Gli obblighi in materia di intercettazione legale nell’ambito dell’IoT si stanno espandendo rapidamente con la proliferazione dei dispositivi connessi sulle reti. L’Internet delle cose (IoT) sta trasformando settori che vanno dalla logistica e dall’agricoltura alla sanità e alle città intelligenti. Miliardi di dispositivi connessi comunicano ormai tramite reti cellulari e non cellulari, generando enormi quantità di dati machine-to-machine (M2M). Per gli operatori di telecomunicazioni — in particolare quelli che forniscono connettività LPWAN (Low Power Wide Area Network) e servizi M2M — questa crescita comporta non solo opportunità commerciali, ma anche obblighi normativi sempre più estesi, tra cui l’intercettazione legale.
L'applicazione degli obblighi di intercettazione legale alle comunicazioni IoT e M2M è un settore normativo in evoluzione, ma la direzione da seguire è chiara: con la crescita del traffico IoT e la sua crescente rilevanza per le indagini penali, le autorità di regolamentazione e le forze dell'ordine si aspettano sempre più che gli operatori siano in grado di intercettare tali comunicazioni. Il presente articolo esamina lo stato attuale degli obblighi di intercettazione legale a carico degli operatori IoT, le sfide tecniche che ne derivano e le misure che gli operatori dovrebbero adottare per prepararsi.
Perché l'intercettazione legale nell'ambito dell'IoT è importante
La questione se le comunicazioni IoT e M2M rientrino nell’ambito di applicazione degli obblighi di intercettazione legale è principalmente di natura giuridica e la risposta varia a seconda della giurisdizione. Nell’Unione europea, l’obbligo di consentire l’intercettazione legale si applica generalmente ai fornitori di servizi di comunicazione elettronica accessibili al pubblico. La classificazione della connettività IoT come servizio di comunicazioni elettroniche pubblico dipende dalla natura del servizio, dal rapporto con l’utente finale e dalla specifica attuazione nazionale del quadro normativo dell’UE.
In Germania, il TKÜV (Telekommunikations-Überwachungsverordnung) si applica a tutti i fornitori di servizi di telecomunicazione accessibili al pubblico, e la BNetzA ha indicato che gli operatori che forniscono servizi di connettività IoT potrebbero rientrare nel campo di applicazione a seconda della natura della loro offerta. Negli altri Stati membri dell’UE, la posizione è meno chiaramente definita, ma la tendenza generale è verso un’applicazione più ampia degli obblighi in materia di LI, man mano che i servizi IoT diventano più diffusi e le forze dell’ordine individuano nuovi casi d’uso per i dati IoT.
Anche laddove la normativa sia ambigua, gli operatori dovrebbero tenere conto della realtà pratica: se le forze dell’ordine presentano un ordine di intercettazione valido relativo a un dispositivo IoT presente sulla propria rete, ci si aspetta che l’operatore vi dia seguito. Un operatore che non sia in grado di dimostrare di disporre delle capacità necessarie per supportare l’intercettazione delle comunicazioni IoT va incontro a un rischio normativo, indipendentemente dal fatto che l’obbligo legale sia esplicitamente definito per i servizi IoT nella giurisdizione di riferimento.
Perché i dati dell'IoT sono importanti per le forze dell'ordine
I dispositivi IoT generano dati che possono essere di grande rilevanza per le indagini penali. I veicoli connessi generano dati di localizzazione, modelli di guida e registri delle comunicazioni. I dispositivi per la casa intelligente registrano dati ambientali, modelli di utilizzo e, in alcuni casi, audio o video. I dispositivi indossabili per la salute acquisiscono dati biometrici e modelli di movimento. I sensori IoT industriali possono rivelare attività operative, movimenti della catena di approvvigionamento e condizioni ambientali. Anche semplici dispositivi M2M, come i distributori automatici o i contatori delle utenze, generano dati di localizzazione e di utilizzo che possono risultare rilevanti in determinate indagini.
Man mano che le forze dell’ordine acquisiscono maggiore consapevolezza del potenziale investigativo dei dati dell’IoT, è sempre più probabile che richiedano agli operatori dell’IoT l’intercettazione o la divulgazione dei dati. Gli operatori che non sono in grado di rispondere a tali richieste vanno incontro non solo a conseguenze normative, ma anche al rischio di essere considerati poco collaborativi dalle autorità di polizia, il che può avere implicazioni più ampie per il rapporto dell’operatore con le autorità di regolamentazione.
Sfide tecniche dell'IoT LI
L’implementazione dell’intercettazione legale delle comunicazioni IoT e M2M presenta diverse sfide tecniche che differiscono in modo significativo dall’intercettazione tradizionale di voce e dati. La prima è la diversità dei protocolli di comunicazione. I dispositivi IoT comunicano utilizzando un'ampia gamma di protocolli — MQTT, CoAP, LwM2M, HTTP e protocolli proprietari — su varie tecnologie di rete, tra cui LTE-M, NB-IoT, LoRaWAN, Sigfox e satellite. Ogni protocollo e tecnologia di rete presenta caratteristiche diverse che influenzano le modalità di esecuzione dell'intercettazione.
La seconda sfida riguarda il volume e il modello delle comunicazioni. A differenza delle chiamate vocali o delle sessioni di navigazione web, le comunicazioni IoT sono in genere brevi, sporadiche e a bassa larghezza di banda. Un sensore può trasmettere pochi byte di dati ogni ora. Questo modello rende meno efficaci i tradizionali approcci di intercettazione basati sulle sessioni e richiede sistemi LI in grado di acquisire singole trasmissioni di dati piuttosto che sessioni continue.
La terza sfida è l’identificazione degli obiettivi. I dispositivi IoT possono essere identificati tramite IMSI, IMEI, indirizzo IP o identificatori specifici del dispositivo che non corrispondono alle identità tradizionali degli abbonati. La mappatura di questi identificatori a un obiettivo specifico — in particolare quando il dispositivo è di proprietà di un’organizzazione anziché di un individuo — può risultare complessa. Il sistema LI deve supportare una gamma più ampia di tipi di identificatori e deve essere in grado di associare tali identificatori a dispositivi specifici e a flussi di dati all’interno della rete.
La quarta sfida riguarda la crittografia e la sicurezza. Molti protocolli IoT implementano la crittografia a livello di applicazione, il che significa che l’operatore potrebbe essere in grado di intercettare il traffico crittografato ma non di accedere al contenuto. Le implementazioni DTLS e TLS utilizzate da CoAP e MQTT, ad esempio, possono crittografare il payload dell’applicazione in modo tale che l’operatore non sia in grado di decrittografarlo. Questa limitazione deve essere comunicata in modo trasparente alle forze dell’ordine quando si risponde alle richieste di intercettazione.
Una quinta sfida è rappresentata dalla portata stessa delle implementazioni IoT. Un operatore può avere milioni di dispositivi IoT sulla propria rete e il sistema LI deve essere in grado di identificare e intercettare in modo efficiente dispositivi specifici all’interno di questa vasta popolazione. I sistemi utilizzati per la gestione delle intercettazioni tradizionali basate sugli abbonati potrebbero non essere in grado di adattarsi efficacemente a popolazioni di dispositivi su scala IoT senza modifiche.
Considerazioni specifiche relative alle reti LPWAN
Le tecnologie LPWAN — tra cui NB-IoT, LTE-M, LoRaWAN e Sigfox — presentano caratteristiche specifiche che influenzano l’implementazione del LI. NB-IoT e LTE-M operano all’interno dell’ecosistema 3GPP e sono gestiti dalla rete cellulare centrale. In linea di principio, gli stessi meccanismi di LI applicabili ad altri servizi cellulari possono essere applicati al traffico NB-IoT e LTE-M. Tuttavia, la bassa larghezza di banda e la natura intermittente del traffico richiedono sistemi LI in grado di acquisire singole trasmissioni di dati anziché sessioni continue.
LoRaWAN e Sigfox operano al di fuori dell’ecosistema 3GPP e utilizzano architetture di rete proprietarie o basate su standard aperti. L’applicazione della LI a queste tecnologie è meno ben definita in termini di standard e gli operatori potrebbero dover sviluppare soluzioni di intercettazione personalizzate. L’architettura di rete di LoRaWAN, ad esempio, comprende gateway, server di rete e server applicativi, e potrebbe essere necessario collocare il punto di intercettazione a livello del server di rete per acquisire il traffico prima che venga inoltrato al livello applicativo.
IRI e CC per le comunicazioni IoT
Le strutture di dati IRI dell’ETSI, progettate principalmente per le comunicazioni voce e dati, potrebbero non cogliere appieno i metadati rilevanti per le comunicazioni IoT. I metadati specifici dell’IoT — quali il tipo di dispositivo, le letture dei sensori, la versione del firmware, i parametri operativi e l’appartenenza a gruppi di dispositivi — possono essere importanti per le indagini delle forze dell’ordine, ma non sono contemplati dalle definizioni standard dell’IRI. Gli operatori potrebbero dover ampliare le proprie capacità di generazione di IRI per includere elementi di dati specifici dell’IoT, eventualmente in coordinamento con l’autorità nazionale responsabile dell’LI.
Il CC per le comunicazioni IoT è in genere di volume molto inferiore rispetto a quello delle sessioni vocali o di dati, ma può presentare una maggiore varietà di formati. Il contenuto di una trasmissione IoT potrebbe essere un payload JSON, una lettura binaria da sensore, un messaggio Protocol Buffer o un formato dati proprietario. Il sistema LI deve essere in grado di acquisire e trasmettere tali contenuti in un formato che le forze dell’ordine possano elaborare e analizzare. In molti casi, l’approccio più pratico consisterà nel fornire il payload grezzo del protocollo insieme ai metadati IRI.
Prepararsi agli obblighi relativi all’IoT LI
Gli operatori che forniscono servizi IoT e M2M dovrebbero adottare misure proattive per prepararsi agli obblighi relativi alla LI, anche laddove i requisiti normativi non siano ancora stati definiti in modo completo. In primo luogo, è necessario valutare il quadro normativo in ciascun mercato in cui si opera, consultando un consulente legale e l’autorità nazionale di regolamentazione competente. In secondo luogo, valutate le vostre attuali capacità in materia di LI alla luce dei requisiti specifici relativi all’intercettazione IoT, individuando eventuali lacune nell’identificazione degli obiettivi, nell’acquisizione del traffico, nella generazione di IRI e nella consegna dei CC.
In terzo luogo, sviluppate una roadmap tecnica per potenziare le vostre capacità di LI a supporto dell’intercettazione dell’IoT. Tale roadmap dovrebbe affrontare l’integrazione degli elementi di rete IoT con la funzione di mediazione LI, l’estensione dell’identificazione dei bersagli per supportare gli identificatori dei dispositivi IoT e l’acquisizione di metadati e contenuti specifici dell’IoT. In quarto luogo, collaborate con il fornitore della vostra soluzione LI per comprendere la sua roadmap relativa al supporto LI per l’IoT e per influenzare le sue priorità di sviluppo in base alle vostre esigenze.
Infine, documentate il vostro approccio alla conformità alle norme IoT LI, indicando eventuali limitazioni delle vostre attuali capacità e le misure che state adottando per porvi rimedio. Tale documentazione sarà preziosa per dimostrare alle autorità di regolamentazione la vostra buona fede in materia di conformità, anche se le vostre capacità non sono ancora pienamente sviluppate.
Conclusione
La crescita dell’IoT e delle comunicazioni M2M sta creando nuovi obblighi di intercettazione legale per gli operatori, determinati sia dagli sviluppi normativi sia dalla crescente rilevanza investigativa dei dati IoT. Sebbene le sfide tecniche dell’intercettazione legale nell’ambito dell’IoT siano significative — e riguardino la diversità dei protocolli, i modelli di traffico, l’identificazione degli obiettivi, la crittografia e la portata — non sono insormontabili. Gli operatori che analizzeranno la propria esposizione normativa, valuteranno le proprie capacità tecniche e investiranno in soluzioni di intercettazione compatibili con l’IoT saranno ben posizionati per far fronte a questi obblighi emergenti e per mantenere la conformità man mano che l’ecosistema dell’IoT continua a crescere.
L’intersezione tra l’IoT e l’intercettazione legale solleva inoltre questioni più ampie riguardo alla portata della sorveglianza in un mondo sempre più connesso. Man mano che gli oggetti di uso quotidiano si connettono in rete e generano flussi di dati, il confine tra l’intercettazione delle comunicazioni e la raccolta di dati in senso più ampio diventa sempre meno netto. Gli operatori dovrebbero collaborare in modo proattivo con le autorità di regolamentazione e gli organismi di settore per contribuire a definire il quadro normativo emergente in materia di intercettazione legale nell’ambito dell’IoT, apportando competenze tecniche concrete per garantire che i requisiti che ne deriveranno siano sia efficaci ai fini dell’applicazione della legge sia attuabili da parte degli operatori.
L'ambito di applicazione degli obblighi relativi all'intercettazione legale nell'ambito dell'IoT varia a seconda della giurisdizione e del tipo di servizio. Gli operatori dovrebbero definire i propri requisiti in materia di intercettazione legale nell'ambito dell'IoT sin dalle prime fasi della pianificazione dell'implementazione.
Articoli correlati
Per ulteriori letture su argomenti correlati, esplorate questi articoli:
- Il network slicing nel 5G SA: come complica (e può semplificare) il targeting LI
- eSIM e intercettazione legale: Cosa significa l'architettura RSP per la conformità
- MVNO vs MNO: chi è legalmente responsabile delle intercettazioni legali?
Risorse esterne
Le seguenti risorse esterne forniscono ulteriore contesto e documentazione ufficiale:
