LI Lorsque votre réseau central est externalisé ou hébergé

L'externalisation de l'infrastructure réseau centrale est devenue une stratégie de plus en plus courante pour les MVNO et les petits opérateurs qui cherchent à réduire leurs dépenses d'investissement et à accélérer la mise sur le marché. Les réseaux centraux hébergés dans le cloud, les offres « Network-as-a-Service » (NaaS) et les services gérés de réseau central permettent aux opérateurs de se lancer et de se développer sans avoir à réaliser les investissements considérables nécessaires à la mise en place et à l’exploitation de leur propre infrastructure centrale. Cependant, ce modèle architectural pose des défis spécifiques en matière d’interception légale que les opérateurs doivent relever pour maintenir conformité réglementaire.

Lorsque le réseau central est externalisé, la capacité technique d'intercepter les communications revient au fournisseur d'infrastructure plutôt qu'à l'opérateur soumis à cette obligation réglementaire. Cet article examine les défis que cela soulève, les modèles permettant d'y faire face, ainsi que les mesures concrètes que les opérateurs doivent prendre pour garantir leur conformité lorsque leur réseau central est hébergé ou géré par un tiers.

LI avec un réseau central externalisé

Le principal défi posé par l’externalisation des réseaux centraux pour la surveillance des communications réside dans la séparation entre l’obligation légale et la capacité technique. L'opérateur — en tant que fournisseur enregistré de services de communications électroniques publics — est soumis à l'obligation légale d'interception légale. Cependant, les points d'interception, les fonctions réseau qui traitent les communications des abonnés et l'infrastructure nécessaire pour capturer et transmettre les données interceptées sont gérés par un tiers.

Cette distinction est plus marquée que dans la relation traditionnelle entre MVNO et MNO, où ce dernier reconnaît au moins qu’il exploite un réseau de télécommunications assorti d’obligations réglementaires inhérentes. Les fournisseurs d’hébergement de réseaux centraux peuvent provenir du secteur des infrastructures informatiques ou du cloud computing et ne pas avoir une connaissance approfondie des exigences réglementaires en matière de télécommunications, notamment en ce qui concerne l’interception légale. L’opérateur ne peut pas partir du principe que le fournisseur d’hébergement a pris en compte l’interception légale dans la conception de son infrastructure ou dans ses processus opérationnels.

La position réglementaire est claire sur l'ensemble des marchés européens : l'externalisation de l'infrastructure n'entraîne pas l'externalisation de la responsabilité réglementaire. L'opérateur reste entièrement responsable de Conformité LI, quel que soit le mode de déploiement de son réseau ou l'identité de l'opérateur chargé de l'infrastructure sous-jacente. Les autorités de régulation ne considéreront pas la dépendance de l'opérateur vis-à-vis d'un prestataire tiers comme une excuse valable pour justifier un manquement à la conformité.

Modèles d'hébergement du réseau central et implications pour la LI

Les implications pour le LI dépendent du modèle d’hébergement spécifique. Dans un modèle d’hébergement dédié, l’opérateur dispose de sa propre instance des fonctions du réseau central, fonctionnant sur l’infrastructure du fournisseur d’hébergement. L'opérateur peut disposer d'un accès administratif pour configurer les fonctions réseau, y compris les paramètres liés à la LI. Dans ce modèle, l'opérateur peut potentiellement déployer sa propre fonction de médiation LI et l'interfacer avec les fonctions réseau hébergées, sous réserve de la coopération du fournisseur d'hébergement en matière de connectivité et d'accès au réseau.

Dans un modèle partagé ou multi-locataires, l’opérateur partage des instances de fonctions du réseau central avec d’autres locataires du fournisseur d’hébergement. Ce modèle est plus économique, mais il complique davantage la mise en œuvre de l’interception légale (LI), car celle-ci doit être isolée aux abonnés de l’opérateur concerné sans affecter le trafic des autres locataires. Le fournisseur d’hébergement doit mettre en œuvre une solution tenant compte des locataires capacités d'interception qui permet de séparer le trafic par opérateur.

Dans un modèle entièrement géré, le fournisseur d'hébergement exploite le réseau central pour le compte de l'opérateur, en prenant en charge l'ensemble des tâches de configuration, de maintenance et d'exploitation. L'opérateur dispose d'un accès direct limité, voire inexistant, aux fonctions du réseau. Dans ce modèle, l'opérateur doit s'en remettre entièrement au fournisseur d'hébergement pour la mise en œuvre et l'exécution des capacités LI, ce qui nécessite des dispositions contractuelles exhaustives et des solutions techniques validées.

Exigences contractuelles

Le contrat entre l’opérateur et le fournisseur d’hébergement du réseau central constitue le principal outil permettant de garantir la conformité aux exigences en matière d’interception légale dans un modèle d’externalisation. Ce contrat doit aborder explicitement la question de l’interception légale, en précisant l’obligation du fournisseur d’hébergement de prendre en charge les fonctionnalités d’interception légale au sein de l’infrastructure hébergée, les interfaces spécifiques d’interception légale qui doivent être mises en œuvre et prises en charge, les délais de réponse pour l'activation et la désactivation des interceptions, les exigences de sécurité et de confidentialité relatives au traitement des données interceptées, les droits d'audit et de test de l'opérateur, le processus de mise en œuvre des mises à jour réglementaires et des nouvelles exigences en matière d'interception légale, ainsi que la répartition des responsabilités en cas de défaillance de l'interception légale.

Les opérateurs ne doivent pas se contenter de formulations génériques ou d’engagements vagues concernant la prise en charge de la LI. Le contrat doit préciser les prestations techniques et opérationnelles concrètes que le fournisseur d’hébergement est tenu de fournir, et doit inclure des niveaux de service mesurables assortis de pénalités significatives en cas de non-respect. La conformité à la LI est une obligation légale pouvant entraîner des conséquences pénales pour l’opérateur, et les dispositions contractuelles doivent refléter cette gravité.

Options d'architecture technique

Plusieurs options d'architecture technique permettent de traiter le LI dans un environnement de réseau central externalisé. La première option est le modèle de médiation géré par l'opérateur, dans lequel ce dernier déploie son propre Plateforme de médiation LI et le relie aux fonctions réseau centrales hébergées via les interfaces LI standard (X1/X2/X3 en 5G ou des interfaces propriétaires équivalentes). Cela nécessite que les fonctions réseau hébergées exposent des interfaces LI que la plateforme de médiation de l'opérateur puisse exploiter. L'opérateur conserve le contrôle sur gestion des mandats, la transmission des données et les interfaces de transfert vers les services de police.

La deuxième option est le modèle LI géré par le fournisseur d'hébergement, dans lequel ce dernier déploie et exploite l'infrastructure LI dans le cadre du service de réseau central hébergé. Le fournisseur d’hébergement se charge, pour le compte de l’opérateur, de l’activation de l’interception, de la collecte des données et de leur transmission aux forces de l’ordre. Ce modèle simplifie les exigences techniques de l’opérateur, mais nécessite une grande confiance envers le fournisseur d’hébergement ainsi que des dispositions contractuelles et d’audit exhaustives.

La troisième option est un modèle hybride, dans lequel certaines fonctions LI sont assurées par le fournisseur d'hébergement (telles que la fonction d'interception interne au sein des éléments du réseau) et d'autres sont gérées par l'opérateur (telles que la fonction de médiation et les interfaces de transfert). Ce modèle permet de trouver un juste équilibre entre le contrôle de l'opérateur et les capacités du fournisseur d'hébergement.

Considérations relatives à la sécurité

La sécurité des données interceptées dans un environnement externalisé nécessite une attention particulière. Les communications interceptées comptent parmi les types de données les plus sensibles dans toute opération de télécommunications, et leur protection est à la fois une obligation légale et une nécessité pratique. Dans un modèle externalisé, les données interceptées peuvent transiter par l'infrastructure du fournisseur d'hébergement, ce qui crée des points de vulnérabilité supplémentaires qu'il convient de sécuriser.

L'opérateur doit s'assurer que les données interceptées sont chiffrées tant en transit qu'au repos au sein de l'infrastructure du fournisseur d'hébergement. L’accès aux systèmes et aux données LI doit être strictement contrôlé et limité au personnel autorisé, et faire l’objet d’une journalisation complète des audits. Le personnel du fournisseur d’hébergement doit être soumis à des contrôles d’habilitation et à des obligations de confidentialité appropriés. La sécurité physique du centre de données hébergeant l’infrastructure LI doit répondre aux normes requises par le cadre réglementaire national.

L'opérateur doit également tenir compte des implications juridictionnelles liées à l'hébergement des données interceptées dans un centre de données tiers. Si ce centre de données est situé dans un pays différent de celui où l'opérateur exerce ses activités, des questions peuvent se poser concernant la souveraineté des données, les transferts transfrontaliers de données et l'applicabilité de régimes juridiques étrangers. Les opérateurs doivent s’assurer que l’emplacement de l’infrastructure d’hébergement est compatible avec leurs obligations réglementaires et que des mesures de protection des données appropriées sont en place.

Tests et validation

Quel que soit le modèle technique retenu, l’opérateur doit valider la capacité d’interception (LI) au moyen de tests de bout en bout. Ces tests doivent couvrir tous les scénarios d’interception requis par le cadre national, y compris l’interception des communications vocales, des SMS et des données, en utilisant diverses méthodes d’identification des cibles. Ces tests doivent vérifier non seulement que les interceptions peuvent être activées et que les données sont transmises, mais aussi que les temps de réponse, la qualité des données et la sécurité répondent aux normes requises.

Le processus de test doit associer l'autorité technique nationale ou le LEMF lorsque cela est nécessaire, et doit être mené dans des conditions représentatives de l'environnement de production. Les opérateurs doivent prévoir plusieurs itérations de test et conserver la documentation relative à ces tests comme preuve de conformité.

Conclusion

L'externalisation du réseau central ne dispense pas de l’obligation d’interception légale. Les opérateurs recourant à des services de réseau central hébergés ou gérés doivent s’assurer de manière proactive de leur conformité en matière d’interception légale par le biais d’accords contractuels complets, de solutions techniques validées et de tests rigoureux. L’approche spécifique dépendra du modèle d’hébergement, des capacités techniques de l’opérateur et des exigences du cadre réglementaire national. En considérant la conformité aux obligations d’interception légale comme une exigence de premier ordre dans la décision d’hébergement du réseau central — et non comme une considération secondaire —, les opérateurs peuvent bénéficier des avantages en termes de coûts et d’efficacité liés à l’externalisation tout en respectant pleinement leurs obligations en matière d’interception légale.

Critères de sélection des fournisseurs

Lors du choix d’un fournisseur d’hébergement de réseau central, les opérateurs doivent considérer la capacité LI comme un critère d’évaluation clé, au même titre que les performances, l’évolutivité et le coût. Renseignez-vous auprès des fournisseurs d’hébergement potentiels sur leurs capacités LI existantes et leur expérience en la matière. Prise-t-ils actuellement en charge la LI pour d’autres opérateurs clients ? Quelles interfaces LI exposent-ils à partir de leurs fonctions réseau ? Disposent-ils d’intégrations validées avec des fournisseurs de plateformes de médiation LI ? Quel est leur historique en matière de prise en charge des mises à jour réglementaires et des nouvelles exigences LI ? Un hébergeur incapable de démontrer des capacités et une expérience significatives en matière de LI représente un risque de conformité important, quelle que soit l’attractivité de son offre commerciale.

Les opérateurs doivent également évaluer la volonté et la capacité du fournisseur d’hébergement à les accompagner tout au long du processus de test et de certification de la LI auprès de l’autorité technique nationale. Ce processus nécessite généralement une collaboration étroite entre l’opérateur, le fournisseur d’hébergement et, éventuellement, le fournisseur de la plateforme de médiation LI. Un hébergeur réactif, doté des compétences techniques nécessaires et déterminé à soutenir la mise en conformité avec les exigences LI constituera un partenaire bien plus précieux qu’un hébergeur qui considère ces exigences comme une préoccupation secondaire. Le choix de l’hébergeur a des implications à long terme sur la capacité de l’opérateur à maintenir la conformité aux exigences LI à mesure que la réglementation évolue, et ce facteur doit être pris en compte de manière appropriée dans le processus de sélection.

La gestion de l'interception légale (LI) dans le cadre d'un réseau central externalisé nécessite des cadres contractuels clairs et des vérifications régulières de la conformité. L'accord relatif au réseau central externalisé doit comporter des dispositions explicites concernant l'interception légale.

Articles connexes

Pour en savoir plus sur des sujets connexes, consultez les articles suivants :

Ressources externes

Les ressources externes suivantes fournissent un contexte supplémentaire et une documentation officielle :

Normes d'interception légale de l'ETSI