quando arriva l'audit della ASL o del committente pubblico non parte la corsa notturna a inventare documenti.

Quando serve davvero: i segnali reali

Non tutte le strutture sanitarie hanno bisogno di un CISO oggi. Ma alcuni segnali dicono che stai correndo un rischio che non puoi piu ignorare, e che un Fractional Manager sulla sicurezza vale ogni euro che costa.

• La sicurezza la gestisce il fornitore IT. Il tuo tecnico o la software house che ti ha venduto il gestionale fa anche da sicurezza. E un conflitto di interessi: chi installa i sistemi non e la persona giusta per dirti quanto sono vulnerabili.
• Rientri o stai per rientrare nel perimetro NIS2. Cliniche, laboratori, strutture accreditate: molte scoprono di essere soggetti importanti senza avere nessuno che presidi gli obblighi. Serve una regia, non un adempimento last minute.
• Hai gare o convenzioni con il pubblico. Il committente ti chiede requisiti di sicurezza documentati per accreditarti o vincere il bando. Senza una figura che risponda, quei capitolati diventano un muro.
• Hai gia avuto un incidente o un near miss. Un tentativo di phishing andato a segno, un pc criptato, una mail con dati dei pazienti finita alla persona sbagliata. Il primo campanello e un regalo: significa che sei ancora in tempo.
• Cresci per sedi o servizi. Nuovi poliambulatori, telemedicina, refertazione da remoto. Ogni nuovo accesso e una porta in piu da presidiare, e la complessita e cresciuta piu in fretta della tua difesa.

Se ti ritrovi in due o piu di questi punti, non e piu una questione di se ma di quando. Sul tema dei segnali ho scritto una guida dedicata: quando serve un fractional CISO alla tua azienda.

I risultati e i KPI che porta in sanita

Un fractional CISO serio non ti vende tranquillita: ti porta numeri. In sanita i risultati si leggono su quattro fronti, e sono gli stessi che un ispettore o un committente ti chiedera di dimostrare.

Il risultato meno visibile ma piu importante e un altro: la struttura smette di dipendere dalla fortuna. Prima la sicurezza era una serie di speranze (speriamo che il backup funzioni, speriamo che nessuno clicchi). Dopo, e un sistema con procedure, prove e responsabilita assegnate. Quando la ASL o il committente pubblico ti chiedono conto, hai le carte in ordine e una persona che risponde con nome e cognome.

C'e poi il ritorno economico diretto: un incidente ransomware in una struttura sanitaria costa tra fermo operativo, ripristino, notifiche e sanzioni cifre a sei zeri, oltre alla perdita di pazienti. Un Fractional Manager sulla sicurezza a poche migliaia di euro al mese e, in questa logica, l'assicurazione piu economica che puoi comprare.

Fractional o CISO assunto, e come si struttura l'incarico

La domanda vera non e se ti serve la sicurezza, ma in che forma prenderla. Un CISO dipendente con esperienza reale in sanita, in Italia, costa tra 85.000 e 150.000 euro l'anno di costo aziendale, e lo paghi 12 mesi su 12 anche quando il grosso del lavoro strategico e fatto e resta la manutenzione.

La maggior parte delle strutture sanitarie, poliambulatori, cliniche private, RSA, laboratori, non ha volume da CISO a tempo pieno, ma ha un rischio da CISO a tempo pieno. E esattamente il vuoto che il Manager Indipendente riempie: seniority da grande ospedale su misura, pagata solo per i giorni che usi.

L'incarico si struttura in modo semplice. Prima un assessment iniziale (di solito 4-6 settimane piu dense) per fotografare rischi, accessi, backup e stato della conformita. Poi una cadenza fissa, uno o due o tre giorni a settimana, in cui il fractional CISO esegue il piano, forma il personale, gestisce i fornitori IT e presidia gli incidenti. La tariffa a giornata per un profilo di questo livello si colloca indicativamente tra 800 e 2.500 euro, in linea con il mercato fractional italiano per ruoli senior.

Nel metodo del Manager Indipendente la regola e chiara: la sicurezza viene prima della velocita. Non ha senso digitalizzare cartelle, aprire la telemedicina o vincere una gara pubblica se non sai chi accede ai dati dei pazienti e cosa succede il giorno in cui un sistema si ferma. La visibilita e il controllo sul rischio vengono prima di tutto il resto.

Domande frequenti