Vivien: Ciao Andreas, grazie mille per essere qui con noi oggi a parlare di comunicazione sicura per le aziende. Non vedo l’ora di approfondire l’argomento! Cos’è esattamente CareTeam e cosa offrite?

Andreas Saladin: Lo studio CareTeam, con sede a Basilea, in Svizzera, è stato fondato nel 2023 ed è stata una delle prime organizzazioni specializzate in psicoterapia, una categoria che si era affermata solo di recente. Lo studio è stato fondato in un momento in cui era in atto un cambiamento nella legislazione svizzera: si passava dal modello di delega al modello di rinvio. Un cambiamento significativo è stato il divieto per gli psicoterapeuti in formazione di lavorare come dipendenti di psichiatri. Ciò ha creato un vuoto e un vero problema per queste persone, che sono tenute ad acquisire esperienza professionale all’interno di un’istituzione sotto la supervisione di uno specialista.

Sebbene la psicoterapia psicologica non sia ancora pienamente riconosciuta all’interno del sistema sanitario svizzero, essa rappresenta un passo importante verso l’autonomia e il riconoscimento delle professioni di psicologia e psicoterapia psicologica. Ciò che ancora oggi manca è la parità con le istituzioni mediche; si tratta di un passo importante per quanto riguarda il riconoscimento degli anni di esperienza professionale, e le associazioni professionali stanno attualmente lavorando per raggiungerlo.

Logo CareTeam. Immagine: CareTeam

Vivien: Cosa contraddistingue CareTeam?

Andreas Saladin: CareTeam – il nostro nome incarna la nostra filosofia. Siamo un’azienda che trae forza dai propri collaboratori e dal nostro senso di comunità. La psicoterapia è una professione impegnativa che richiede un grande impegno personale. La nostra organizzazione non è solo una struttura che consente a chi segue una formazione continua di esercitare la propria professione, ma fornisce anche supporto amministrativo a tutte le persone coinvolte. Lean management: non grandi investitori alla ricerca di rendimenti, ma un’organizzazione guidata dal suo fondatore e che opera secondo i principi di una cooperativa. Come organizzazione, traiamo vantaggio da soluzioni collettive, sia dal punto di vista economico che in termini di processi. Siamo un’organizzazione dedicata a servire i nostri collaboratori.

Comunicazione sicura nel settore sanitario

Vivien: Perché una comunicazione riservata e sicura – come quella garantita dalla crittografia Ende-zu-Ende – è così importante, specialmente nel settore sanitario?

Andreas Saladin: La protezione dei dati è una questione essenziale nel campo della psicoterapia. Ai sensi del nuovo Regolamento generale sulla protezione dei dati, è sempre necessario un accordo sul trattamento dei dati. Anche se tale accordo attribuisce responsabilità, è soprattutto un simbolo di fiducia. A mio avviso, la sicurezza deriva dall’approccio e dalla filosofia. L’open source e la sicurezza fin dalla progettazione sono i fattori chiave in questo ambito.

Vivien: Perché hai scelto Tuta invece che, ad esempio, altri provider di posta elettronica con sede anch’essi in Svizzera?

Andreas Saladin: In qualità di fondatore dello studio, ho dovuto affrontare molte sfide: bisogna mettersi al passo con tantissimi argomenti diversi. Ricordo quanto Tuta fosse intuitivo; mi è sembrato subito facile da navigare e questo ha semplificato la mia decisione. Inoltre, non volevo occuparmi di hosting, aggiornamenti, risoluzione dei problemi e così via. Affidare queste attività a un fornitore di servizi è semplicemente la scelta più sensata.

«Ho constatato che Tuta applica la protezione dei dati in modo più coerente.»

Ho cercato deliberatamente una soluzione che non richiedesse server di posta propri e non dipendesse da software di terze parti. Tutto dovrebbe essere progettato in modo coerente tenendo conto della sicurezza dei dati. In Svizzera esiste la nota rete HIN – un monopolio nazionale che offre una crittografia aggiuntiva durante il trasporto. Il modo in cui viene gestita la sicurezza è un segreto commerciale – il che significa che il criterio della “sicurezza fin dalla progettazione” non è soddisfatto perché non è chiaro.

Rispetto ad altri provider, come Proton, sono rimasto colpito dalla loro coerenza: l’intera suite di funzionalità è sviluppata internamente, persino il protocollo di crittografia. La crittografia quantistica mi ha affascinato. I client Android possono funzionare senza i Servizi Google: non ho una visione completa del mercato, ma Tuta sembra avere un punto di forza unico in questo ambito.

Homepage di CareTeam. Screenshot: Homepage di CareTeam.

Come viene utilizzato Tuta all’interno dell’organizzazione

Vivien: Come è andata l’implementazione di Tuta?

Andreas Saladin: Basta creare un account e il gioco è fatto: sei pronto. Certo, ci vuole un po’ per abituarsi, ma il client di Tuta è ben organizzato e ha una struttura logica. Non è affollato; mi sono trovato molto bene.

Vivien: Cosa ti piace di più di Tuta, o qual è il suo principale vantaggio?

Andreas Saladin: La sicurezza: questo è il principale vantaggio di Tuta. Ma la sicurezza nelle comunicazioni rimane una questione molto importante, e c’è sempre qualcosa di nuovo da imparare.

Il punto di vista di Andreas sulla sicurezza

Andreas Saladin: A mio avviso, gli attacchi «man-in-the-middle» alle e-mail sono improbabili, perché i server di posta si connettono direttamente tra loro senza server intermedi casuali. Il percorso viene determinato tramite il DNS – un servizio di directory che fornisce il server di posta appropriato per ciascun dominio. Un mittente interroga il DNS per individuare il server di posta del destinatario e si connette direttamente ad esso. Sebbene la connessione crittografata passi attraverso ISP, nodi Internet e cavi sottomarini, il protocollo TLS utilizza certificati per verificare l’identità del server di destinazione. Un malintenzionato dovrebbe manipolare il DNS (DNS poisoning) o reindirizzare il traffico Internet (BGP hijacking) per intercettare il traffico. Entrambi i metodi sono estremamente complessi, vengono monitorati e solitamente falliscono a causa del processo di verifica dei certificati, che smaschera i server falsi.

A mio parere, uno dei maggiori rischi per la sicurezza è il seguente:

Il provider di posta elettronica può leggere i tuoi messaggi. La maggior parte dei provider di posta elettronica, come Gmail, Outlook, GMX, ecc., archivia i messaggi in testo in chiaro sui propri server, il che semplifica l’elaborazione, la ricerca e il filtraggio dello spam. Di conseguenza, il provider ha pieno accesso tecnico a tutte le e-mail archiviate. Solo i provider con un’architettura a conoscenza zero – come Tuta – crittografano le e-mail in modo tale che nemmeno loro stessi abbiano accesso al contenuto; tali servizi rappresentano l’eccezione.

Un altro rischio per la sicurezza è rappresentato dai dispositivi compromessi. Spyware, keylogger o trojan presenti sul computer del mittente o del destinatario possono intercettare le e-mail prima che vengano crittografate o dopo che sono state decrittografate. Malware di questo tipo spesso si insinua nei dispositivi tramite attacchi di phishing. Anche la crittografia di trasporto più robusta è inutile se il dispositivo finale è già stato compromesso. A questo proposito, mi fido maggiormente del software di Tuta per rendere più difficili tali attacchi. Per questo motivo, utilizziamo sistematicamente Linux anziché un sistema operativo americano.

A mio avviso, un buon servizio di posta elettronica offre già un livello di sicurezza più elevato anche senza la versione crittografata. Questo è importante perché una parte significativa della comunicazione quotidiana che non riguarda contenuti sensibili avviene senza crittografia Ende-zu-Ende. La crittografia di trasporto è ormai uno standard ovunque, per fortuna.

Vivien: Wow, hai davvero approfondito il tema della sicurezza online: è davvero impressionante. Grazie mille per questa fantastica intervista! Spero che la nostra soluzione di posta elettronica crittografata per la tua azienda continui a soddisfarti, e non vedo l’ora di ricevere regolarmente il tuo feedback sui nostri aggiornamenti e su eventuali funzionalità mancanti di cui hai ancora bisogno.