그리고 관리형 합법적 통신 감청 이 모델(흔히 ‘LI Compliance as a Service’로 마케팅됨)은 자체 감청 인프라를 구축하고 운영할 내부 자원, 전문 지식 또는 규모를 갖추지 못한 MVNO, 소규모 통신사 및 시장 신규 진입자들 사이에서 상당한 호응을 얻고 있습니다. 이 모델에 따라 전문 서비스 제공업체가 통신사를 대신해 LI 시스템을 구축, 운영 및 유지보수하며, 영장 처리부터 법 집행 기관에 대한 데이터 전달에 이르기까지 모든 과정을 담당합니다. 이 모델의 장점은 분명합니다. 자본 지출을 줄이고, 규정 준수까지 걸리는 시간을 단축하며, 사내 LI 팀을 구성할 필요 없이 전문 지식을 활용할 수 있다는 점입니다.
그러나 LI 운영을 아웃소싱한다고 해서 법적 책임까지 아웃소싱되는 것은 아닙니다. 통신 사업자는 도청 의무 준수에 대해 여전히 법적 책임을 지며, 관리형 서비스 제공업체의 어떠한 과실도 통신 사업자에게 직접적인 영향을 미칩니다. 이로 인해 통신 사업자와 관리형 LI 제공업체 간의 서비스 수준 협약(SLA)은 통신 사업자가 체결하는 가장 중요한 계약 중 하나가 됩니다. 그러나 많은 통신사들, 특히 LI 분야에 새로 진입한 통신사들은 자신들에게 무엇이 필요한지, 무엇을 요구해야 하는지, 그리고 진정한 위험이 어디에 있는지 충분히 이해하지 못한 채 일반적인 SLA를 그대로 수용하고 있습니다.
이 기사에서는 규제 대상인 유럽 시장에서 사업을 운영함에 있어 실제로 필요한 요건을 바탕으로, 사업자가 관리형 LI 서비스를 조달할 때 요구해야 할 SLA 조항에 대한 상세한 지침을 제공합니다.
Warrant Activation Time
The single most critical SLA metric for managed LI services is the warrant activation time — the elapsed time from the receipt of a valid interception order to the activation of the intercept and the commencement of data delivery to law enforcement. National rules usually require activation without undue delay rather than a fixed number of hours. Germany, for example, requires 24/7 telephone reachability and acceptance of orders outside business hours within six hours (§ 12 TKÜV). Turn these rules into measurable SLA targets.
SLA에는 표준 주문과 긴급 주문에 대한 최대 활성화 시간이 명시되어야 하며, 각 범주의 구성 요건에 대한 명확한 정의가 포함되어야 합니다. 즉각적인 활성화가 필요한 긴급 주문의 경우, SLA에는 일 단위가 아닌 시간 단위로 활성화가 이루어져야 한다고 명시해야 합니다. 또한 SLA에는 활성화 시간이 어떻게 측정되는지 정의해야 합니다. 즉, 관리형 서비스 제공업체가 주문을 수령한 시점부터, 주문이 검증된 시점부터, 아니면 네트워크에서 대상이 식별된 시점부터 측정하는지 명시해야 합니다. 각 정의에 따라 실제 활성화 시간이 달라지므로, 운영자는 규제 당국의 기대치에 부합하는 정의를 고수해야 합니다.
가동 시간 초과에 대한 위약금은 실질적인 효과가 있어야 합니다. 계약 금액에 비해 미미한 수준의 금전적 위약금은 공급자가 목표를 달성하도록 유도하는 데 거의 도움이 되지 않습니다. 사업자들은 의무의 중대성을 반영하는 위약 조건을 협상해야 하며, 극단적인 경우에는 가동 시간 목표가 지속적으로 미달될 경우 계약을 해지할 수 있는 권리도 포함되어야 합니다.
시스템 가용성 및 가동 시간
The LI system must be available continuously. Downtime beyond the short buffering window loses interception data, which can compromise law enforcement investigations and expose the operator to regulatory sanctions. The SLA should specify a minimum availability target that matches the availability of the network service being intercepted (in Germany § 6(2) TKÜV requires this as far as reasonably achievable), typically 99.9% or higher, and should define how availability is measured, including whether planned maintenance windows are excluded from the calculation.
SLA에는 또한 단일 사고에 대해 허용되는 최대 가동 중단 시간과 측정 기간 내의 최대 누적 가동 중단 시간에 대해서도 명시해야 합니다. 연간 가용성이 99.9%에 달하지만 단 한 번의 8시간 정전이 발생한 시스템은, 비록 총체적인 목표는 달성했더라도 운영자의 요구 사항을 충족하지 못할 수 있습니다. 운영자는 총체적인 가용성 목표와 사고별 가용성 목표를 모두 명시해야 합니다.
SLA에는 중복성 및 장애 전환 조항이 포함되어야 합니다. 관리형 서비스 제공업체는 자동 장애 전환 기능을 갖춘 중복 인프라를 운영해야 하며, SLA에는 다양한 장애 시나리오에 대한 복구 시간 목표(RTO) 및 복구 지점 목표(RPO)가 명시되어야 합니다. 운영자는 제공업체의 중복성 아키텍처가 단순한 수동 개입이 필요한 대기 시스템이 아닌, 실질적인 것임을 확인해야 합니다.
데이터의 완전성과 품질
SLA는 감청된 데이터의 완전성과 품질을 다루어야 합니다. 여기에는 IRI와 CC가 모두 포함됩니다. IRI의 완전성이란, 감청된 모든 통신에 대해 필요한 모든 메타데이터 이벤트가 생성되고, 필수 데이터 필드가 정확하게 채워지는 것을 의미합니다. CC의 완전성이란, 감청된 모든 통신의 내용이 누락, 단절 또는 손상 없이 캡처되어 전달되는 것을 의미합니다.
Measuring data completeness in a managed LI environment can be challenging, as the operator may not have direct visibility into the interception process. The SLA should therefore include provisions for regular quality audits, in which the operator or an independent third party verifies completeness and accuracy using test targets and test calls (never live measures) against reference test scenarios. The frequency and methodology of these audits should be specified in the SLA.
감사 과정에서 확인되거나 법 집행 기관에 의해 보고된 데이터 품질 문제는 명확히 정의된 시정 절차와 일정에 따라 처리되어야 합니다. SLA에는 관리형 서비스 제공업체가 데이터 품질 문제를 조사하고 해결하는 데 소요되는 최대 기간이 명시되어야 하며, 지속적이거나 심각한 품질 문제에 대한 상급 부서로 이관 절차도 포함되어야 합니다.
보안 및 기밀 유지
이 관리형 서비스 제공업체는 통신 사업자의 전체 사업 영역에서 가장 민감한 데이터 중 일부를 취급합니다. SLA에는 감청된 데이터의 보호, 진행 중인 감청 활동의 기밀성, 그리고 관리형 서비스 제공업체의 인력과 인프라의 보안을 포괄하는 포괄적인 보안 조항이 포함되어야 합니다.
Specific security requirements should include encryption of data at rest and in transit, role-based access control with multi-factor authentication, physical security of data centres and equipment, personnel vetting and security clearance requirements, and incident response procedures for security breaches. The SLA should require the managed service provider to comply with relevant security standards — such as ISO 27001 — and should include the right for the operator to conduct security audits or to require the provider to submit to independent security assessments. Check national location and logging rules too. In Germany the operator must ensure, and the contract must require, that the provider operates the LI control systems in Germany (§ 14 TKÜV), keeps complete activation logs that its operating staff cannot access (§ 16 TKÜV), and supports the operator’s quarterly audit reports to the BNetzA (§ 17 TKÜV).
LI 환경에서는 기밀 유지 조항이 특히 중요합니다. 관리형 서비스 제공업체는 해당 정보를 알 권한이 있는 당사자 이외의 누구에게도 감청 사실 자체를 공개해서는 안 됩니다. SLA에는 LI 시스템에 접근 권한이 있는 제공업체의 모든 직원에게 적용되는 구체적인 기밀 유지 의무가 포함되어야 하며, 기밀 유지 위반 시의 결과도 명시되어야 합니다.
규제 준수 및 보고
운영자의 규제상 의무는 관리형 서비스 제공자에게 이전되지 않습니다. SLA에는 다음 사항과 관련하여 각 당사자의 책임을 명확히 명시해야 합니다. 규정 준수, 또한 운영자가 보고 및 감사 의무를 이행할 수 있도록 보장하는 조항을 포함해야 합니다. 여기에는 관리형 서비스 제공자가 완전한 감사 추적을 유지하고, 운영자에게 정기적으로 규정 준수 보고서를 제공하며, 규제 당국의 검사나 감사 시 운영자를 지원해야 할 의무가 포함됩니다.
SLA에는 또한 제공자가 규제 변경 사항을 지속적으로 파악해야 할 의무에 대해서도 명시해야 합니다. 국가 차원의 LI 요건이 변화함에 따라 — 새로운 기술 사양, 업데이트된 절차 요건, 변경 사항 등 데이터 보존 의무 — 관리형 서비스 제공업체는 이에 따라 자사의 시스템과 프로세스를 업데이트해야 합니다. SLA에는 규제 변경 사항을 이행하기 위한 일정이 명시되어야 하며, 제공업체가 운영자에게 예정된 변경 사항과 그 영향에 대해 통지해야 한다는 조항이 포함되어야 합니다.
이행 및 종료 규정
One of the most overlooked aspects of managed LI SLAs is the exit strategy. Operators should consider what happens when the contract ends — whether by expiration, termination, or transition to a different provider. The SLA should include detailed transition provisions covering the transfer of active measures to a new system, the handover of audit and protocol records that are still within their legal retention period, confirmed deletion of everything else (intercepted content is not retained and therefore not part of an exit), the timeline for the transition, and the managed service provider’s obligation to continue operating during the transition period.
Lock-in risk is a legitimate concern with managed LI services. Operators should evaluate the portability of their LI data and configurations, and should negotiate SLA provisions that minimise lock-in. This includes the right to access and export configuration data and records still within their retention period in standard formats, the availability of documentation and configuration information needed for transition, and reasonable notice periods and transition timelines.
사고 관리 및 에스컬레이션
The SLA must define clear incident management and escalation procedures. Different incident types — system outages, data quality issues, security incidents, missed activation targets — should have defined severity levels, response times, and escalation paths. The escalation procedures should include named contacts at both the operator and the managed service provider, with defined communication channels and response obligations for each severity level. The SLA must also cover statutory notifications: who informs the agencies of faults and interruptions without delay, with cause, impact and expected duration (in Germany § 13 TKÜV), and who confirms each activation and deactivation time to them.
SLA에는 정기적인 서비스 검토 회의를 의무화해야 하며, 이를 통해 SLA 목표 대비 성과에 대해 논의하고, 사고 및 그 해결 과정을 검토하며, 향후 변경 사항이나 개선 계획을 수립할 수 있는 장을 마련해야 합니다. 이러한 회의는 최소한 매월 한 번씩 개최되어야 하며, 중대한 사고나 성과 편차가 발생할 경우 추가 검토를 실시해야 합니다.
결론
LI Compliance as a Service는 자체 감청 인프라를 구축하고 운영할 자원이나 전문 지식이 부족한 사업자에게 매력적인 이점을 제공합니다. 그러나 관리형 서비스 모델의 성공 여부는 전적으로 SLA의 품질과 완성도에 달려 있습니다. 통신 사업자는 영장 발효 시간, 시스템 가용성, 데이터 완전성, 보안, 규제 준수, 전환 조항 및 사고 관리 등을 다루는 SLA를 요구해야 하며, 여기에는 측정 가능한 목표, 실질적인 위약금, 명확한 책임 소재가 포함되어야 합니다. 잘 협상된 SLA는 통신 사업자를 보호하고, 규정 준수를 보장하며, 관리형 서비스 제공업체와의 생산적이고 지속 가능한 파트너십을 위한 기반을 마련해 줍니다.
LI 규정 준수 서비스(As a Service)를 평가할 때는 표면적인 가격만 보고 판단하지 마십시오. 포괄적인 LI 규정 준수 서비스 계약은 귀사의 규제 의무와 관련된 모든 측면을 다루어야 합니다.
관련 기사
관련 주제에 대한 자세한 내용은 다음 문서를 참조하세요:
- 인하우스 LI와 매니지드 LI 운영: MVNO를 위한 의사 결정 프레임워크
- 합법적 감청 관리 시스템(LIMS)에서 살펴봐야 할 사항
- LI 중재 플랫폼을 평가하는 방법: 공급업체에 물어봐야 할 7가지 질문
외부 리소스
다음 외부 리소스에서 추가 컨텍스트와 공식 문서를 확인할 수 있습니다:
