Indice dell'articolo

Le difficoltà di autenticazione rallentano l’assistenza ai pazienti e la produzione. Il 40% delle organizzazioni sanitarie intervistate nell’indagine Frontline Friction dichiara che i problemi legati alla verifica delle credenziali hanno causato ritardi nell’assistenza e nell’operatività quotidiana. Nel manifatturiero la quota è del 34%, negli altri settori del 26%.

L’indagine, intitolata Frontline Friction: The State of Authentication for Frontline Workers, è stata realizzata da Imprivata, che sviluppa soluzioni di gestione degli accessi per la sanità e altri settori critici, insieme a FIDO Alliance (Fast IDentity Online Alliance), il consorzio che sviluppa gli standard FIDO per l’autenticazione senza password.

Undici interruzioni al mese per chi è coinvolto

Nel settore sanitario il 37% degli addetti in prima linea incontra almeno un problema di autenticazione in un mese tipo. Una quota analoga si registra nel manifatturiero e nell’insieme dei settori considerati. Tra i lavoratori interessati la media è di 10 interruzioni al mese in sanità. Per ciascun lavoratore interessato, la ricerca indica in media 11 interruzioni mensili e circa 2,5 ore di lavoro perse, pari a 30 ore all’anno.

Per una realtà con 2.800 addetti in prima linea, il comunicato calcola circa 32.400 ore lavorative perse ogni anno. Il totale equivale a circa 1.080 persone coinvolte, il 39% degli addetti.

Cause e conseguenze

Tra le principali cause di attrito, i responsabili IT e sicurezza indicano il tempo necessario per passare da un utente all’altro sui dispositivi condivisi (27%), il ripristino delle password e il blocco degli account (26%) e i problemi di connettività (25%). Seguono, con il 23%, le ripetute richieste di nuova autenticazione e di autenticazione a più fattori (MFA, Multi-Factor Authentication).

Solo il 5% dei CIO e dei CISO intervistati afferma di non subire effetti significativi. Tra le conseguenze segnalate dagli altri:

  • un aumento del carico di lavoro per l’IT e l’help desk (37%);
  • una perdita di produttività (30%);
  • un maggiore ricorso ad aggiramenti delle procedure che possono compromettere la sicurezza (29%);
  • una maggiore esposizione a incidenti di sicurezza (27%);
  • una minore capacità di monitorare l’attività (27%);
  • un aumento dei tempi di inattività (26%).

Le scorciatoie e il problema della tracciabilità

Quando l’autenticazione ostacola il lavoro, il personale cerca scorciatoie. Il 95% degli intervistati dichiara di averne osservata almeno una tra gli addetti in prima linea. Le più diffuse sono il mantenimento delle sessioni aperte per non autenticarsi di nuovo (40%), i tentativi di aggirare l’autenticazione a più fattori o altri controlli di sicurezza (36%) e la condivisione delle credenziali (33%). Soltanto il 40% dei responsabili IT e sicurezza si dice molto sicuro di poter ricondurre ogni accesso al singolo utente corretto.

Secondo Imprivata il problema è più acuto nelle strutture sanitarie, per postazioni condivise, cambi di turno e pressione operativa. Per Joel Burleson-Davis, Chief Technology & Security Officer di Imprivata, è “facile sottovalutare l’impatto delle procedure di autenticazione”. Il dirigente ricorda che “quando i controlli di sicurezza non sono adeguati alle modalità di lavoro, possono indurre il personale ad aggirarli aumentando vulnerabilità e rischi”.

Deepfake e attacchi all’help desk

Alle difficoltà operative si aggiunge l’evoluzione delle minacce. Il 57% delle organizzazioni riferisce di aver rilevato, o sospetta di aver subito, tentativi di spacciarsi per un dipendente con l’aiuto dell’intelligenza artificiale o di deepfake negli ultimi 12 mesi. Il 23% conferma almeno un incidente di questo tipo.

Il 62% segnala tentativi, confermati o sospetti, di accesso non autorizzato attraverso le procedure di recupero degli account, di reimpostazione delle password o di sblocco. Il 60% dei CIO e dei CISO riferisce attacchi di social engineering, cioè di manipolazione psicologica, rivolti all’help desk. Il 48% si dice molto o estremamente preoccupato per la sostituzione di persona basata sull’AI, una quota ormai pari a quella rilevata per le forme tradizionali di questo attacco.

Passkey, la transizione è ancora a metà

Le passkey sono credenziali di accesso basate sulla crittografia a chiave pubblica, definite dagli standard FIDO: sostituiscono la password e sono progettate per resistere al phishing. Tra gli intervistati che usano metodi di autenticazione senza password, il 99% dichiara di aver ottenuto almeno un beneficio. Tra le organizzazioni che impiegano le passkey, il 38% segnala un accesso più rapido, il 36% un miglioramento della produttività e il 33% una maggiore visibilità sugli utenti che accedono ai sistemi.

L’adozione resta però limitata. Solo il 5% dichiara di aver introdotto un’autenticazione completamente senza password per il personale. Il 67% mantiene un approccio basato sulle password o non ancora uniforme. Il 28% usa passkey o credenziali FIDO, ma solo il 15% le impiega senza affiancarle a una password tradizionale.

Andrew Shikiar, Executive Director e CEO di FIDO Alliance, sostiene che, per esprimere pienamente il loro potenziale di protezione, “le passkey devono sostituire le password e i metodi di autenticazione a più fattori meno sicuri, anziché affiancarli”. Con l’intelligenza artificiale che rende gli attacchi alle identità sempre più semplici e convincenti, aggiunge, “completare questa transizione deve diventare una priorità”.

Come leggere i dati

La ricerca è stata condotta da Sapio Research su 700 responsabili IT e sicurezza coinvolti nelle decisioni su autenticazione, sicurezza delle identità o gestione degli accessi, in organizzazioni con almeno 500 dipendenti e con personale operativo. Gli intervistati si trovano negli Stati Uniti (250), nel Regno Unito (150), in Francia (150) e in Germania (150). Il campione comprende 325 organizzazioni sanitarie, 184 aziende manifatturiere e 191 organizzazioni di altri settori con molto personale operativo.

Va sottolineato che le risposte riflettono la percezione dei responsabili IT e non quella degli addetti in prima linea. Infine, i due committenti operano in ambiti, la gestione degli accessi e l’autenticazione senza password, direttamente interessati dai risultati.

Per le organizzazioni italiane il tema si collega alla direttiva NIS2, che tra le misure di gestione del rischio di sicurezza informatica cita l’uso di soluzioni di autenticazione a più fattori o di autenticazione continua e che include la sanità tra i settori ad alta criticità. Il rapporto completo è disponibile sul sito di Imprivata.