MILANO. Il guasto ai sistemi Microsoft non ha fermato gli ospedali lombardi. Lo assicura Regione Lombardia in una nota diffusa venerdì 13 novembre: il malfunzionamento registrato nelle ultime ore, si legge, «non ha avuto ripercussioni sulle attività cliniche, né sull'erogazione dei servizi ai pazienti negli ospedali del sistema sanitario lombardo».

Secondo le verifiche della Regione, i problemi hanno riguardato «esclusivamente» la posta elettronica e solo nelle strutture ospedaliere che utilizzano i sistemi Microsoft colpiti dal guasto. «Le attività sanitarie, l'assistenza e i servizi rivolti ai cittadini proseguono regolarmente, senza alcuna conseguenza sulla presa in carico dei pazienti e sui percorsi di cura», scrive Palazzo Lombardia.

La Regione continua a seguire la situazione. «Il monitoraggio della Direzione Welfare è costante, in raccordo con le strutture sanitarie coinvolte», prosegue la nota, «per garantire il tempestivo ripristino dei servizi interessati e la continuità assistenziale».

Non solo email: che cosa si è bloccato

Il guasto ha colpito Exchange Online, l'infrastruttura che gestisce la posta aziendale di Microsoft, con conseguenze su calendari, applicazioni e strumenti di collaborazione. Alcune funzioni di Teams, SharePoint e Copilot hanno avuto problemi, anche se molte videoconferenze hanno continuato a funzionare.

Gli esperti informatici sentiti dall'agenzia Adnkronos spiegano che Outlook non serve soltanto a mandare email. In molte aziende Microsoft 365 è diventato una sorta di sistema nervoso: Exchange gestisce posta, calendari e contatti, Teams le riunioni, SharePoint custodisce i documenti. E le applicazioni comunicano tra loro. Una richiesta di ferie può generare una notifica al responsabile, la sua approvazione aggiornare il gestionale e arrivare all'ufficio paghe; una fattura può seguire un percorso simile.

Non tutti questi passaggi dipendono da Outlook, ma alcuni usano la posta, le API di Microsoft (le interfacce che permettono a programmi diversi di scambiarsi dati) o sistemi di automazione come Power Automate. Microsoft ha segnalato problemi proprio ad alcune automazioni e alle API Microsoft Graph. Non significa che gli stipendi non siano stati pagati, osservano gli esperti, ma che la regolarità di una pratica amministrativa può dipendere da una casella di posta.

Il problema dei codici di accesso

Le conseguenze hanno toccato anche servizi che apparentemente non hanno nulla a che fare con Microsoft. Autodesk, che produce software per ingegneri, architetti e progettisti, ha segnalato che alcuni clienti non riuscivano ad accedere ai propri programmi perché non ricevevano sulle caselle Microsoft le Otp (one-time password), cioè le password temporanee valide per un solo accesso. Difficoltà anche per HubSpot nei collegamenti con Outlook e i calendari. Nel Regno Unito sono stati segnalati problemi alle comunicazioni di strutture sanitarie, forze di polizia e uffici giudiziari; Air India ha usato canali alternativi per alcune comunicazioni con i clienti, pur continuando a operare normalmente i voli.

Farsi mandare il codice via Sms non sempre è possibile. Molti servizi permettono di scegliere tra email, Sms, app di autenticazione, passkey (chiavi digitali salvate sul dispositivo) e codici di recupero; altri ne prevedono solo alcuni, e non è detto che si possano cambiare mentre il sistema è fuori uso. È uno dei paradossi della sicurezza informatica: la seconda chiave aggiunta per proteggere gli accessi, se si trova in un sistema bloccato, diventa un ostacolo per lo stesso utente. Le organizzazioni più attente, spiegano gli esperti, prevedono metodi alternativi già configurati, indipendenti dall'infrastruttura principale e attivati prima del blocco.

Conti correnti e bonifici

Quanto alle banche, secondo gli esperti il blocco non le colpisce nel modo che si potrebbe temere. I sistemi che gestiscono conti correnti, bonifici e pagamenti di norma non sono legati alla posta elettronica: sono infrastrutture specializzate con requisiti di sicurezza e disponibilità più stringenti. La direttiva europea Psd2 richiede per molte operazioni un'autenticazione forte, basata su almeno due fattori indipendenti: app dedicate, dispositivi registrati, token (piccoli dispositivi o app che generano codici) e talvolta Sms. Una semplice email, da sola, in genere non basta.

Diverso il discorso per assistenza clienti, comunicazioni, alcune procedure amministrative e rapporti con i fornitori, che possono risentire del guasto anche quando i pagamenti proseguono regolarmente. Dal gennaio 2025 il regolamento europeo Dora impone inoltre agli operatori finanziari obblighi sulla resilienza digitale, cioè la capacità di continuare a funzionare in caso di problemi informatici, compresi i piani di continuità operativa.

Cambiare piattaforma e il rischio shadow IT

Spostare una riunione da Teams a Google Meet, Webex o Zoom non è sempre possibile in azienda. Un'impresa può aver autorizzato solo la piattaforma Microsoft e aver configurato lì le regole su accesso degli esterni, registrazione delle riunioni e protezione delle informazioni riservate. E se per entrare nell'alternativa servono le stesse credenziali aziendali o un link arrivato via Outlook, il piano B può essere inutilizzabile come il piano A. Durante il blackout, riferisce l'Adnkronos, alcuni collegamenti a riunioni su altre piattaforme sono rimasti irraggiungibili perché contenuti in calendari Outlook che funzionavano a intermittenza.

Lo stesso vale per i documenti. Mandare un file riservato su WhatsApp significa entrare nel campo dello shadow IT, l'uso di strumenti informatici non autorizzati dall'organizzazione. WhatsApp usa la crittografia end-to-end, per cui i messaggi possono essere letti solo da mittente e destinatario, ma un'azienda deve sapere chi può accedere ai documenti, dove sono conservati, per quanto tempo e come recuperarli in caso di verifiche o procedimenti. Il Gdpr, il regolamento europeo sulla privacy, non vieta WhatsApp, ma chiede misure adeguate al tipo di dati. Mandare a un collega l'indirizzo del ristorante è una cosa, condividere la cartella sanitaria di un paziente è un'altra. L'emergenza non è una deroga: in alcuni casi, sottolineano gli esperti, è meglio rinviare una comunicazione che rischiare una violazione e le relative sanzioni.

I piani di emergenza

Comprare un secondo software non basta a costruire un sistema di riserva. Due applicazioni possono usare lo stesso servizio di autenticazione, due fornitori possono appoggiarsi allo stesso cloud, cioè agli stessi server remoti. Un backup, la copia di sicurezza dei dati, può essere conservato correttamente e restare inaccessibile perché le credenziali si trovano nel sistema fuori uso. Un piano di continuità operativa, spiegano gli esperti, deve prevedere percorsi alternativi per accedere ai dati, comunicare e autorizzare operazioni, e va testato periodicamente. Duplicare ogni funzione non è però ragionevole: la valutazione è economica, cioè quanto costa la paralisi di ogni attività e quanto conviene investire per evitarla.

Il blackout richiama il caso CrowdStrike del luglio 2024, quando un aggiornamento difettoso del software di sicurezza mise fuori uso circa 8,5 milioni di computer Windows, con conseguenze su compagnie aeree, ospedali e imprese. Allora si bloccavano direttamente i computer, questa volta sono andati in crisi i servizi cloud e alcuni dei loro collegamenti. In entrambi i casi, un componente usato contemporaneamente da migliaia di organizzazioni ha smesso di funzionare.