L'esternalizzazione dell'infrastruttura di rete centrale è diventata una strategia sempre più diffusa tra gli MVNO e gli operatori di minori dimensioni che cercano di ridurre le spese in conto capitale e accelerare il time-to-market. Le reti centrali ospitate nel cloud, le offerte Network-as-a-Service (NaaS) e i servizi gestiti per le reti centrali consentono agli operatori di avviare e scalare le proprie attività senza dover sostenere gli ingenti investimenti necessari per costruire e gestire una propria infrastruttura centrale. Tuttavia, questo modello architettonico pone sfide specifiche in materia di intercettazione legale che gli operatori devono affrontare per garantire conformità normativa.
Quando la rete centrale viene esternalizzata, la capacità tecnica di intercettare le comunicazioni spetta al fornitore dell’infrastruttura piuttosto che all’operatore a cui spetta l’obbligo normativo. Il presente articolo esamina le sfide che ciò comporta, i modelli per affrontarle e le misure concrete che gli operatori dovrebbero adottare per garantire la conformità quando la loro rete centrale è ospitata o gestita da una terza parte.
LI con una rete centrale in outsourcing
La sfida fondamentale delle reti centrali esternalizzate per LI è la separazione tra l’obbligo giuridico e la capacità tecnica. L’operatore — in qualità di fornitore registrato di servizi di comunicazioni elettroniche pubbliche — è soggetto all’obbligo giuridico di intercettazione legale. Tuttavia, i punti di intercettazione, le funzioni di rete che elaborano le comunicazioni degli abbonati e l’infrastruttura necessaria per acquisire e trasmettere i dati intercettati sono gestiti da una terza parte.
Questa separazione è più marcata rispetto al tradizionale rapporto MVNO-MNO, in cui l’MNO riconosce almeno di gestire una rete di telecomunicazioni con obblighi normativi intrinseci. I fornitori di servizi di hosting della rete centrale possono provenire dal settore delle infrastrutture IT o del cloud computing e potrebbero non avere una profonda familiarità con i requisiti normativi in materia di telecomunicazioni, compresa l’intercettazione legale. L’operatore non può dare per scontato che il fornitore di hosting abbia tenuto conto dell’intercettazione legale nella progettazione della propria infrastruttura o nei propri processi operativi.
La posizione normativa è chiara in tutti i mercati europei: l’esternalizzazione delle infrastrutture non comporta l’esternalizzazione della responsabilità normativa. L’operatore rimane pienamente responsabile per Conformità alle norme LI, indipendentemente dalle modalità di implementazione della rete o dall’identità del gestore dell’infrastruttura sottostante. Le autorità di regolamentazione non accetteranno la dipendenza dell’operatore da un fornitore terzo come giustificazione per la mancata conformità.
Modelli di hosting della rete centrale e implicazioni per LI
Le implicazioni per il LI dipendono dallo specifico modello di hosting. In un modello di hosting dedicato, l’operatore dispone di una propria istanza delle funzioni di rete centrali, in esecuzione sull’infrastruttura del fornitore di hosting. L’operatore può disporre di accesso amministrativo per configurare le funzioni di rete, comprese le impostazioni relative al LI. In questo modello, l’operatore può potenzialmente implementare la propria funzione di mediazione LI e interfacciarla con le funzioni di rete ospitate, previa collaborazione del fornitore di hosting in materia di connettività e accesso alla rete.
In un modello condiviso o multi-tenant, l’operatore condivide le istanze delle funzioni di rete centrale con altri tenant del fornitore di hosting. Questo modello è più conveniente dal punto di vista economico, ma comporta una maggiore complessità per il LI, poiché l’intercettazione deve essere isolata agli abbonati dello specifico operatore senza influire sul traffico degli altri tenant. Il fornitore di hosting deve implementare una soluzione che tenga conto dei tenant capacità di intercettazione in grado di separare il traffico in base all'operatore.
In un modello completamente gestito, il fornitore di hosting gestisce la rete centrale per conto dell’operatore, occupandosi di tutte le attività di configurazione, manutenzione e gestione operativa. L’operatore ha un accesso diretto limitato o nullo alle funzioni di rete. In questo modello, l’operatore deve affidarsi interamente al fornitore di hosting per l’implementazione e l’esecuzione delle funzionalità LI, il che richiede accordi contrattuali completi e soluzioni tecniche validate.
Requisiti contrattuali
Il contratto tra l’operatore e il fornitore di servizi di hosting della rete centrale costituisce lo strumento principale per garantire la conformità alle norme sull’intercettazione legale (LI) in un modello di esternalizzazione. Il contratto dovrebbe trattare esplicitamente la questione dell’intercettazione legale, specificando l’obbligo del fornitore di servizi di hosting di supportare le funzionalità di LI all’interno dell’infrastruttura ospitata, le specifiche interfacce LI che devono essere implementate e supportate, i tempi di risposta per l’attivazione e la disattivazione delle intercettazioni, i requisiti di sicurezza e riservatezza per il trattamento dei dati intercettati, i diritti di verifica e collaudo dell’operatore, la procedura per l’implementazione degli aggiornamenti normativi e dei nuovi requisiti relativi alle intercettazioni legali, nonché l’attribuzione delle responsabilità in caso di malfunzionamenti delle intercettazioni legali.
Gli operatori non dovrebbero accettare formulazioni generiche o impegni vaghi in merito al supporto LI. Il contratto dovrebbe specificare i risultati tecnici e operativi concreti che il fornitore di hosting è tenuto a garantire e dovrebbe includere livelli di servizio misurabili, con sanzioni significative in caso di inadempienza. La conformità alle norme LI costituisce un obbligo legale che comporta potenziali conseguenze penali per l’operatore, e gli accordi contrattuali devono riflettere tale gravità.
Opzioni di architettura tecnica
Esistono diverse opzioni di architettura tecnica in grado di gestire la LI in un ambiente di rete centrale in outsourcing. La prima opzione è il modello di mediazione gestito dall’operatore, in cui l’operatore implementa il proprio Piattaforma di mediazione LI e lo collega alle funzioni di rete centrali ospitate tramite le interfacce LI standard (X1/X2/X3 nel 5G o interfacce proprietarie equivalenti). Ciò richiede che le funzioni di rete ospitate espongano interfacce LI che la piattaforma di mediazione dell’operatore possa utilizzare. L’operatore mantiene il controllo su gestione dei mandati, la trasmissione dei dati e le interfacce di trasferimento alle forze dell'ordine.
La seconda opzione è il modello LI gestito dal provider di hosting, in cui quest’ultimo implementa e gestisce l’infrastruttura LI come parte del servizio di rete centrale ospitato. Il fornitore di hosting gestisce l’attivazione dell’intercettazione, l’acquisizione dei dati e la loro consegna alle forze dell’ordine per conto dell’operatore. Questo modello semplifica i requisiti tecnici dell’operatore, ma richiede una notevole fiducia nel fornitore di hosting e accordi contrattuali e di audit esaustivi.
La terza opzione è un modello ibrido, in cui alcune funzioni LI sono fornite dal provider di hosting (come la funzione di intercettazione interna all’interno degli elementi di rete) e altre sono gestite dall’operatore (come la funzione di mediazione e le interfacce di handover). Questo modello può garantire un equilibrio pratico tra il controllo dell’operatore e le capacità del provider di hosting.
Considerazioni sulla sicurezza
La sicurezza dei dati intercettati in un ambiente in outsourcing richiede particolare attenzione. Le comunicazioni intercettate rientrano tra le categorie di dati più sensibili in qualsiasi attività di telecomunicazione e la loro protezione costituisce sia un requisito legale che una necessità pratica. In un modello in outsourcing, i dati intercettati possono transitare attraverso l’infrastruttura del fornitore di servizi di hosting, creando ulteriori punti di esposizione che devono essere protetti.
L’operatore deve garantire che i dati intercettati siano crittografati sia durante il trasferimento che in fase di archiviazione all’interno dell’infrastruttura del provider di hosting. L’accesso ai sistemi e ai dati LI deve essere rigorosamente controllato e limitato al personale autorizzato, con una registrazione completa delle attività di audit. Il personale del fornitore di servizi di hosting deve essere soggetto ad adeguati controlli di sicurezza e a requisiti di riservatezza. La sicurezza fisica del centro dati che ospita l’infrastruttura LI deve soddisfare gli standard previsti dal quadro normativo nazionale.
L’operatore dovrebbe inoltre considerare le implicazioni giurisdizionali derivanti dall’hosting dei dati intercettati in un data center di terzi. Se il data center è situato in un paese diverso da quello di origine dell’operatore, potrebbero sorgere questioni relative alla sovranità dei dati, ai trasferimenti transfrontalieri di dati e all’applicabilità di regimi giuridici stranieri. Gli operatori dovrebbero assicurarsi che l’ubicazione dell’infrastruttura di hosting sia compatibile con i propri obblighi normativi e che siano in atto adeguate misure di protezione dei dati.
Test e convalida
Indipendentemente dal modello tecnico scelto, l’operatore deve verificare la funzionalità LI attraverso test end-to-end. Tali test dovrebbero coprire tutti gli scenari di intercettazione previsti dal quadro normativo nazionale, comprese le intercettazioni di voce, SMS e dati utilizzando vari metodi di identificazione degli obiettivi. I test devono verificare non solo che le intercettazioni possano essere attivate e che i dati vengano trasmessi, ma anche che i tempi di risposta, la qualità dei dati e la sicurezza soddisfino gli standard richiesti.
Il processo di collaudo dovrebbe coinvolgere l’autorità tecnica nazionale o il LEMF, ove richiesto, e dovrebbe essere condotto in condizioni rappresentative dell’ambiente di produzione. Gli operatori dovrebbero prevedere più iterazioni di collaudo e conservare la documentazione relativa alle prove come prova di conformità.
Conclusione
L’esternalizzazione della rete centrale non esonera dall’obbligo di intercettazione legale. Gli operatori che utilizzano servizi di rete centrale ospitati o gestiti devono garantire in modo proattivo la conformità alle norme sull’intercettazione legale (LI) attraverso accordi contrattuali completi, soluzioni tecniche validate e test rigorosi. L’approccio specifico dipenderà dal modello di hosting, dalle capacità tecniche dell’operatore e dai requisiti del quadro normativo nazionale. Considerando la conformità alle norme sull’intercettazione legale come un requisito di primaria importanza nella decisione relativa all’hosting della rete centrale — e non come un aspetto secondario — gli operatori possono ottenere i vantaggi in termini di costi ed efficienza derivanti dall’esternalizzazione, mantenendo al contempo la piena conformità ai propri obblighi in materia di intercettazione legale.
Aspetti da considerare nella selezione dei fornitori
Nella scelta di un fornitore di servizi di hosting per la rete centrale, gli operatori dovrebbero considerare la capacità LI come un criterio di valutazione fondamentale, insieme a prestazioni, scalabilità e costi. È opportuno chiedere ai potenziali fornitori di hosting quali siano le loro attuali capacità e la loro esperienza in materia di LI. Supportano attualmente la LI per altri operatori clienti? Quali interfacce LI rendono disponibili dalle loro funzioni di rete? Dispongono di integrazioni validate con i fornitori di piattaforme di mediazione LI? Qual è il loro track record nel supportare gli aggiornamenti normativi e i nuovi requisiti LI? Un fornitore di hosting che non sia in grado di dimostrare capacità ed esperienza significative in materia di LI rappresenta un rischio di conformità significativo, indipendentemente da quanto possa essere allettante la sua offerta commerciale.
Gli operatori dovrebbero inoltre valutare la disponibilità e la capacità del fornitore di hosting di supportarli durante il processo di collaudo e certificazione della LI presso l’autorità tecnica nazionale. Questo processo richiede in genere una stretta collaborazione tra l’operatore, il fornitore di hosting e, potenzialmente, il fornitore della piattaforma di mediazione LI. Un fornitore di hosting reattivo, tecnicamente competente e impegnato a garantire la conformità LI sarà un partner di gran lunga più prezioso rispetto a uno che considera la LI una questione secondaria. La scelta del fornitore di hosting ha implicazioni a lungo termine sulla capacità dell’operatore di mantenere la conformità LI man mano che i requisiti normativi evolvono, e questo fattore dovrebbe essere valutato di conseguenza nel processo di selezione.
La gestione della LI con una rete centrale esternalizzata richiede quadri contrattuali chiari e verifiche periodiche della conformità. L’accordo relativo alla rete centrale esternalizzata deve includere disposizioni esplicite in materia di intercettazione legale.
Articoli correlati
Per ulteriori letture su argomenti correlati, esplorate questi articoli:
- MVNO vs MNO: chi è legalmente responsabile delle intercettazioni legali?
- La lista di controllo MVNO LI: Tutto ciò che serve prima di andare in onda
- Conformità LI come servizio: Quali SLA richiedere?
Risorse esterne
Le seguenti risorse esterne forniscono ulteriore contesto e documentazione ufficiale:
