Sanità Digitale Sovrana: Il Livello di cui Nessuno Scrive Comunicati Stampa
La reputazione di un orologiaio svizzero riposa su ciò che non potete vedere. Gli ingranaggi visibili che muovono le lancette di un orologio raffinato non sono ciò che distingue uno strumento di precisione da un giocattolo. Sono necessari, sono finiti magnificamente, e un acquirente consapevole li ispezionerà. Ma non sono l’orologio.
L’orologio è lo scappamento. Quel piccolo meccanismo ingegnerizzato con precisione converte l’energia immagazzinata della molla principale in movimento regolato e misurabile. Scatta dietro il quadrante, nascosto a chi lo indossa, svolgendo l’unico compito su cui tutto il resto dipende. Rimuovetelo, e il movimento più magnificamente decorato diventa rottame.
Lo stesso principio vale per l’infrastruttura digitale sovrana. I componenti visibili (la suite, il fornitore cloud, i carichi di lavoro containerizzati, il data centre nel territorio nazionale) sono necessari e impressionanti. Sono anche la parte più facile di cui parlare, e la parte più facile da inserire in un comunicato stampa. Ma sono gli ingranaggi e le lancette.
Il calcolo sovrano è necessario. Non è sufficiente.
Perché le Scelte di HIN Sono un Modello, Non un Case Study
HIN (Health Info Net) opera dietro approssimativamente il 90% degli stakeholder della sanità svizzera. Medici, ospedali, farmacie, assicuratori, laboratori. Quando HIN modernizza, non sta eseguendo un progetto pilota. Sta spostando il substrato di fiducia di un intero settore nazionale.
Quindi quando Red Hat ha annunciato al suo Summit ad Atlanta nel maggio 2026 che HIN aveva migrato a Red Hat OpenShift, in esecuzione su due cloud svizzeri sovrani (Cloudscale ed Exoscale) e gestito 24×7 da VSHN con un obiettivo di disponibilità del 99,99%, non era una semplice vittoria commerciale di routine. Era un settore regolato che scommetteva il suo futuro operativo su un’architettura aperta, deliberatamente divisa tra due fornitori affinché nessun singolo fornitore controlli il servizio essenziale della sanità digitale svizzera.
Il lavoro era serio, e le persone che lo hanno svolto meritano di essere citate. Aarno Aukia, co-fondatore di VSHN, ha descritto chiaramente la scelta architetturale: «Abbiamo scelto Red Hat OpenShift per soddisfare i requisiti di sicurezza e multitenancy di HIN. La soluzione ha fornito la base giusta su cui costruire l’architettura di sicurezza appropriata.» Il suo team ha allestito il nuovo ambiente in 36 ore. Mohammad Alavi, CTO di HIN, ha descritto cosa sia cambiato nella sua organizzazione con la migrazione: «Non abbiamo mai avuto un approccio di sperimentazione rapida prima, e il nostro ambiente legacy non ci ha permesso di utilizzare l’automazione. È stata un’esperienza straordinaria passare a DevOps e autorizzare i nostri sviluppatori con un’intera nuova cultura.»
Richard Zobrist, Country Manager Svizzera di Red Hat, ha inquadrato l’aspetto strategico: «La sovranità digitale richiede il controllo operativo della tecnologia, la flessibilità strategica e la fiducia.»
Ma il case study menziona un servizio quasi di sfuggita: messaggistica crittografata per le comunicazioni medico-paziente. Quella singola frase è dove la storia più interessante inizia.
L’Infrastruttura Sovrana Archivia i Dati. L’Infrastruttura di Fiducia li Muove.
Ci sono almeno due cose molto diverse che «messaggistica crittografata» può significare, e la maggior parte delle discussioni nel nostro settore le confonde così completamente che il significato più importante scompare dalla conversazione del tutto.
La versione facile è TLS in transito. I byte vengono crittografati tra il dispositivo dell’utente e i server della piattaforma, e di nuovo tra la piattaforma e il destinatario. Questo è il minimo indispensabile. Ogni sistema di messaggistica moderno lo fa. Protegge da chi ascolta passivamente sulla rete e dal WiFi pubblico non protetto. Non protegge, in alcun senso strutturale, dalla piattaforma stessa. L’operatore della piattaforma si trova nel mezzo, tiene le chiavi e legge, indicizza e re-cripta il messaggio a volontà. La serratura è reale. La piattaforma ha una copia della chiave.
La versione più difficile è lo scambio verificato end-to-end. Le identità del mittente e del destinatario sono asserite crittograficamente al momento dello scambio, dai partecipanti stessi, non delegate a un operatore di piattaforma. Il contenuto è riservato per costruzione, non riservato per politica. Un medico può provare che un messaggio è arrivato intatto ed è stato aperto dal paziente previsto. La piattaforma non può leggerlo, non può riscriverlo, e non può sostituire silenziosamente un destinatario con un altro.
Questa distinzione ha importanza più nella sanità che praticamente in qualsiasi altro luogo. Un medico e un paziente che comunicano attraverso un canale mediato da una piattaforma si fidano, per impostazione predefinita, della piattaforma con informazioni che legalmente ed eticamente non devono essere condivise. La residenza dei dati svizzera vi dice dove i byte si trovano fisicamente. Non vi dice nulla su chi può leggerli in movimento.
L’infrastruttura sovrana è necessaria. Non risponde, di per sé, alla domanda su chi può leggere il messaggio.
HIN ha compreso questo. Per questo la loro modernizzazione dell’infrastruttura non era un progetto a un unico livello.
Una Cassaforte Chiusa Con una Porta a Rete
Pensate all’infrastruttura digitale del settore regolato come a un edificio con due proprietà di sicurezza distinte. La prima è la cassaforte (dove vivono i dati). La seconda è la porta (come i dati entrano ed escono, e chi può passare).
Il lavoro di Red Hat e VSHN affronta la cassaforte. Dove vivono i dati? In cloud svizzeri sovrani, su una piattaforma aperta, gestita da persone che rispondono alla legge svizzera e ai clienti svizzeri, senza dipendenza da un singolo fornitore e con un obiettivo di disponibilità che significa vera continuità per veri pazienti. Il comunicato stampa arriva al Red Hat Summit perché questo è un vero risultato. Costruire un ambiente OpenShift multitenant, sovrano, dual-cloud che soddisfi i requisiti di sicurezza e operativi di livello sanitario è genuinamente difficile. Le persone che lo hanno fatto meritano la visibilità che stanno ricevendo.
Il primo livello è risolto. Ma il secondo livello è dove i settori regolati stanno improvvisando da trent’anni.
Lo strato di messaggistica crittografata affronta la porta. Come si muovono i dati da un’organizzazione all’altra, sotto quali garanzie di identità, con quale verificabilità, con quale assicurazione che l’operatore della piattaforma è strutturalmente incapace di compromettere lo scambio? Questa domanda è indipendente dal livello dell’infrastruttura. Potete eseguire un cloud perfettamente sovrano e comunque instradare ogni messaggio medico-paziente attraverso un modello di fiducia controllato da qualcun altro.
Il calcolo sovrano più la comunicazione crittograficamente verificata produce qualcosa che i settori regolati stanno cercando da trent’anni: un’infrastruttura che è affidabile per architettura, non per politica.
Il case study nota che HIN è tra le prime aziende svizzere ad adottare un’architettura zero trust. Zero trust parte da una premessa semplice: assumete che una parte dell’infrastruttura sarà violata. Progettate per questo. Se prendete questa premessa sul serio, lo strato di comunicazione non può essere un ripensamento, perché è precisamente il livello che deve continuare a funzionare quando l’assunzione si verifica.
Il primo livello è risolto.
HIN non sta improvvisando. E questo ha importanza ben oltre la Svizzera.
Un Modello per Ciò che Viene Dopo
Lo Spazio Europeo dei Dati Sanitari obbliga lo scambio transfrontaliero di dati sanitari tra 27 stati membri. Il programma DigiSanté della Svizzera sta costruendo l’omologo nazionale. Ognuna di queste iniziative, prima o poi, deve rispondere alla stessa domanda architettonica che HIN ha ora risposto in produzione: infrastruttura sovrana, più che cosa?
La distribuzione di HIN è il primo modello funzionante per l’infrastruttura digitale del settore regolato fatta adeguatamente. Piattaforma aperta su cloud sovrani, gestita secondo la legge svizzera, con comunicazione verificata end-to-end che trasporta il contenuto più sensibile. Non come una diapositiva di una roadmap. Come servizi in esecuzione, in produzione, oggi, per le persone che effettivamente forniscono assistenza sanitaria in Svizzera.
Aarno Aukia, di nuovo: «L’assistenza sanitaria è un settore cauto, ma è anche uno che ha un impatto reale sulla vita dei cittadini.» Questo impatto è esattamente il motivo per cui lo strato noioso e invisibile ha importanza. La domanda difficile per qualsiasi paese, qualsiasi settore, qualsiasi istituzione che gestisce comunicazioni che non può permettersi di esporre non è se i vostri dati sono archiviati nel paese giusto. È se le persone che dovrebbero comunicare sono effettivamente quelle che stanno parlando.
Questa risposta non è negli ingranaggi. È nello scappamento.
