Vivien: Hola, Andreas, muchísimas gracias por acompañarnos hoy para hablar sobre la comunicación segura en las empresas. ¡Tengo muchas ganas de que empiece! ¿Qué es exactamente CareTeam y qué servicios ofrecéis?

Andreas Saladin: La consulta CareTeam, con sede en Basilea (Suiza), se fundó en 2023 y fue una de las primeras organizaciones especializadas en psicoterapia, una categoría que se había establecido hacía muy poco tiempo. La consulta se fundó en un momento en el que se estaba produciendo un cambio en la legislación suiza: se pasaba del modelo de delegación al modelo de derivación. Un cambio importante fue que a los psicoterapeutas en formación ya no se les permitía trabajar como empleados de psiquiatras. Esto creó un vacío y un problema real para estas personas, que deben adquirir experiencia profesional en una institución bajo la supervisión de un especialista.

Aunque la psicoterapia psicológica aún no ha sido plenamente reconocida dentro del sistema sanitario suizo, representa un paso importante hacia la autonomía y el reconocimiento de las profesiones de la psicología y la psicoterapia psicológica. Lo que sigue faltando hoy en día es la paridad con las instituciones médicas; se trata de un paso importante en lo que respecta al reconocimiento de los años de experiencia profesional, y las asociaciones profesionales están trabajando actualmente para lograrlo.

Logotipo de CareTeam. Imagen: CareTeam

Vivien: ¿Qué distingue a CareTeam?

Andreas Saladin: CareTeam: nuestro nombre encarna nuestra filosofía. Somos una empresa que se nutre de nuestros empleados y de nuestro espíritu de comunidad. La psicoterapia es una profesión exigente que requiere un gran compromiso personal. Nuestra organización no es solo un marco que permite a las personas en formación continua ejercer su profesión, sino que también proporciona apoyo administrativo a todos los implicados. Gestión ajustada: no se trata de grandes inversores que buscan rentabilidad, sino de una organización dirigida por su fundador y que funciona según los principios de una cooperativa. Como organización, nos beneficiamos de soluciones colectivas, tanto a nivel económico como en lo que respecta a nuestros procesos. Somos una organización dedicada a servir a nuestros empleados.

Comunicación segura en el sector sanitario

Vivien: ¿Por qué es tan importante la comunicación confidencial y segura —como la que ofrece el cifrado de extremo a extremo—, especialmente en el sector sanitario?

Andreas Saladin: La protección de datos es una cuestión esencial en el ámbito de la psicoterapia. En virtud del nuevo Reglamento General de Protección de Datos, siempre se requiere un acuerdo de tratamiento de datos. Aunque este acuerdo asigna responsabilidades, es, ante todo, un símbolo de confianza. En mi opinión, la seguridad se deriva del enfoque y la filosofía. El código abierto y la seguridad desde el diseño son los factores clave en este sentido.

Vivien: ¿Por qué elegiste Tuta en lugar de, por ejemplo, otros proveedores de correo electrónico que también tienen su sede en Suiza?

Andreas Saladin: Como fundador de la consulta, me enfrenté a muchos retos: hay que ponerse al día en un montón de temas diferentes. Recuerdo lo intuitiva que me pareció Tuta; me resultó fácil navegar por ella desde el primer momento y eso facilitó mi decisión. Además, no quería tener que ocuparme del alojamiento, las actualizaciones, la resolución de problemas, etc. Externalizar estas tareas a un proveedor de servicios es, sencillamente, lo más lógico.

«Me di cuenta de que Tuta era la que aplicaba la protección de datos de forma más rigurosa».

Busqué deliberadamente una solución que no requiriera servidores de correo propios y que no dependiera de software de terceros. Todo debía estar diseñado de forma coherente teniendo en cuenta la seguridad de los datos. En Suiza existe la conocida red HIN, un monopolio suizo que ofrece cifrado adicional durante el transporte. La forma en que se gestiona la seguridad es un secreto comercial, lo que significa que no se cumple el criterio de «seguridad desde el diseño», ya que no está claro.

En comparación con otros proveedores, como Proton, me impresionó su coherencia: todo el conjunto de funciones está desarrollado internamente, incluso el protocolo de cifrado. El cifrado a prueba de ataques cuánticos me fascinó. Los clientes de Android pueden funcionar sin los Servicios de Google; no tengo una visión completa del mercado, pero Tuta parece tener aquí un argumento de venta único.

Página de inicio de CareTeam. Captura de pantalla: Página de inicio de CareTeam.

Cómo se utiliza Tuta dentro de la organización

Vivien: ¿Cómo fue para ti la implementación de Tuta?

Andreas Saladin: Lo único que hay que hacer es crear una cuenta, y ya está: todo listo. Por supuesto, cuesta un poco acostumbrarse, pero el cliente de Tuta está bien organizado y tiene una estructura lógica. No está recargado; me he adaptado muy bien a él.

Vivien: ¿Qué es lo que más te gusta de Tuta o cuál es su mayor ventaja?

Andreas Saladin: La seguridad: esa es la mayor ventaja de Tuta. Pero la seguridad en las comunicaciones sigue siendo un tema muy importante, y uno en el que siempre hay más que aprender.

La perspectiva de Andreas sobre la seguridad

Andreas Saladin: En mi opinión, los ataques de «hombre en el medio» (man-in-the-middle) en el correo electrónico son poco probables, ya que los servidores de correo se conectan directamente entre sí sin ningún servidor intermedio aleatorio. La ruta se determina a través del DNS, un servicio de directorio que proporciona el servidor de correo adecuado para cada dominio. El remitente consulta el DNS para obtener el servidor de correo del destinatario y se conecta directamente a él. Aunque la conexión cifrada pasa por proveedores de servicios de Internet (ISP), nodos de Internet y cables submarinos, el protocolo TLS utiliza certificados para verificar la identidad del servidor de destino. Un atacante tendría que manipular el DNS (envenenamiento de DNS) o redirigir el tráfico de Internet (secuestro de BGP) para interceptar el tráfico. Ambos métodos son extremadamente complejos, están bajo vigilancia y suelen fracasar debido al proceso de verificación de certificados, que pone al descubierto los servidores falsos.

En mi opinión, uno de los mayores riesgos de seguridad es el siguiente:

El proveedor de correo electrónico puede leer tus mensajes. La mayoría de los proveedores de correo electrónico, como Gmail, Outlook, GMX, etc., almacenan los mensajes en texto sin cifrar en sus servidores, lo que facilita su procesamiento, búsqueda y filtrado de spam. Como resultado, el proveedor tiene acceso técnico completo a todos los correos electrónicos almacenados. Solo los proveedores con arquitectura de conocimiento cero —como Tuta— cifran los correos electrónicos de tal manera que ni siquiera ellos mismos tienen acceso al contenido; estos servicios son la excepción.

Otro riesgo de seguridad son los dispositivos comprometidos. El spyware, los keyloggers o los troyanos presentes en el ordenador del remitente o del destinatario pueden interceptar los correos electrónicos antes de que se cifren o después de que se hayan descifrado. Este tipo de malware suele colarse en los dispositivos a través de ataques de phishing. Incluso el cifrado de transporte más sólido resulta inútil si el dispositivo final ya ha sido comprometido. En este sentido, confío plenamente en el software de Tuta para dificultar este tipo de ataques. Por este motivo, utilizamos sistemáticamente Linux en lugar de un sistema operativo estadounidense.

En mi opinión, un buen servicio de correo electrónico ya ofrece un mayor nivel de seguridad incluso sin la versión cifrada. Esto es importante porque una parte significativa de la comunicación diaria que no implica contenido sensible se lleva a cabo sin cifrado de extremo a extremo. El cifrado de transporte es hoy en día un estándar generalizado, afortunadamente.

Vivien: Vaya, realmente has profundizado mucho en el tema de la seguridad en línea; es realmente impresionante. ¡Muchísimas gracias por esta estupenda entrevista! Espero que nuestra solución de correo electrónico cifrado para tu empresa siga dándote buenos resultados, y espero recibir comentarios periódicos sobre nuestras actualizaciones y cualquier función que aún eches en falta.