La externalización de la infraestructura de red central se ha convertido en una estrategia cada vez más habitual entre los operadores móviles virtuales (OMV) y los operadores más pequeños que buscan reducir los gastos de capital y acelerar el tiempo de comercialización. Las redes centrales alojadas en la nube, las ofertas de «red como servicio» (NaaS) y los servicios gestionados de red central permiten a los operadores lanzarse al mercado y crecer sin la importante inversión que supone construir y gestionar su propia infraestructura central. Sin embargo, este modelo arquitectónico plantea retos específicos para la interceptación legal que los operadores deben abordar para mantener cumplimiento de la normativa.
Cuando la red central se externaliza, la capacidad técnica para interceptar comunicaciones recae en el proveedor de la infraestructura y no en el operador al que incumbe la obligación reglamentaria. Este artículo analiza los retos que esto plantea, los modelos para abordarlos y las medidas prácticas que deben adoptar los operadores para garantizar el cumplimiento normativo cuando su red central está alojada o gestionada por un tercero.
LI con una red central externalizada
El reto fundamental de las redes centrales externalizadas para la interceptación legal (LI) es la separación entre la obligación legal y la capacidad técnica. El operador —en su calidad de proveedor registrado de servicios públicos de comunicaciones electrónicas— asume la obligación legal de llevar a cabo la interceptación lícita. Sin embargo, los puntos de interceptación, las funciones de red que procesan las comunicaciones de los abonados y la infraestructura necesaria para capturar y transmitir los datos interceptados son gestionados por un tercero.
Esta separación es más marcada que en la relación tradicional entre un operador móvil virtual (OMV) y un operador de red móvil (ORM), en la que el ORM, al menos, reconoce que gestiona una red de telecomunicaciones con obligaciones reglamentarias inherentes. Los proveedores de alojamiento de redes centrales pueden proceder del ámbito de las infraestructuras de TI o de la computación en la nube y es posible que no estén muy familiarizados con los requisitos normativos en materia de telecomunicaciones, incluida la interceptación lícita. El operador no puede dar por sentado que el proveedor de alojamiento haya tenido en cuenta la interceptación lícita en el diseño de su infraestructura o en sus procesos operativos.
La postura normativa es clara en todos los mercados europeos: la externalización de la infraestructura no implica la externalización de la responsabilidad normativa. El operador sigue siendo plenamente responsable de Cumplimiento de la normativa LI, independientemente de cómo esté desplegada su red o de quién gestione la infraestructura subyacente. Las autoridades reguladoras no aceptarán que la dependencia del operador respecto a un proveedor externo sirva de excusa para el incumplimiento de la normativa.
Modelos de alojamiento de redes centrales y sus implicaciones para LI
Las implicaciones para la LI dependen del modelo de alojamiento concreto. En un modelo de alojamiento dedicado, el operador dispone de su propia instancia de las funciones de red central, que se ejecuta en la infraestructura del proveedor de alojamiento. El operador puede tener acceso administrativo para configurar las funciones de red, incluidos los ajustes relacionados con la LI. En este modelo, el operador puede, en principio, desplegar su propia función de mediación de LI e integrarla con las funciones de red alojadas, siempre que el proveedor de alojamiento coopere en materia de conectividad y acceso a la red.
En un modelo compartido o multitenant, el operador comparte instancias de funciones de red central con otros clientes del proveedor de alojamiento. Este modelo resulta más rentable, pero supone una complejidad adicional para la LI, ya que la interceptación debe limitarse a los abonados de ese operador concreto sin afectar al tráfico de los demás clientes. El proveedor de alojamiento debe implementar una solución que tenga en cuenta a los clientes capacidades de interceptación que permite segregar el tráfico por operador.
En un modelo totalmente gestionado, el proveedor de alojamiento gestiona la red central en nombre del operador, encargándose de todas las tareas de configuración, mantenimiento y funcionamiento. El operador tiene un acceso directo limitado o nulo a las funciones de red. En este modelo, el operador debe confiar plenamente en el proveedor de alojamiento para implementar y ejecutar las capacidades de LI, lo que requiere acuerdos contractuales exhaustivos y soluciones técnicas validadas.
Requisitos contractuales
El contrato entre el operador y el proveedor de alojamiento de la red central es la herramienta principal para garantizar el cumplimiento de los requisitos de interceptación legal (LI) en un modelo externalizado. El contrato debe abordar explícitamente la interceptación legal, incluyendo la obligación del proveedor de alojamiento de dar soporte a la funcionalidad de LI dentro de la infraestructura alojada, las interfaces específicas de LI que deben implementarse y ser compatibles, los tiempos de respuesta para activar y desactivar las interceptaciones, los requisitos de seguridad y confidencialidad para el tratamiento de los datos interceptados, los derechos de auditoría y prueba del operador, el proceso para aplicar las actualizaciones normativas y los nuevos requisitos de interceptación legal, y la asignación de responsabilidades en caso de fallos en la interceptación legal.
Los operadores no deben aceptar formulaciones genéricas ni compromisos vagos en lo que respecta al soporte de LI. El contrato debe especificar los resultados técnicos y operativos concretos que debe proporcionar el proveedor de alojamiento, y debe incluir niveles de servicio cuantificables con sanciones significativas en caso de incumplimiento. El cumplimiento de LI es una obligación legal que puede acarrear consecuencias penales para el operador, y las condiciones contractuales deben reflejar esta gravedad.
Opciones de arquitectura técnica
Existen varias opciones de arquitectura técnica que pueden dar respuesta a la LI en un entorno de red central externalizada. La primera opción es el modelo de mediación gestionado por el operador, en el que el operador implementa su propio Plataforma de mediación LI y lo conecta a las funciones de red centrales alojadas a través de las interfaces LI estándar (X1/X2/X3 en 5G o interfaces propietarias equivalentes). Para ello, es necesario que las funciones de red alojadas expongan interfaces LI que la plataforma de mediación del operador pueda utilizar. El operador mantiene el control sobre gestión de órdenes de detención, la entrega de datos y las interfaces de traspaso a las fuerzas del orden.
La segunda opción es el modelo de LI gestionado por el proveedor de alojamiento, en el que este se encarga de implementar y operar la infraestructura de LI como parte del servicio de red central alojada. El proveedor de alojamiento se encarga de activar la interceptación, capturar los datos y entregarlos a las fuerzas del orden en nombre del operador. Este modelo simplifica los requisitos técnicos del operador, pero exige una gran confianza en el proveedor de alojamiento y acuerdos contractuales y de auditoría exhaustivos.
La tercera opción es un modelo híbrido, en el que el proveedor de alojamiento se encarga de determinadas funciones de LI (como la función de interceptación interna dentro de los elementos de red) y el operador gestiona otras (como la función de mediación y las interfaces de traspaso). Este modelo puede ofrecer un equilibrio práctico entre el control del operador y la capacidad del proveedor de alojamiento.
Consideraciones de seguridad
La seguridad de los datos interceptados en un entorno externalizado requiere una atención especial. Las comunicaciones interceptadas se encuentran entre los tipos de datos más sensibles de cualquier operación de telecomunicaciones, y su protección es tanto un requisito legal como una necesidad práctica. En un modelo externalizado, los datos interceptados pueden transitar por la infraestructura del proveedor de alojamiento, lo que genera puntos de exposición adicionales que deben protegerse.
El operador debe garantizar que los datos interceptados estén cifrados tanto en tránsito como en reposo dentro de la infraestructura del proveedor de alojamiento. El acceso a los sistemas y datos de LI debe controlarse estrictamente y limitarse al personal autorizado, con un registro de auditoría exhaustivo. El personal del proveedor de alojamiento debe estar sujeto a los requisitos adecuados de verificación de antecedentes y confidencialidad. La seguridad física del centro de datos que aloja la infraestructura de LI debe cumplir las normas exigidas por el marco regulador nacional.
El operador también debe tener en cuenta las implicaciones jurisdiccionales que conlleva el almacenamiento de datos interceptados en un centro de datos de terceros. Si el centro de datos se encuentra en un país distinto al mercado de origen del operador, pueden surgir cuestiones relacionadas con la soberanía de los datos, las transferencias transfronterizas de datos y la aplicabilidad de regímenes jurídicos extranjeros. Los operadores deben asegurarse de que la ubicación de la infraestructura de alojamiento sea compatible con sus obligaciones reglamentarias y de que se hayan establecido las garantías adecuadas en materia de protección de datos.
Pruebas y validación
Independientemente del modelo técnico elegido, el operador debe validar la capacidad de LI mediante pruebas de extremo a extremo. Estas pruebas deben abarcar todos los escenarios de interceptación exigidos por el marco nacional, incluyendo la interceptación de voz, SMS y datos utilizando diversos métodos de identificación de objetivos. Las pruebas deben verificar no solo que las interceptaciones puedan activarse y que los datos se transmitan, sino también que los tiempos de respuesta, la calidad de los datos y la seguridad cumplan con los estándares exigidos.
El proceso de ensayo debe contar con la participación de la autoridad técnica nacional o del LEMF cuando sea necesario, y debe llevarse a cabo en condiciones representativas del entorno de producción. Los operadores deben planificar varias iteraciones de ensayo y deben conservar la documentación de los mismos como prueba del cumplimiento.
Conclusión
La externalización de la red central no exime de la obligación de llevar a cabo la interceptación legal. Los operadores que utilicen servicios de red central alojados o gestionados deben abordar de forma proactiva el cumplimiento de los requisitos de interceptación legal mediante acuerdos contractuales exhaustivos, soluciones técnicas validadas y pruebas rigurosas. El enfoque concreto dependerá del modelo de alojamiento, de las capacidades técnicas del operador y de los requisitos del marco regulador nacional. Al considerar el cumplimiento de la interceptación legal como un requisito de máxima prioridad en la decisión de alojar la red central —y no como una cuestión secundaria—, los operadores pueden obtener las ventajas en términos de costes y eficiencia que ofrece la externalización, al tiempo que mantienen el pleno cumplimiento de sus obligaciones en materia de interceptación legal.
Aspectos a tener en cuenta en la selección de proveedores
A la hora de seleccionar un proveedor de alojamiento de red central, los operadores deben incluir la capacidad de LI como criterio clave de evaluación, junto con el rendimiento, la escalabilidad y el coste. Pregunte a los posibles proveedores de alojamiento cuáles son sus capacidades y experiencia actuales en materia de LI. ¿Ofrecen actualmente soporte de LI a otros operadores clientes? ¿Qué interfaces de LI exponen desde sus funciones de red? ¿Cuentan con integraciones validadas con proveedores de plataformas de mediación de LI? ¿Cuál es su historial en cuanto al cumplimiento de las actualizaciones normativas y los nuevos requisitos de LI? Un proveedor de alojamiento que no pueda demostrar una capacidad y una experiencia significativas en materia de LI representa un riesgo de cumplimiento normativo considerable, independientemente de lo atractiva que pueda ser su oferta comercial.
Los operadores también deben evaluar la disposición y la capacidad del proveedor de alojamiento para prestarles apoyo durante el proceso de pruebas y certificación de LI ante la autoridad técnica nacional. Este proceso suele requerir una estrecha colaboración entre el operador, el proveedor de alojamiento y, posiblemente, el proveedor de la plataforma de mediación de LI. Un proveedor de alojamiento que sea receptivo, tenga capacidad técnica y esté comprometido con el cumplimiento de la normativa LI será un socio mucho más valioso que uno que trate la LI como una cuestión secundaria. La elección del proveedor de alojamiento tiene implicaciones a largo plazo para la capacidad del operador de mantener el cumplimiento de la normativa LI a medida que evolucionan los requisitos reglamentarios, y este factor debe ponderarse en consecuencia en el proceso de selección.
La gestión de la interceptación legal (LI) con una red central externalizada requiere marcos contractuales claros y una verificación periódica del cumplimiento. El acuerdo de externalización de la red central debe incluir disposiciones explícitas sobre la interceptación legal.
Artículos relacionados
Si desea leer más sobre temas relacionados, consulte estos artículos:
- OMV vs. OMR: ¿Quién es legalmente responsable de la interceptación legal?
- La lista de control del OMV LI: Todo lo que necesita antes de lanzarse
- Cumplimiento de LI como servicio: ¿Qué acuerdos de nivel de servicio debe exigir realmente?
Recursos externos
Los siguientes recursos externos proporcionan contexto adicional y documentación oficial:
