Latitanti e cure sanitarie, le falle della tracciabilità

Possono i latitanti accedere a prestazioni sanitarie erogate dal Servizio sanitario nazionale, mantenendo la loro identità? Matteo Messina Denaro ha dovuto assumerne un’altra per curarsi il cancro e chissà che altro. Decisamente più ingenuo il cinquantenne narcotrafficante brianzolo arrestato un anno fa a Seregno un attimo dopo avere ricevuto una dose di vaccino anti-Covid, dopo essere stato verosimilmente individuato una volta registrato sulla piattaforma con il proprio nome e cognome. Detto ciò, è lecito chiedersi fino a che punto l’interoperabilità dei dati sanitari può sostenere inchieste giudiziarie e operazioni di polizia.

La cronaca di queste settimane e mesi individua un filo che lega il processo di digitalizzazione della sanità italiana alle attività investigative delle forze dell’ordine e delle Procure italiane. Ma, non sempre questo filo viene seguito come una tradizionale traccia investigativa e non sempre il sistema di digitalizzazione si dimostra essere inviolabile. Una falla nel sistema c’è sempre ed è di questa debolezza che approfitta la criminalità organizzata per eludere sia il sistema sanitario che quello investigativo.

La trasformazione digitale

Previsto dal Piano nazionale di ripresa e di resilienza (Pnrr) con un investimento di 1,4 miliardi di euro sulla Missione 6 (Salute), il processo di digitalizzazione ha raggiunto il suo secondo livello. Il 23 gennaio scorso la Consip ha completato l’attivazione di tutti i lotti della gara “Sanità Digitale Sistemi informativi sanitari e Servizi al cittadino” per un valore di 540 milioni che le pubbliche amministrazioni potranno spendere in servizi applicativi dedicati ai Centri unici di prenotazione (Cup), piattaforme applicative, portali e app. Il primo livello, relativo alla gara per i “Servizi informativi clinico assistenziali”, è già attivo da giugno. L’obiettivo principale è potenziare il patrimonio digitale sanitario e fare da supporto proprio al processo di trasformazione.

L’arresto del super latitante

Che la digitalizzazione possa essere sfruttata a proprio vantaggio dallo Stato anche come strumento di prevenzione e repressione del crimine è nella realtà delle cose anche se non esplicitato con chiarezza. La genesi dell’inchiesta che ha portato all’arresto di Matteo Messina Denaro dimostra proprio questo. Dopo aver avuto la certezza che il boss di Cosa Nostra fosse affetto da una patologia oncologica, gli investigatori hanno messo in atto una “complessa manovra investigativa finalizzata a verificare se vi fossero soggetti residenti nella Sicilia occidentale che potessero corrispondere al profilo del latitante”. In poche parole hanno scandagliato il database dell’ospedale Abele Ajello di Mazara del Vallo e hanno rintracciato il profilo che cercavano che tuttavia corrispondeva ad un nome diverso da quello cui stavano dando la caccia. Ulteriori accertamenti hanno poi rivelato che, in realtà, l’uomo che il 13 novembre 2020 si trovava nella sala operatoria dell’ospedale siciliano era davvero l’ultimo boss delle stragi. Lo stesso che, per due anni, era riuscito ad accedere a tutti i servizi sanitari pubblici con una falsa identità.

Documenti digitali e prestazioni sanitarie

La tessera sanitaria utilizzata dal capo mafia siciliano era ovviamente autentica. Lo hanno confermato gli accertamenti dei Ris. Perciò, a distanza di una settimana dalla sua cattura, i carabinieri del Ros hanno arrestato anche l’uomo che gli aveva “prestato” l’identità e cioè il titolare della tessera sanitaria e della carta di identità. Ma, se una carta di identità, una patente o un passaporto possono sfuggire ai controlli e passare per originali, per il Ssn una tessera sanitaria non può assolutamente risultare fasulla. I controlli digitali di qualunque struttura sanitaria pubblica e privata ne rivelerebbero immediatamente la falsità e, di conseguenza, nessuna prestazione sanitaria potrebbe essere erogata.

“La tessera sanitaria – spiega l’avvocato Massimiliano Parla, presidente nazionale della società Scudomed che si occupa di tutela del dato in contesti sanitari pubblici e privati – contiene un codice che rappresenta un dato univoco assolutamente non duplicabile che né tantomeno si può clonare. Questo codice è infatti abbinato a una striscia elettronica magnetica che non può assolutamente essere violata da nessuno. Per questo, solo in caso di sostituzione di persona, si può andare indisturbati in ospedale e accedere a tutte le cure di cui si ha bisogno”.

Il sistema digitale non basta

In Italia il Gruppo integrato Interforze per la ricerca dei latitanti, incardinato presso la Direzione centrale della Polizia criminale, è sulle tracce di altri quattro soggetti considerati di massima pericolosità. Se solo uno di loro avesse bisogno di cure sanitarie, dovrebbe necessariamente procurarsi la tessera sanitaria di una persona esistente e in vita per potere accedere alle prestazioni necessarie. Però, anche in questo caso, ci sarebbe la possibilità di farla franca. Come spiega il tenente colonnello Andrea Minella, comandante della terza sezione del terzo reparto Servizio centrale dei Ros, non è detto che di fronte a documenti che attestano la vera identità di un criminale il sistema digitale sanitario faccia scattare automaticamente un alert. “Se si tratta di un latitante importante – dice – saranno le forze dell’ordine ad accorgersi che questo soggetto ha avuto, o sta avendo accesso, a cure sanitarie”.

Escamotage

Fino a che punto allora una falsa identità può sfuggire alla tracciabilità digitale? E come è stato possibile riuscirci in piena pandemia, quando la tracciabilità era sostanzialmente dettata dai vaccini e dal Green Pass?

In qualunque indagine che si rispetti, le circostanze temporali non vanno mai sottovalutate, in particolare quando si è alla ricerca di un latitante. Come è accaduto di recente. Matteo Messina Denaro subisce il primo intervento in un ospedale pubblico il 13 novembre 2020, quando la maggior parte degli italiani ha ricevuto già la seconda dose di vaccino antiCovid e le varie piattaforme digitali regionali hanno già registrato i dati dei vaccinati da inviare al Ministero della Salute. Sono dati strettamente personali, certo, che non possono essere divulgati ma gli addetti ai lavori conoscono perfettamente i nomi di chi si è sottoposto alla vaccinazione e chi non lo ha fatto.

Le falle dell’anagrafe vaccinale

Il vaccino, dunque, poteva essere uno strumento investigativo utile a rintracciare un latitante? “Certamente è affidabile come metro di valutazione – dice il tenente colonnello Minella – però bisogna ricordare che la tracciabilità esiste solo per coloro che hanno dichiarato di essersi vaccinati e non dobbiamo dimenticare che in quel periodo le forze dell’ordine hanno scoperto molti casi di lotti di vaccino scomparsi e di registrazioni fasulle di soggetti che grazie a connivenze erano riusciti a farsi inserire nell’Anagrafe vaccini nonostante non fossero vaccinati”. Insomma, il mercato nero di certificati di vaccinazione non ha di certo aiutato gli inquirenti, favorendo al contrario la criminalità organizzata.

E anche quando nel 2021, con il decreto numero 2 del 14 gennaio, il database dell’Anagrafe nazionale vaccini è stato ampliato con i dati di somministrazione di massa trasmessi dalle Regioni e dalle Province autonome (prima di essere comunicati all’Istituto Superiore di Sanità) la sorveglianza immunologica e farmacoepidemiologica prevista ed ambita dalla legge è stata comunque elusa. Chi ha voluto, è riuscito a confondere le proprie tracce all’interno del sistema digitalizzato. Ecco perché viene naturale tornare alla prima domanda e cioè: basta una semplice tessera sanitaria intestata a chicchessia, purché sia vera, per eludere i controlli?

Ammette il tenente colonnello Antonello Parasiliti Molica, comandante del reparto anticrimine dei Ros di Palermo. “Il dubbio è legittimo Osservando ciò che è successo, direi che c’è una buona probabilità. Ma questo è un dato più tecnico che investigativo, nel senso che bisogna controllare chi controlla le Banche Dati”. Chi controlla, dunque, i dati inseriti nelle piattaforme digitali? Un algoritmo o una persona in carne ed ossa?

Il controllo dei database

Risponde secco Pierluigi Paganini, esperto di cyber security ed Intelligence nonché membro dell’Enisa (European Union Agency for Network and Information Security). “Devono farlo i sistemi di gestione preposti. Ciascun software è implementato secondo specifici requisiti. Ovviamente una falla nel software può inficiare la sicurezza dell’intera architettura e impattare sia la riservatezza che la disponibilità delle informazioni, con conseguente riflesso sulla privacy degli individui, sulla loro sicurezza e sulle operazioni della struttura sanitaria”. Anche Paganini concorda con l’avvocato Parla sulla sicurezza delle piattaforme digitali sanitarie di fronte ad un documento di identità altrettanto digitale come la tessera sani taria, che deve essere necessariamente vera per potere accedere alle prestazioni sanitarie, anche solo per prenotare una visita al Cup.

Però non è detto che queste piattaforme non possano essere raggirate: teoricamente due persone che accedono allo stesso ospedale, con lo stesso nome e con la stessa tessera sanitaria non è detto debbano seguire anche lo stesso percorso di cure. A questo punto, però, una qualsiasi piattaforma digitale dovrebbe rilevare anomalie o, quanto meno, evidenziare sospetti. Ma ciò può accadere sempre che la piattaforma sia stata progettata per farlo.

“Dipende dalla progettazione e dal monitoraggio della piattaforma – spiega Paganini – non bisogna mai dimenticare che il software è un ente vivo che va costantemente seguito durante tutto il suo ciclo di vita, dalla nascita alle sue evoluzioni. Una falla all’interno di un sistema può esistere dall’inizio, ma capita che si scopra solo dopo che il sistema ha subito un attacco cyber. In sanità questo è un serio pericolo, perché oggi nell’ecosistema criminale il dato sanitario ha un valore maggiore rispetto a una qualsiasi carta di credito. La carta di credito ha una scadenza è può essere bloccata in caso di furto o smarrimento. Quando invece a essere rubato è un dato sanitario, questo dura per tutta la vita e anche oltre e può essere utilizzato per commettere reati di ogni genere”. Se da un lato, però, la digitalizzazione può aiutare gli investigatori nelle loro indagini, c’è un aspetto di questo processo che presenta un risvolto negativo perché, come sostiene lo stesso Paganini, “quanto più la sanità è digitalizzata, più rischia di paralizzarsi”.

Il punto debole della digitalizzazione

Il rischio è che, al cospetto di una penetrazione tecnologica sempre maggiore (che va dalle prenotazioni online alle cartelle cliniche informatiche) di fronte ad un attacco cyber che viene dall’esterno, le strutture sanitarie si paralizzino mettendo così a repentaglio la privacy dei cittadini e la loro stessa operatività. “Il problema di fondo – continua Pierluigi Paganini – è che in Italia manca ancora una cultura della governance del dato. Il sistema sanitario acquisisce molte informazioni sensibili ma non spende nei sistemi di sicurezza di queste informazioni. Inoltre, la mancanza di conoscenza degli aspetti cyber da parte dei manager delle aziende sanitarie fa sì che si acquisti un servizio, in questo caso il software di gestione delle piattaforme digitali, guardando solo al prezzo più vantaggioso economicamente.

Ecco perché oggi il sistema sanitario vive ancora un’emorragia importante: da un lato arranca a seguire le esigenze del cittadino e dell’altro viaggia su binari diversi al nord e al sud del Paese”. La cura dunque sarebbe investire di più in cybersecurity, mettere a punto una strategia nazionale in grado di innalzare il livello di sicurezza delle strutture sanitarie e prevedere nel loro management una figura che abbia competenze tecniche in materia di sicurezza cibernetica. E il rimedio sarebbe guardare alle piattaforme digitali delle strutture sanitarie anche come strumento investigativo, perché, come afferma il comandante del reparto anticrimine dei Ros di Palermo “ogni filtro aiuta a schermare e la vaccinazione di massa può rivelarsi, in questo senso, uno strumento importante”. In questo momento, infatti, le indagini post cattura stanno puntando anche a capire se il boss, durante la sua latitanza, sia stato vaccinato e da chi abbia ricevuto le sue dosi. E non esiste database più completo di quello dell’Anagrafe nazionale vaccini che possa dare una risposta.