As we watched the latest SpaceX Starship rocket test end in a spectacular explosion, we might have missed the news from Japan of a different rocket passing a successful test. We all know Honda as a car company but it seems they are in the rocket business too, and they successfully tested a reusable rocket. It’s an experimental 900 kg model that flew to a height of 300 m before returning itself to the pad, but it serves as a valuable test platform for Honda’s take on the technology.

It’s a research project as it stands, but it’s being developed with an eye towards future low-cost satellite launches rather than as a crew launch platform.As a news story though it’s of interest beyond its technology, because it’s too easy to miss news from the other side of the world when all eyes are looking at Texas. It’s the latest in a long line of interesting research projects from the company, and we hope that this time they resist the temptation to kill their creation rather than bring it to market.

hackaday.com/2025/06/24/theres…

With Budapest Pride set to take place on June 28, 2025, EDRi and 46 organisation are urging the European Commission to defend fundamental rights in Hungary so that Pride organisers and participants can safely exercise their right to peaceful assembly and freedom of expression.

The post OPEN LETTER: The European Commission must act now to defend fundamental rights in Hungary appeared first on European Digital Rights (EDRi).

Release Date: 2025-Jun-24

A recently compiled research report offers a comprehensive overview of the Genomics Market, presenting well-structured insights into current market behavior, historical performance, and projections for the years ahead. This report is developed to support informed business decisions by offering relevant market intelligence, segment-level analysis, and region-specific breakdowns.

Included in the publication is a concise summary of data points covering past trends, present-day developments, and general observations about the structure of the market. The report also includes information on technology-related activities, product alignment, and performance category. It is designed for professionals seeking accessible and detailed knowledge and is available in both PDF and spreadsheet formats for ease of use.

The global genomics market size, valued at USD 38.77 billion in 2024, is expected to reach USD 46.06 billion in 2025 and USD 186.64 billion by 2035, representing a compounded annual growth rate (CAGR) of 15.0% during the forecast period. The report presents these projections with supporting market data, providing a clear reference for understanding current conditions and segment activity.

Genomics Market Characterization

Market Scope and Market Size:

The report segments the global market based on Distribution by CAGR (Till 2035), Type of Deliverable, Type of Technology, Type of Process, Type of Study, Type of Application Area, End User, Geographical Regions.

This structured segmentation supports understanding of the Genomics Market from multiple angles. Readers can analyze trends based on crop usage, product type, and application method, while comparing region-specific contributions and market activity across different areas. The information helps frame each segment’s relevance and position within the overall market.

source of information: rootsanalysis.com/reports/geno…

Key Market Companies

Several prominent players are featured in the report, including 23andMe, Agilent Technologies, Bio-Rad Laboratories, BGI Genomics, Color Genomics, Danaher, Eppendorf, Eurofins Scientific (, GE HealthCare, Illumina, Myriad Genetics, Oxford Nanopore Technologies, Pacific Biosciences, QIAGEN, Quest Diagnostics, Roche, Thermo Fisher Scientific. These companies are profiled based on business reach, operational footprint, and product scope. The analysis also includes revenue performance, strategic direction, and product highlights for each company.

This section is designed to inform readers about how major companies are positioned within the Genomics industry, with a focus on sales performance, business expansion, and geographic engagement. It also highlights examples of recent activity across different regions, including portfolio extensions and new market entries.

Geographical Insights

Regional segmentation offers a breakdown of the Genomics Market by location, North America (US, Canada and Mexico) Europe (France, Germany, Italy, Spain, UK and Rest of Europe) Asia-Pacific (China, India, Japan, South Korea, Australia, Russia, Thailand, Malaysia, Indonesia and Rest of the Asia-Pacific) Midde East and North Africa (Egypt, Saudi Arabia and UAE) Latin America (Argentina and Brazil). . Each region is reviewed with respect to historical performance, reported sales, and revenue share. The report presents these insights using a neutral and fact-based approach to ensure consistency across all regions.

Main Chapters in the Report:

Part 01: Market Overview
Part 02: Market Size, by regions
Part 03: Market Revenue, by countries
Part 04: Market Competition, by key players
Part 05: Company Profiles

Thank you for reviewing this market report. If you require a customized version or have any specific questions, please reach out to our team. We are happy to provide further assistance or deliver tailored content based on your strategic focus.

About Roots Analysis

Roots Analysis is a global research and consulting powerhouse specializing in Healthcare, Pharmaceutical, Biotech, Semiconductors, Chemicals and ICT industry. With over a decade of experience, they’ve supported more than 750 clients — spanning Fortune 500 companies, innovative startups, academic institutions, VCs, and strategic investors. Their expertise covers a wide set of domains, including market sizing, pricing trends, regulatory outlooks, competitive landscapes, and opportunity mapping across geographies.

Why Use Roots Analysis in era of Artificial Intelligence?

Tailored Insights
Robust Methodology
Smart Decisions Made Easy
By combining world-class domain expertise, careful data gathering, and dialogue with senior industry experts, Roots Analysis ensures their deliveries are trustworthy, actionable, and aligned with strategic priorities. The value proposition generated on insights generated by Roots Analysis team is unparalleled in the market research industry.

Services Offered:

Consulting Services (custom insights supporting strategic and tactical requirements, off-the-shelf ready to consume work)
Roots Analysis offers bespoke consulting services tailored to the unique needs of clients in the life sciences and healthcare sectors. Their team conducts in-depth studies on drug pipelines, clinical trials, and therapeutic landscapes, helping clients make informed decisions.

They specialize in market assessments, tracking industry trends, dynamics, and competitive positioning. These insights help companies fine-tune their product strategies and market-entry plans.

Roots Analysis also delivers expert guidance on partnerships, licensing, and investment opportunities. Their strategic support extends to KOL identification, publication analysis, and regulatory intelligence, making them a valuable partner in business growth and innovation.

Subscription Services (bundled services supporting multiple topics and domains for a firm)
With their subscription plans, Roots Analysis provides seamless access to a vast library of market intelligence reports. Subscribers enjoy unlimited downloads in multiple formats, covering various sectors like pharma, biotech, and diagnostics.

The service includes on-demand research support—allowing clients to request tailored insights and initiate custom research topics. This ensures that emerging needs are met quickly and effectively.

Each subscription comes with a dedicated account manager and direct access to analysts. Flexible billing options and tiered plans make this service suitable for organizations of all sizes seeking continuous, reliable insights.

Contact Details for Roots Analysis

Chief Executive: Gaurav Chaudhary

Email: Gaurav.chaudhary@rootsanalysis.com

Website: rootsanalysis.com/

Market Research and Consulting | Market Research Insights| Roots Analysis

Market Research & Consulting Firm - Roots Analysis provides in-depth market research reports with deep industry analysis.

^{Roots Analysis}

The solenoid and punch side of the machine. {Credit: Simon Boak)
Although [Simon Boak] had no use for an automatic paper tape punch, this was one of those intrusive project thoughts that had to be put to rest. With not a lot of DIY projects to look at, the first step was to prototype a punch mechanism that would work reliably. This involved the machining of a block of aluminium with holes at the right locations for the punch (HSS rods) to push through and create holes into the paper without distortions. Next was to automate this process.

To drive the punches, 12V solenoids were selected, but using leverage to not require the solenoids to provide all the force directly. On the electronics side this then left designing a PCB with the solenoid drivers and an Arduino Nano-style board as the brains, all of which including the Arduino source can be found on GitHub. Much like with commercial tape punch machines, this unit receives the data stream via the serial port (and optional parallel port), with the pattern punched into the 1″ paper tape.

One issue was finding blank paper tape, for which [Simon] cut up rolls of thermal paper using a 3D-printed rig with appropriately installed sharp blades. This paper tape seems to work quite well so far, albeit with the compromise that due to the current drawn by each solenoid (~1.7A) only one solenoid gets activated at any time. This makes it slower than commercial punch machines.

Thanks to [Tim] for the tip.

hackaday.com/2025/06/23/buildi…

Microsoft ha annunciato che rimuoverà periodicamente i driver obsoleti dal catalogo di Windows Update per ridurre i rischi e migliorare la compatibilità. “L’obiettivo di questa iniziativa è fornire il miglior set di driver in Windows Update per le varie soluzioni hardware dell’ecosistema Windows e contribuire a mantenere Microsoft Windows sicuro”, ha dichiarato l’azienda in un comunicato.

Microsoft ha inoltre aggiunto che “Questa iniziativa pulirà periodicamente i driver in Windows Update, il che comporterà la mancata distribuzione di alcuni driver sui sistemi del nostro ecosistema.”. Come ha chiarito l’azienda, la prima fase della procedura di “pulizia” interesserà i driver per i quali Windows Update dispone già di alternative più recenti.

Con “pulizia” Microsoft intende rimuovere i driver scaduti in Windows Update, in modo che non vengano più offerti su alcun sistema Windows. Questo verrà ottenuto rimuovendo le assegnazioni corrispondenti dei vecchi driver nell’Hardware Development Center. Si segnala inoltre che in futuro Microsoft amplierà l’elenco delle categorie che possono essere escluse da Windows Update per motivi di sicurezza. Si segnala che i partner potranno comunque ripubblicare i driver rimossi da Microsoft se forniscono una giustificazione aziendale per farlo.

“La rimozione dei driver obsoleti da Windows Update è una misura proattiva di Microsoft per garantire la sicurezza e la qualità dei driver per gli utenti Windows”, aggiungono gli sviluppatori. “In futuro, ci si aspetta che la pulizia diventi una routine, così come nuove raccomandazioni di pubblicazione, per aiutare tutti gli utenti Windows a mantenere i propri sistemi sicuri e protetti.”

Nel vasto ecosistema Windows, i driver di dispositivo non sono semplici componenti di supporto: sono elementi critici che operano a basso livello nel sistema, spesso con privilegi elevati. Quando non vengono aggiornati o restano presenti in forma obsoleta, diventano un punto cieco perfetto per i cyber criminali. Negli ultimi anni, diverse campagne ransomware hanno sfruttato driver vulnerabili per eludere le protezioni EDR, disabilitare servizi di sicurezza e ottenere accesso persistente. Microsoft lo sa, e ora corre ai ripari.

Con la nuova iniziativa annunciata, Redmond ha deciso di rimuovere regolarmente i driver non più aggiornati da Windows Update, riducendo la probabilità che questi componenti finiscano sui sistemi degli utenti. Ma la posta in gioco è alta: questa non è solo una scelta tecnica, è una strategia di difesa preventiva. Limitare la distribuzione dei driver vecchi significa chiudere porte nascoste prima che qualcuno le sfrutti. Un passo verso un ecosistema Windows più sicuro, ma anche un chiaro segnale ai vendor hardware: aggiornare o sparire.

L'articolo “Pulizia” su Windows Update! Microsoft dichiara guerra ai driver sfruttati negli attacchi ransomware proviene da il blog della sicurezza informatica.

Con provvedimento n. 243 del 29 aprile 2025, l’Autorità Garante per la protezione dei dati personali ha sanzionato una Regione italiana con la somma di euro 50.000,00, per la mancata conformità in tema di trattamento dei dati personali dei dipendenti.

Il fatto- L’Ente sanzionato trattava i dati personali dei dipendenti, in particolare i file di log, secondo modalità che l’Autorità ha ritenuto non perfettamente conformi al dettato normativo. L’Ente, infatti, trattava i file di log delle e-mail dei dipendenti e degli accessi a siti internet oltreché dell’apertura dei ticket per l’assistenza, senza aver realizzato la Valutazione di Impatto sul trattamento ai sensi dell’art. 35 Gdpr e senza aver provveduto a stipulare l’accordo sindacale previsto dall’art. 4 L. 300/1970.

L’accordo sindacale- Con il provvedimento in discussione il Garante per la Protezione dei Dati Personali ha stabilito che, il trattamento dei file di log, rappresenta una modalità di monitoraggio e vigilanza dei dipendenti. Questa interpretazione non sorprende essendo già stata proposta dalla stessa Autorità Garante in diverse altre occasioni e si conforma all’indirizzo giurisprudenziale ormai consolidato. La Corte di cassazione Sezione Lavoro, con Ordinanza 13 gennaio 2025 n. 807, ha recentemente ribadito una interpretazione piuttosto restrittiva in tema di utilizzo dei file di log a fini di indagini difensive da parte del datore di lavoro. Nel provvedimento indicato vi è un chiaro riferimento all’art. 4 della L. 300/1970.

Il presupposto da cui muove l’Autorità Garante è che, tramite i file di log, è possibile per il datore di lavoro, tenere traccia delle attività svolte dal dipendente, anche se non inerenti all’ambito lavorativo o riconducibili alla sfera personale. Per queste ragioni rappresenterebbe una modalità di potenziale controllo che, dopo la riforma del Codice del lavoro del 2015, si applica a qualunque strumento idoneo a realizzarla e non più solo agli strumenti di videosorveglianza.

Partendo da questo presupposto e considerato il massiccio utilizzo del web da parte dei lavoratori per l’esercizio delle proprie mansioni, non sorprende neppure che il Garante abbia individuato l’obbligo di svolgere una valutazione di impatto ai sensi dell’art. 35 GDPR. Circostanza di cui si parlerà più avanti.

Le domande- La sanzione comminata per la violazione sul trattamento dei file di log risiede, anche, nella violazione dell’art. 88 GPDR il quale prevede che gli Stati membri possono adottare normative più stringenti in termini di trattamento dei dati nel contesto lavorativo. Non si dubita che l’art. 4 della L. 300/1970 rientri in questa categoria, ciò di cui si discute è la legittimazione dell’Autorità Garante a decidere su cosa rappresenti uno strumento di controllo ai sensi della L. 300/1970 e in particolare sui rapporti tra il comma 2 e il comma 1 dell’art. 4 della L. 300/1970. Questa materia è infatti indubbiamente giuslavoristica e quindi di competenza delle sezioni specializzate delle Autorità Giurisdizionali ordinarie. Sul punto sarebbe opportuno un intervento chiarificatore della Suprema Corte di cassazione.

La valutazione di impatto- L’Autorità Garante per la protezione dei dati personali è giunta alla conclusione che il trattamento dei file di log del dipendente rientra tra quelle categorie di trattamento per cui si necessita una valutazione di impatto, ai sensi dell’art. 35 GDPR.

La ragione fonda sul fatto che l’Autorità ritiene soddisfatti due requisiti previsti dalla normativa sulla DPIA, cioè che il trattamento riguarda interessati in condizione di “vulnerabilità”, i lavoratori, e che il trattamento comporta il “monitoraggio sistematico” degli stessi.

Sulla condizione di “vulnerabilità” del lavoratore dipendente non ritengo possano esservi dubbi di sorta. Il lavoratore, infatti, non ha possibilità di rifiutare un tale trattamento né di evitarlo.

Per quanto concerne il concetto di “monitoraggio sistematico”, considerato il necessario massivo utilizzo degli strumenti digitali in certi contesti lavorativi, appare poco dubitabile che, laddove si consideri tale trattamento come una attività di controllo e monitoraggio ai sensi del già citato art. 4 L. 300/1970, questo presenti caratteri di sistematicità.

Avendo incontrato due dei requisiti previsti dalla normativa, è quindi necessario lo svolgimento di una Valutazione di Impatto ai sensi dell’art. 35 GDPR.

Certo non sfugge l’analogia tra il trattamento dei dati personali mediante impianti di video sorveglianza, motivati da esigenze di sicurezza fisica, e il trattamento dei file di log, parimenti giustificati da necessità di sicurezza informatica.

Le basi giuridiche- Nel provvedimento in discussione, le basi giuridiche analizzate dall’Autorità Garante per la Protezione dei dati personali, sono relative ai trattamenti effettuati nell’ambito dell’esecuzione del contratto di lavoro subordinato, o alla necessità di adempiere ad obblighi derivanti dalla disciplina di settore. Tuttavia oggi molte Organizzazioni, sia pubbliche che private, devono gestire i file di log come misura di sicurezza informatica obbligatoria ai sensi del D.L. 138/2024 (decreto NIS). In particolare, la registrazione dei file di log rappresenta una misura di sicurezza minima e obbligatoria per tutti i soggetti NIS ai sensi dell’allegato alla determinazione ACN 164179 del 14 aprile 2025. Pertanto, viene da domandarsi se, da ora in avanti, il trattamento dei file di log non trovi una ulteriore base giuridica nell’adempimento degli obblighi di legge inerenti alla normativa NIS. Chi scrive si chiede, inoltre, se i tempi di conservazione (21 giorni per i log delle e-mail, 90 giorni per i log dei siti internet) siano conformi a questi nuovi obblighi.

Le misure di sicurezza- Ai sensi dell’art. 58 par. 25 lett. d) del Regolamento, nel provvedimento in questione l’Autorità Garante per il Trattamento dei Dati personali suggerisce una serie di misure correttive, che diventano un’elencazione di misure di sicurezza che è opportuno adottare durante la fase di trattamento dei file di log.

Tra queste troviamo:

• La separazione dei dati: la fase di gestione dei file di log viene affidata a fornitori diversi. Uno di questi raccoglie l’indirizzo IP della macchina, l’altro l’informazione relativa all’associazione tra l’IP della macchina e il relativo MAC address e un terzo fornitore l’associazione tra il MAC address della macchina e l’utente a cui è stata assegnata.
• Individuare dettagliatamente i presupposti al ricorrere dei quali il Titolare può elaborare i dati di cui al punto precedente per risalire all’identità dei singoli dipendenti.
• Anonimizzare i log relativi agli accessi falliti ai siti web censiti nell’apposita black list;
• Termine di conservazione dei log di navigazione Internet: 90 giorni. Possibilità di conservazione per un termine ulteriore previa anonimizzazione degli stessi.
• In caso di anomalie di sicurezza, le attività di indagine e verifica andrebbero svolte a livello di singola struttura organizzativa e non a livello individuale, limitando in tal modo interventi puntuali sulla singola postazione di lavoro solo qualora le verifiche a livello aggregato non abbiano dato i risultati sperati.
• I nomi dei dipendenti assegnatari del machina devono essere cifrati.
• I trattamenti dei dati in questione devono essere effettuati da un numero limitato di soggetti, previamente individuati e espressamente autorizzati, cui siano fornite istruzioni specifiche relativamente ai rischi connessi al trattamento.

A questi si aggiungono, come già detto:

• Stipulare accordi con le rappresentanze sindacali.
• Realizzare una valutazione di impatto ai sensi dell’art. 35 GDPR.

Questo provvedimento dell’Autorità Garante per la protezione dei dati personali ha suscitato e continuerà a suscitare, ampio dibattito nella comunità della protezione dei dati personali. Le misure di sicurezza indicate, infatti, non sempre sono di facile realizzazione, alcune di queste richiedono il ricorso a fornitori, quindi spese, a cui “imporre” l’adozione di certe misure di sicurezza. Molte PMI non hanno la forza contrattuale di “imporre” alcunché a fornitori che, a volte, sottopongono contratti standard difficilmente modificabili.

L'articolo Logs, privacy e diritti dei lavoratori: la multa del Garante accende il dibattito proviene da il blog della sicurezza informatica.

Cosa non vi hanno mai detto riguardo la sicurezza dei Medical-IoT (M-IoT)

La sicurezza informatica degli apparati elettromedicali è una questione di grande importanza nel settore sanitario. Il problema dipende dal fatto che sempre più dispositivi medici sono collegati a reti e sistemi informatici, ed è quindi essenziale adottare misure per garantire la sicurezza dei dati e proteggere i pazienti.

L’estrema attualità del tema è stata risvegliata da una recente circolare del Ministero della Salute.

L’apparato coinvolto in questa problematica è un monitor dei parametri vitali, uno di quegli apparati che normalmente sono a fianco dei letti della terapia intensiva che abbiamo visto tutti in esperienze di vita personale o familiare, andando a visitare amici o parenti in ospedale.

Questa circolare, diretta a tutti gli organi di rappresentanza coinvolti, è stata accolta dagli addetti ai lavori in ambito sanitario con un fragoroso… “e quindi? Cosa facciamo, li buttiamo via senza avere budget per sostituirli? E con quale budget intervengo?”

Di fatto a distanza di un paio di mesi, secondo il mio ristretto punto di osservazione, non è successo nulla! La backdoor sta ancora lì, e, cosa ancor più preoccupante, è solo una delle tante!

Quindi, nei casi in cui l’essenza del problema, alla ricezione di una comunicazione formale di questo genere, viene compresa nella sua gravità, ci si scontra con un ginepraio di vincoli burocratico/amministrativo per tentare di indirizzare una soluzione.

In queste brevi pagine cerchiamo di comprendere il problema nella sua radice, e di contestualizzarlo anche dal punto di vista normativo e di compliance.

Il mondo dei dispositivi medici, o del Medical IoT, è costituito da strumenti, a volte molto complessi, progettati per assolvere a compiti specifici in ambito sanitario e coprono uno spettro di scopi estremamente ampio: in questa categoria rientrano strumenti specializzati per la diagnostica, dispositivi indossabili, strumenti per il monitoraggio remoto dei pazienti, strumenti per la risonanza magnetica, complessi sistemi robotizzati o semplici pompe di infusione, sistemi di tracciamento dei farmaci e strumenti per il monitoraggio delle scorte mediche e delle apparecchiature. Il problema della sicurezza informatica applicata a questo mondo dipende dal fatto che questi dispositivi sono animati da un cuore informatico, di norma un personal computer, progettato o per meglio dire assemblato in un sistema complesso, per assolvere ad una funzione specifica di controllo e di comunicazione.

Teoricamente, questi apparati proprio perché hanno un’anima, per così dire “ICT convenzionale” dovrebbero essere controllati e gestiti secondo i processi e le best practice canonici della sicurezza informatica, ma questo dovrebbe avvenire senza variare le condizioni di certificazione dell’apparato stesso. Di fatto non avviene!

Processi ICT vs M-IoT

Seguendo il mondo ICT convenzionale si dovrebbero eseguire attività come ad esempio

1. Protezione dei dati: Assicurarsi che i dati sensibili dei pazienti siano protetti adeguatamente attraverso misure adeguate, limitandone e controllandone gli accessi. Inoltre, è importante adottare procedure di backup e di recupero dati per garantire che i dati non vadano persi.
2. Processi per la sicurezza informatica: integrare i dispositivi elettromedicali nei processi di sicurezza informatica comprendendo la gestione dei rischi, l’individuazione delle vulnerabilità e le azioni da intraprendere in caso di incidenti. Come avviene per l’ICT, il processo dovrebbe prevedere costanti aggiornamenti e revisioni per valutare le minacce emergenti.
3. Aggiornamenti del software: predisporre anche per gli elettromedicali processi di aggiornamento del software, operando in sinergia con i produttori, riguardo ai rilasci di patch di sicurezza ed aggiornamenti del software.
4. Controllo accessi: Limitare l’accesso ai dispositivi solo al personale autorizzato e assicurarsi che siano utilizzate credenziali uniche e complesse per l’autenticazione. È inoltre consigliabile utilizzare meccanismi di autenticazione a più fattori per aumentare la sicurezza.
5. Monitoraggio delle attività: analizzare con strumenti di monitoraggio eventuali comportamenti sospetti o anomalie nel sistema, sia riguardo gli accessi, sia riguardo le connessioni di rete, individuando così comportamenti anomali rispetto al normale funzionamento. Ciò consente di individuare rapidamente gli accessi non autorizzati o le attività malevole e di intraprendere azioni correttive tempestive.
6. Consapevolezza del personale: Formare il personale sanitario sull’importanza della sicurezza informatica e sulle best practice per la protezione dei dati. Ciò include l’educazione riguardo alle minacce comuni, come l’hacking, il phishing e il furto di dati, particolarmente delicato in quest’ambito.
7. Relazione con i fornitori: Operare a stretto contatto con i fornitori di dispositivi medici per richiedere attività di manutenzione adeguate, che garantiscano l’affidabilità dei dispositivi anche rispetto al rischio “cyber”.

Queste sono solo alcune indicazioni di base per affrontare il problema della sicurezza informatica per gli apparati elettromedicali. Sembra che non ci sia nulla di nuovo, ma questo, nei fatti, non avviene, o non avviene sempre, o non avviene in modo adeguato e strutturato, nonostante esistano linee guida e normative specifiche a riguardo. I vincoli di certificazione come dispositivo medico inibiscono azioni di qualsiasi tipo sull’apparato, che di fatto continua a lavorare così come è stato rilasciato al momento del collaudo.

Compliance & M-IoT

La principale normativa di riferimento è il Decreto Legislativo 46/1997, noto come “Codice del Consumo”, che recepisce la Direttiva Europea 93/42/CEE relativa ai dispositivi medici. Questa normativa stabilisce i requisiti di sicurezza e prestazione che i dispositivi medici, compresi gli elettromedicali, devono soddisfare per essere commercializzati in Italia.

A livello europeo, è in vigore il Regolamento (UE) 2017/745 sui dispositivi medici (MDR – Medical Device Regulation), che ha sostituito la precedente Direttiva 93/42/CEE. Il MDR stabilisce requisiti più rigorosi per la sicurezza e la conformità dei dispositivi medici, inclusi gli elettromedicali, ed è divenuto pienamente applicabile dal maggio 2022.

Anche il Regolamento Europeo (UE) 2019/881 sulla cybersecurity, noto come la Cybersecurity Act, include nel suo perimetro il mondo dei dispositivi medici: il Regolamento sulla cybersecurity prevede la creazione di un quadro di certificazione europeo per i prodotti e i servizi di cybersecurity, incluso il settore dei dispositivi medici e gli elettromedicali. Tale quadro è finalizzato a garantire che i prodotti e i servizi digitali, tra cui gli elettromedicali, soddisfino determinati requisiti di sicurezza cyber.

Inoltre, il Framework Europeo per la Cybersecurity (European Cybersecurity Framework, ENISA) fornisce linee guida e raccomandazioni per migliorare la sicurezza cibernetica in vari settori, inclusa la sanità. Sebbene il framework ENISA non sia specificamente incentrato sugli elettromedicali, le sue linee guida possono essere applicate per mitigare i rischi e migliorare la sicurezza degli apparati elettromedicali.

Per ultimo, la piena applicabilità della direttiva NIS 2 avrà un impatto diretto sul settore degli elettromedicali, aumentando i requisiti di cybersecurity e le responsabilità delle organizzazioni sanitarie che li utilizzano. La NIS 2 richiede una maggiore attenzione alla gestione del rischio cibernetico, alla sicurezza dei dispositivi medici e alle pratiche di governance della sicurezza informatica. Questo significa che le organizzazioni devono adottare un approccio più proattivo alla protezione dei loro sistemi, con l’obiettivo di prevenire e mitigare i rischi che potrebbero compromettere la sicurezza dei pazienti.

In generale, possiamo affermare che la sicurezza degli elettromedicali dovrà sempre più essere considerata una componente importante della sicurezza cibernetica complessiva nel settore sanitario.

I possibili punti di osservazione

Ricordiamoci inoltre che questi apparati hanno caratteristiche particolari: volendo classificare il rischio cui sono esposti, possiamo identificare 3 macrocategorie, a seconda dei punti di vista con cui li osserviamo.

1. Osservandoli con gli occhi dell’ICT, un attacco cyber potrebbe alterarne la configurazione, causare malfunzionamenti e generare una interruzione del servizio e la perdita dei dati.
2. Osservandoli dal punto di vista delle norme sulla privacy e sulla riservatezza dei dati, questi apparati dovrebbero essere estremamente critici per il rischio di perdita o fuga di dati personali, anzi di dati particolari (cioè dati sanitari)
3. Osservandoli dal un punto di vista clinico, alcuni di questi apparati potrebbero generare rischi direttamente associati alla vita o alla salute di un paziente: a seguito di un malfunzionamento derivante da un attacco cyber (o meglio dalla mancanza di protezione) si potrebbe ad esempio alterare la lettura di parametri vitali o la somministrazione di dosaggi farmacologici, generando in casi estremi anche la morte di un paziente.

Purtroppo non parliamo di rischi teorici, ma ormai di fatti di cronaca. Il report CLUSIT del 2021 infatti documenta che nel settembre 2020 in un ospedale tedesco sia avvenuto il primo decesso derivante da un attacco cyber, che ha alterato il funzionamento di una pompa ad infusione, somministrando ad un paziente dosaggi sbagliati.

• Chi se ne deve occupare?

Sembra quindi che ci siano i presupposti per prestare i massimi livelli di attenzione a questo tema, ma nella mia esperienza non è così! Almeno, non è quello che vedo con i miei occhi dai clienti che ho visitato.

L’impressione rispetto alla situazione osservata, confermata da alcuni confronti confidenziali con diverse persone di diversi enti o aziende ospedaliere, è tristemente diversa.

Il problema della sicurezza degli elettromedicali è reale ma nei fatti, osservando quello che è successo fino ad oggi, non interessa nessuno:

1. Non interessa al produttore, che sa perfettamente che il device è vulnerabile, ma vende (ed è “valutato per”) la sua funzionalità, non la sua sicurezza.
2. Non interessa l’installatore, che ha l’obiettivo di farlo funzionare in fretta, anche attivando accessi come “admin” a pioggia, ed impostando password di default!
3. Non interessa agli operatori sanitari (medici e tecnici), in quanto fanno un altro lavoro e non hanno percezione o consapevolezza di tali rischi. Capita talvolta che, se pochi illuminati intuiscono il rischio e “scalano” il problema, spesso si scontrano con mancanza di attenzione a vertici, o mancanza di fondi.
4. Non interessa all’ingegneria clinica, in quanto effettua scelte e valutazioni dei fornitori basandosi su aspetti di natura funzionale o economica, e non sull’affidabilità del produttore nel supportare la base installata rispetto al rischio cyber.
5. Non interessa alle istituzioni (intese come centrali di acquisto per le PA) in quanto non indirizzano le convenzioni per l’acquisto degli elettromedicali, verso prodotti che offrano adeguate garanzie di manutenzione degli aspetti Cyber.
6. Non è nel perimetro dell’ICT, in quanto questi dispositivi vengono scelti da altri (di norma sono nel dominio dell’ingegneria clinica), e a loro viene semplicemente chiesto di connetterli in rete.

Di fatto quindi, il settore ICT subisce il DM vulnerabile: lo deve connettere in rete ma non lo può gestire!

Il motivo formale è che essendo un oggetto sottoposto a certificazioni non è possibile variarne la configurazione. Ma al contrario un’infezione da un qualsivoglia malware lo manterrebbe coerente con la certificazione?

Call to Action

L’IT quindi si deve proteggere da questo, ossia deve mettere in atto contromisure per proteggere la sua rete da un oggetto infetto by design dentro casa, e deve evitare di passare dalla padella alla brace nel caso l’infezione verso l’elettromedicale abbia avuto origine dalla rete che ha in gestione!

Il tono di queste pagine, soprattutto nelle conclusioni, è volutamente provocatorio: è una sorta di sasso nello stagno per provocare una reazione ed alzare il livello attenzione sul tema. Non si risenta chi ha già un comportamento virtuoso, ma mi aiuti a sollevare il problema verso chi ancora lo sottovaluta!

Non è impossibile né tecnicamente, né economicamente, indirizzare il problema in modo corretto, ma sono necessarie competenze specifiche e di settore! Affidatevi solo a chi conosce le peculiarità di questo mercato, diffidando a competenze maturate in altri contesti e adattate nel mondo sanitario! Esistono tecnologie e servizi capaci di accompagnare le strutture sanitarie nella corretta valutazione del rischio e nel mettere in opera misure di protezione adeguate, tutelando la disponibilità dei servizi, la riservatezza dei dati sanitari e soprattutto la salute dei pazienti. Con S3K e con il nostro SOC specializzato per l’assistenza a strutture sanitarie pubbliche o private, puoi trovare competenze specifiche ed una profonda conoscenza del tema.

La nostra esperienza ed i nostri differenziatori

Un SOC generalista non basta. Il nostro servizio si distingue grazie ad una competenza specifica dioltre 20 anni di esperienza nel mondo della sanità che ha consolidato una conoscenza approfondita dei processi clinici e delle tecnologie biomedicali.

Cybersecurity e sanità non sono due mondi separati: noi li integriamo.

I nostri punti di forza:

Specializzazione nel settore sanitario

• Esperti di cyber che parlano il linguaggio della sanità.
• Protezione di asset critici come cartelle cliniche, PACS, dispositivi medici.
• Conoscenza delle normative: GDPR, ISO 27799, HL7, HIPAA, D.Lgs. 196/03.
• Referenze attive su ASL, AO, IRCCS, pubbliche e private

Tecnologia avanzata, con customizzazioni specifiche per la sanità

• SIEM con correlazione eventi + UEBA + SOAR.
• AI per il threat hunting su dispositivi medicali.
• Threat intelligence specializzata sul settore sanitario.
• Monitoraggio continuo e SLA: es. rilevamento “Near Real Time” e definizione azioni di contenimento in pochi minuti.

Compliance garantita

• Supporto completo in audit (ACN, AgID, etc…).
• Gestione forense in caso di data breach o attacchi ransomware.
• Report personalizzati per enti pubblici e privati.

Modello flessibile e integrato

• Modulare: SOC gestito o ibrido, integrabile con il personale dell’ente/partner.
• Integrazione semplice con i sistemi esistenti (firewall, EHR, PACS, antivirus, API aperte).

Servizi di sicurezza proattiva

• Red Team e simulazioni di attacco.
• Threat hunting costante.
• Campagne di awareness mirate per il personale sanitario.
• Report specifici per il personale tecnico, per la direzione e per l’ingegneria clinica.
• Personale italiano/on-site per coerenza linguistica, culturale e normativa.

Oltre il SOC: consulenza strategica e governance

I nostri consulenti affiancano i team IT e la direzione nel definire strategie, policy e piani di sicurezza. Offriamo competenze verticali nei seguenti ambiti:

Incident Response & Threat Intelligence

Malware analysis e reverse engineering (es Analisi di ransomware che colpiscono cartelle cliniche e PACS)

Integrazione e processi: Integrazione con processi ITIL, Competenza su HL7, DICOM, FHIR e piattaforme sanitarie: Sistema informativo Ospedaliero/territoriale, telemedicina, FSE, RIS/PACS.

Governance e Compliance

• Mappatura e gestione del rischio clinico (impatto Patient Safety), privacy e continuità operativa.
• Creazione di policy di sicurezza, BCP/DRP e roadmap strategiche.
• Conformità a: ISO 27001/27799, NIST, CIS Controls, ENISA
• Interfaccia diretta con CISO, DPO, direzioni generali e IT clinico e Gestione di incidenti ad alto impatto reputazionale.

In sintesi: cosa ci rende unici

• Profonda conoscenza del settore sanitario
• Tecnologie di ultima generazione integrate con i sistemi clinici
• Esperienza diretta con SSN, ASL, IRCCS
• Un mix vincente di SOC, governance e formazione
• Strategia, focalizzazione, esperienza e condivisione di responsabilità, non solo reattività

Cybersecurity Awareness, mirata e intelligente

Formazione non generica, ma costruita su misura per i ruoli sanitari:

Come lo facciamo:

• Formazione consulenziale per il management: tabletop, scenari di crisi, coaching strategico.
• Piattaforma AI-driven per il personale operativo, con contenuti interattivi e personalizzati.

S3K eroga servizi di awareness integrando la sua capacità consulenziale con tecnologie abilitanti e contenuti specifici.

La consulenza di norma viene focalizzata sul top e middle management, costruendo una solida rete di collaborazione tra i nostri specialisti ed i “decision maker” del cliente, al fine di condividere esperienza maturata in altri contesti e costruire una linea strategica di governance.

I processi di awareness verso la popolazione operativa vengono invece erogati e gestiti attraverso una piattaforma abilitante AI driven: tale sistema è in grado di interagire con l’utente, e di sollecitarlo ed indirizzarlo attraverso contenuti e tool specifici verso la comprensione e l’apprendimento di comportamenti corretti o verso l’adozione di specifiche policy.

L’utente viene di fatto guidato ad abbandonare abitudini non adeguate, ed acquisire nuove competenze e consapevolezza con l’obiettivo di trasformare un anello debole della catena in una prima linea di difesa.

Per informazioni: s3kgroup.it/cosa-facciamo/comp…

L'articolo La sicurezza dei dispositivi elettromedicali, Comportamenti virtuosi e polvere sotto il tappeto proviene da il blog della sicurezza informatica.

L’avvocata Filomena Gallo, Segretaria nazionale dell’Associazione Luca Coscioni, partecipa al dibattito e alla proiezione del film La stanza accanto di Pedro Almodovar. La proiezione è organizzata da Rete dei Diritti, in collaborazione con Arianteo.

L’appuntamento è per mercoledì 9 luglio 2025 alle ore 20:45 a Palazzo Reale, a Milano.

Con Filomena Gallo partecipa anche Valeria Imbrogno, psicologa e compagna di DJ Fabo. Presenta e coordina Ilio Pacini Mannucci, magistrato del Tribunale di Milano. I biglietti sono acquistabili in loco.

L'articolo Filomena Gallo partecipa alla proiezione del film “La stanza accanto” proviene da Associazione Luca Coscioni.