Vivien : Bonjour Andreas, merci beaucoup de vous joindre à nous aujourd’hui pour parler de la communication sécurisée dans le monde de l’entreprise. J’ai vraiment hâte d’en savoir plus ! Qu’est-ce que CareTeam exactement, et quels sont vos services ?

Andreas Saladin : Le cabinet CareTeam, basé à Bâle, en Suisse, a été fondé en 2023 et a été l’une des premières structures à se spécialiser dans la psychothérapie, une discipline qui venait tout juste d’être reconnue. Le cabinet a vu le jour à un moment où la législation suisse était en pleine évolution, passant du modèle de délégation au modèle d’orientation. L’un des changements majeurs a été que les psychothérapeutes en formation n’étaient plus autorisés à travailler en tant que salariés de psychiatres. Cela a créé un vide et posé un véritable problème à ces personnes, qui sont tenues d’acquérir une expérience professionnelle au sein d’une institution sous la supervision d’un spécialiste.

Bien que la psychothérapie psychologique ne soit pas encore pleinement reconnue au sein du système de santé suisse, elle représente une avancée majeure vers l’autonomie et la reconnaissance des professions de psychologue et de psychothérapeute. Ce qui fait encore défaut aujourd’hui, c’est la parité avec les institutions médicales ; il s’agit là d’une étape importante concernant la reconnaissance des années d’expérience professionnelle, et les associations professionnelles s’efforcent actuellement d’y parvenir.

Logo CareTeam. Image : CareTeam

Vivien : Qu’est-ce qui distingue CareTeam ?

Andreas Saladin : CareTeam – notre nom incarne notre philosophie. Nous sommes une entreprise qui tire sa force de ses collaborateurs et de notre esprit communautaire. La psychothérapie est une profession exigeante qui requiert un engagement personnel considérable. Notre organisation n’est pas seulement un cadre permettant aux personnes en formation continue d’exercer leur métier, mais elle apporte également un soutien administratif à toutes les personnes concernées. Une gestion allégée : pas de grands investisseurs en quête de rentabilité, mais une organisation dirigée par son fondateur et fonctionnant selon les principes d’une coopérative. En tant qu’organisation, nous tirons profit de solutions collectives, tant sur le plan économique qu’au niveau de nos processus. Nous sommes une organisation au service de nos collaborateurs.

Communication sécurisée dans le secteur de la santé

Vivien : Pourquoi une communication confidentielle et sécurisée – telle que celle assurée par le chiffrement de bout en bout – est-elle si importante, en particulier dans le secteur de la santé ?

Andreas Saladin : La protection des données est un enjeu essentiel dans le domaine de la psychothérapie. En vertu du nouveau Règlement général sur la protection des données, un accord de traitement des données est toujours requis. Même si cet accord attribue des responsabilités, il est avant tout un gage de confiance. À mon sens, la sécurité découle de l’approche et de la philosophie. L’open source et la sécurité dès la conception sont ici des facteurs clés.

Vivien : Pourquoi avez-vous choisi Tuta plutôt que, par exemple, d’autres fournisseurs de messagerie également basés en Suisse ?

Andreas Saladin : En tant que fondateur du cabinet, j’ai dû relever de nombreux défis : il faut se mettre à niveau sur tant de sujets différents. Je me souviens à quel point Tuta était convivial ; la navigation m’a semblé intuitive dès le départ, ce qui a facilité ma décision. Je ne voulais pas non plus m’occuper de l’hébergement, des mises à jour, du dépannage, etc. Confier ces tâches à un prestataire de services est tout simplement la solution la plus logique.

« J’ai constaté que Tuta mettait en œuvre la protection des données de la manière la plus rigoureuse. »

J’ai délibérément recherché une solution qui ne nécessite pas de serveurs de messagerie propres et qui ne repose pas sur des logiciels tiers. Tout doit être conçu de manière cohérente en tenant compte de la sécurité des données. En Suisse, il existe le célèbre réseau HIN – un monopole suisse qui propose un chiffrement supplémentaire au niveau du transport. La manière dont la sécurité est gérée relève du secret commercial – ce qui signifie que le critère de « sécurité dès la conception » n’est pas respecté, car cela manque de transparence.

Par rapport à d’autres fournisseurs, tels que Proton, j’ai été impressionné par leur cohérence : l’ensemble des fonctionnalités est développé en interne, y compris le protocole de chiffrement. Le chiffrement quantique m’a fasciné. Les clients Android peuvent fonctionner sans les services Google. Je n’ai pas une vue d’ensemble complète du marché, mais Tuta semble disposer ici d’un argument de vente unique.

Page d’accueil de CareTeam. Capture d’écran : page d’accueil de CareTeam.

Comment Tuta est utilisé au sein de l’organisation

Vivien : Comment s’est passée la mise en place de Tuta pour vous ?

Andreas Saladin : Il suffit de créer un compte, et c’est tout : vous êtes prêt. Bien sûr, il faut un peu de temps pour s’y habituer, mais le client Tuta est bien organisé et présente une structure logique. Il n’est pas surchargé ; je m’y suis très bien adapté.

Vivien : Qu’est-ce qui vous plaît le plus chez Tuta, ou quel est son plus grand atout ?

Andreas Saladin : La sécurité : c’est le principal atout de Tuta. Mais la sécurité des communications reste un enjeu très important, et il y a toujours des choses à apprendre dans ce domaine.

Le point de vue d’Andreas sur la sécurité

Andreas Saladin : À mon avis, les attaques de type « man-in-the-middle » sur les e-mails sont peu probables, car les serveurs de messagerie se connectent directement les uns aux autres sans passer par des serveurs intermédiaires aléatoires. L’itinéraire est déterminé via le DNS – un service d’annuaire qui fournit le serveur de messagerie approprié pour chaque domaine. Un expéditeur interroge le DNS pour connaître le serveur de messagerie du destinataire et s’y connecte directement. Bien que la connexion chiffrée transite par des FAI, des nœuds Internet et des câbles sous-marins, le protocole TLS utilise des certificats pour vérifier l’identité du serveur de destination. Un attaquant devrait soit manipuler le DNS (empoisonnement DNS), soit rediriger le trafic Internet (détournement BGP) pour intercepter le trafic. Ces deux méthodes sont extrêmement complexes, font l’objet d’une surveillance et échouent généralement en raison du processus de vérification des certificats, qui permet de détecter les faux serveurs.

À mon avis, l’un des plus grands risques de sécurité est le suivant :

Le fournisseur de messagerie peut lire vos messages. La plupart des fournisseurs de messagerie, tels que Gmail, Outlook, GMX, etc., stockent les messages en texte clair sur leurs serveurs, ce qui facilite leur traitement, la recherche et le filtrage des spams. Par conséquent, le fournisseur dispose d’un accès technique complet à tous les e-mails stockés. Seuls les fournisseurs dotés d’une architecture « zéro connaissance » – comme Tuta – chiffrent les e-mails de telle sorte qu’ils n’ont eux-mêmes pas accès au contenu ; ces services constituent toutefois l’exception.

Les appareils compromis constituent un autre risque de sécurité. Des logiciels espions, des enregistreurs de frappe ou des chevaux de Troie présents sur l’ordinateur de l’expéditeur ou du destinataire peuvent intercepter les e-mails avant leur chiffrement ou après leur déchiffrement. Ce type de logiciels malveillants s’introduit souvent dans les appareils par le biais d’attaques par hameçonnage. Même le chiffrement de transport le plus puissant est inutile si l’appareil final a déjà été compromis. À cet égard, je fais pleinement confiance au logiciel de Tuta pour rendre de telles attaques plus difficiles. C’est pourquoi nous utilisons systématiquement Linux plutôt qu’un système d’exploitation américain.

À mon avis, un bon service de messagerie offre déjà un niveau de sécurité élevé, même sans la version chiffrée. C’est important car une part significative des communications quotidiennes, qui ne contiennent pas de contenu sensible, s’effectue sans chiffrement de bout en bout. Le chiffrement de transport est aujourd’hui la norme partout – heureusement.

Vivien: Waouh, vous vous êtes vraiment plongé en profondeur dans le sujet de la sécurité en ligne – c’est vraiment impressionnant. Un grand merci pour cette excellente interview ! J’espère que notre solution de messagerie chiffrée pour votre entreprise continuera à vous donner entière satisfaction, et j’ai hâte de recevoir régulièrement vos retours sur nos mises à jour et sur les fonctionnalités manquantes dont vous pourriez encore avoir besoin.