La giornata si preannuncia uggiosa, anche se solo più tardi si scoprirà che “sapore ha”… Arriviamo all’ospedale, fila chilometrica all’accettazione e fila ancor più chilometrica alla sala prelievi, ma ok… è sabato mattina, è normale che sia pieno visto che per molte persone è l’unico giorno a disposizione, e poi siamo in Abruzzo, e i disservizi del sistema sanitario sono la norma, per cui ci siamo più che abituati. Qualcuno fa il furbo e scavalca la fila (non ci sono sistemi elimina code), qualcun altro si arrabbia ingiustificatamente per persone che passano avanti pur avendone diritto, come indicato nei cartelli appesi al muro (es. donne in gravidanza o anziani in condizioni critiche)… ma ok, siamo pur sempre in Italia e l’arroganza e la maleducazione sono la norma, per cui siamo più che abituati anche a questo. Mentre siamo in fila ci chiediamo chissà se anche qui sarà attivo il nuovo servizio di ritiro referti online della ASL, dato che proprio il giorno precedente la mia compagna aveva avuto “l’ebbrezza” di accedere online al referto di un esame clinico fatto qualche giorno prima in un altro ospedale della provincia, risparmiandosi così 60 km di strada e mezza giornata di ferie solo per andare a ritirare un foglio di carta (praticamente fantascienza).Arriva il nostro turno e… ottimo! Anche qui il ritiro referti online è attivo, sulla scheda di ritiro referto c’è stampato in bella vista un link con le credenziali (Utente + Password + PIN) per accedere al servizio e scaricare il risultato delle analisi. Una bella comodità, non c’è che dire. Sembra quasi incredibile che la sanità abruzzese, nello stato precario in cui si ritrova attualmente, sia riuscita a mettere in piedi un servizio comodo e funzionante e che, immagino, farà risparmiare le casse della regione. Sarà per deformazione professionale, essendo un ingegnere informatico, ma l’occhio mi cade inevitabilmente sui dati forniti per l’accesso al servizio. Sarà che per lavoro devo gestire centinaia, anzi migliaia, di credenziali, ma intuisco qualcosa di strano. I dati sono fatti come segue (li ho ovviamente leggermente modificati per motivi di privacy… Ah ah ah! Scusate, mi è scappata una risata quando ho scritto privacy, capirete perché tra poco!).UTENTE: 20131232421PASSWORD: 12102421PIN: 31232421Già il fatto di usare delle credenziali esclusivamente numeriche non è che sia il massimo in termini di sicurezza, dato che rende l’accesso estremamente più vulnerabile rispetto a password miste con numeri e lettere. Noto stupito che le ultime 4 cifre sono esattamente le stesse per i 3 codici, la qual cosa rende ancora più semplice fare dei tentativi per un potenziale utente malevolo che volesse provare ad accedere ai dati. Ma non solo, il PIN di fatto è una copia esatta delle ultime 8 cifre del codice utente, per cui è sostanzialmente una informazione ridondante. Infine noto anche che la parte iniziale del codice utente e della password corrispondono di fatto alla data odierna: 2013 (l’anno) e 1210 (ovvero 12 ottobre). Tutto ciò di per sé sarebbe già sufficiente a facilitare enormemente l’accesso online illegittimo a questi dati che, ricordiamo, possono essere estremamente sensibili, riguardando l’esito di prestazioni sanitarie.A questo punto chiedo alla mia compagna di farmi vedere il suo foglio, al che rimango totalmente senza parole.UTENTE: 20131232422PASSWORD: 12102422PIN: 31232422In pratica i tre codici erano identici a miei, con la sola differenza dell’ultima cifra, denotando chiaramente che c’era una banale progressione numerica.Ci confrontiamo anche con la signora in fila dietro di noi e stessa storia: anche lei aveva codici identici ai nostri con la sola variazione delle ultime cifre. In conclusione è come dire che tutti i referti degli esami di laboratorio di tutti gli utenti della ASL di Teramo sono visibili pubblicamente online da chiunque… alla faccia della privacy! La cosa più divertente è che sullo stesso foglio, accanto ai codici, c’è scritto:”Il codice personale assegnato dovrà essere custodito con la massima diligenza al fine di evitare che terzi accedano ai referti di laboratorio.” Mi piacerebbe tanto sapere chi è il genio dell’informatica che ha realizzato questo algoritmo formidabile per la generazione delle credenziali, nonché sarei di curioso di sapere qual è lo stipendio del responsabile dei sistemi informativi della ASL. Guarda caso, all’uscita della sala prelievi troviamo a fare la fila dietro di noi nientemeno che il sindaco di Giulianova, l’Avv. Mastromauro, al quale facciamo presente questa colossale anomalia del sistema. Rimane anche lui piuttosto perplesso e ci ringrazia per l’utile segnalazione, dicendo che farà presente la cosa a chi di dovere.