As obrigações em matéria de interceção legal no âmbito da IoT estão a expandir-se rapidamente, à medida que os dispositivos conectados proliferam nas redes. A Internet das Coisas (IoT) está a transformar setores que vão desde a logística e a agricultura até aos cuidados de saúde e às cidades inteligentes. Milhares de milhões de dispositivos conectados comunicam agora através de redes móveis e não móveis, gerando vastas quantidades de dados máquina a máquina (M2M). Para os operadores de telecomunicações — em particular aqueles que fornecem conectividade de Rede de Área Alargada de Baixa Potência (LPWAN) e serviços M2M — este crescimento traz não só oportunidades comerciais, mas também obrigações regulamentares cada vez maiores, incluindo a interceção legal.
A aplicação das obrigações de interceção legal às comunicações da IoT e M2M é uma área de regulamentação em desenvolvimento, mas a tendência é clara: à medida que o tráfego da IoT cresce e se torna mais relevante para as investigações criminais, as entidades reguladoras e as autoridades responsáveis pela aplicação da lei esperam, cada vez mais, que as operadoras sejam capazes de interceptar essas comunicações. Este artigo analisa a situação atual das obrigações de interceção legal para os operadores de IoT, os desafios técnicos envolvidos e as medidas que os operadores devem tomar para se prepararem.
Por que razão a interceção legal na Internet das Coisas (IoT) é importante
A questão de saber se as comunicações IoT e M2M se enquadram no âmbito das obrigações de interceção legal é, acima de tudo, de natureza jurídica, e a resposta varia consoante a jurisdição. Na União Europeia, a obrigação de apoiar a interceção legal aplica-se, em geral, aos prestadores de serviços de comunicações eletrónicas disponíveis ao público. A classificação da conectividade da IoT como um serviço público de comunicações eletrónicas depende da natureza do serviço, da relação com o utilizador final e da implementação nacional específica do quadro regulamentar da UE.
Na Alemanha, o TKÜV (Telekommunikations-Überwachungsverordnung) aplica-se a todos os prestadores de serviços de telecomunicações acessíveis ao público, e a BNetzA indicou que os operadores que prestam serviços de conectividade para a IoT podem estar abrangidos pelo âmbito de aplicação, dependendo da natureza da sua oferta. Noutros Estados-Membros da UE, a posição não está definida de forma tão explícita, mas a tendência geral aponta para uma aplicação mais ampla das obrigações em matéria de LI, à medida que os serviços de IoT se tornam mais comuns e que as autoridades responsáveis pela aplicação da lei identificam novos casos de utilização dos dados da IoT.
Mesmo nos casos em que a situação regulamentar seja ambígua, os operadores devem ter em conta a realidade prática: se as autoridades responsáveis pela aplicação da lei apresentarem uma ordem de interceção válida relativa a um dispositivo IoT na sua rede, espera-se que a cumpra. Um operador que não consiga demonstrar qualquer capacidade para apoiar a interceção de comunicações IoT enfrenta um risco regulamentar, independentemente de a obrigação legal estar explicitamente definida para os serviços de IoT na jurisdição em questão.
Por que razão os dados da IoT são importantes para as forças policiais
Os dispositivos IoT geram dados que podem ser extremamente relevantes para investigações criminais. Os veículos conectados geram dados de localização, padrões de condução e registos de comunicação. Os dispositivos domésticos inteligentes registam dados ambientais, padrões de utilização e, em alguns casos, áudio ou vídeo. Os dispositivos de saúde vestíveis captam dados biométricos e padrões de movimento. Os sensores industriais da IoT podem revelar atividades operacionais, movimentos na cadeia de abastecimento e condições ambientais. Mesmo dispositivos M2M simples, como máquinas de venda automática ou contadores de serviços públicos, geram dados de localização e utilização que podem ser relevantes em determinadas investigações.
À medida que as autoridades policiais se tornam mais conscientes do potencial investigativo dos dados da IoT, é cada vez mais provável que solicitem a interceção ou a divulgação de dados aos operadores de IoT. Os operadores que não consigam dar resposta a estes pedidos enfrentam não só consequências regulamentares, mas também o risco de serem considerados pouco cooperantes pelas autoridades policiais, o que pode ter implicações mais amplas para a relação do operador com as entidades reguladoras.
Desafios técnicos da IoT LI
A implementação da interceção legal das comunicações de IoT e M2M apresenta vários desafios técnicos que diferem significativamente da interceção tradicional de voz e dados. O primeiro é a diversidade de protocolos de comunicação. Os dispositivos IoT comunicam utilizando uma vasta gama de protocolos — MQTT, CoAP, LwM2M, HTTP e protocolos proprietários — através de várias tecnologias de rede, incluindo LTE-M, NB-IoT, LoRaWAN, Sigfox e satélite. Cada protocolo e tecnologia de rede possui características diferentes que afetam a forma como a interceção pode ser realizada.
O segundo desafio prende-se com o volume e o padrão das comunicações. Ao contrário das chamadas de voz ou das sessões de navegação na Web, as comunicações da IoT são, normalmente, curtas, pouco frequentes e com baixa largura de banda. Um sensor pode transmitir alguns bytes de dados a cada hora. Este padrão torna as abordagens tradicionais de interceção baseadas em sessões menos relevantes e exige sistemas de LI capazes de capturar transmissões de dados individuais, em vez de sessões contínuas.
O terceiro desafio é a identificação do alvo. Os dispositivos IoT podem ser identificados através do IMSI, do IMEI, do endereço IP ou de identificadores específicos do dispositivo que não correspondem às identidades tradicionais dos assinantes. O mapeamento destes identificadores para um alvo específico — especialmente quando o dispositivo pertence a uma organização e não a um indivíduo — pode ser complexo. O sistema LI deve suportar uma gama mais ampla de tipos de identificadores e deve ser capaz de associar esses identificadores a dispositivos específicos e fluxos de dados dentro da rede.
O quarto desafio diz respeito à encriptação e à segurança. Muitos protocolos de IoT implementam encriptação na camada de aplicação, o que significa que o operador pode ser capaz de capturar o tráfego encriptado, mas não aceder ao conteúdo. As implementações de DTLS e TLS utilizadas pelo CoAP e pelo MQTT, por exemplo, podem encriptar a carga útil da aplicação de forma a que o operador não consiga desencriptá-la. Esta limitação deve ser comunicada de forma transparente às autoridades responsáveis pela aplicação da lei ao responder a pedidos de interceção.
Um quinto desafio é a enorme dimensão das implementações da IoT. Uma operadora pode ter milhões de dispositivos IoT na sua rede, e o sistema LI deve ser capaz de identificar e interceptar de forma eficiente dispositivos específicos dentro desta vasta população. Os sistemas utilizados para gerir as interceções tradicionais baseadas em assinantes podem não ser capazes de se adaptar eficazmente a populações de dispositivos à escala da IoT sem serem modificados.
Considerações específicas sobre LPWAN
As tecnologias LPWAN — incluindo NB-IoT, LTE-M, LoRaWAN e Sigfox — apresentam características específicas que afetam a implementação do LI. O NB-IoT e o LTE-M operam no ecossistema 3GPP e são servidos pela rede central celular. Em princípio, os mesmos mecanismos de LI que se aplicam a outros serviços de rede celular podem ser aplicados ao tráfego NB-IoT e LTE-M. No entanto, a baixa largura de banda e a natureza intermitente do tráfego exigem sistemas de LI capazes de capturar transmissões de dados individuais, em vez de sessões contínuas.
O LoRaWAN e o Sigfox operam fora do ecossistema 3GPP e utilizam arquiteturas de rede proprietárias ou de padrão aberto. A aplicação da LI a estas tecnologias está menos bem definida em termos de normas, e as operadoras poderão ter de desenvolver soluções de interceção personalizadas. A arquitetura de rede do LoRaWAN, por exemplo, inclui gateways, servidores de rede e servidores de aplicações, e o ponto de interceção poderá ter de ser localizado ao nível do servidor de rede para capturar o tráfego antes de este ser encaminhado para a camada de aplicação.
IRI e CC para comunicações na Internet das Coisas (IoT)
As estruturas de dados IRI do ETSI, concebidas principalmente para comunicações de voz e dados, podem não abranger na totalidade os metadados relevantes para as comunicações da IoT. Os metadados específicos da IoT — tais como o tipo de dispositivo, as leituras dos sensores, a versão do firmware, os parâmetros operacionais e a pertença a grupos de dispositivos — podem ser importantes para as investigações das autoridades policiais, mas não estão abrangidos pelas definições normalizadas do IRI. As operadoras poderão ter de alargar as suas capacidades de geração de IRI para incluir elementos de dados específicos da IoT, potencialmente em coordenação com a autoridade nacional responsável pelo LI.
O tráfego de dados (CC) para comunicações de IoT é, normalmente, muito menor em volume do que o das sessões de voz ou de dados, mas pode ser mais diversificado em termos de formato. O conteúdo de uma transmissão de IoT pode ser uma carga útil JSON, uma leitura binária de um sensor, uma mensagem de Protocol Buffer ou um formato de dados proprietário. O sistema LI deve ser capaz de capturar e transmitir este conteúdo num formato que as autoridades policiais possam processar e analisar. Em muitos casos, fornecer a carga útil bruta do protocolo juntamente com os metadados IRI será a abordagem mais prática.
Preparação para as obrigações relacionadas com a IoT LI
Os operadores que prestam serviços de IoT e M2M devem tomar medidas proativas para se prepararem para as obrigações em matéria de LI, mesmo nos casos em que os requisitos regulamentares ainda não estejam totalmente definidos. Em primeiro lugar, avalie a situação regulamentar em cada mercado em que opera, consultando um advogado e a autoridade reguladora nacional competente. Em segundo lugar, avalie as suas capacidades atuais em matéria de LI face aos requisitos específicos da interceção de dados da IoT, identificando lacunas na identificação de alvos, na captura de tráfego, na geração de IRI e na entrega de CC.
Em terceiro lugar, desenvolva um roteiro técnico para melhorar as suas capacidades de LI, de modo a apoiar a interceção da IoT. Este roteiro deve abordar a integração dos elementos de rede da IoT com a função de mediação da LI, o alargamento da identificação de alvos para incluir identificadores de dispositivos da IoT e a captura de metadados e conteúdos específicos da IoT. Em quarto lugar, colabore com o fornecedor da sua solução de LI para compreender o seu plano de ação relativo ao suporte à LI para a IoT e para influenciar as suas prioridades de desenvolvimento com base nos seus requisitos.
Por fim, documente a sua abordagem em matéria de conformidade com a IoT LI, incluindo quaisquer limitações nas suas capacidades atuais e as medidas que está a tomar para as resolver. Esta documentação será valiosa para demonstrar a boa-fé na conformidade perante as entidades reguladoras, mesmo que as suas capacidades ainda não estejam totalmente desenvolvidas.
Conclusão
O crescimento das comunicações IoT e M2M está a criar novas obrigações de interceção legal para as operadoras, impulsionadas tanto pela evolução regulamentar como pela crescente relevância dos dados da IoT para fins de investigação. Embora os desafios técnicos da interceção legal na IoT sejam significativos — abrangendo a diversidade de protocolos, os padrões de tráfego, a identificação de alvos, a encriptação e a escala —, não são insuperáveis. As operadoras que avaliarem a sua exposição regulamentar, analisarem as suas capacidades técnicas e investirem em soluções de interceção compatíveis com a IoT estarão bem posicionadas para cumprir estas obrigações emergentes e para manter a conformidade à medida que o ecossistema da IoT continua a crescer.
A interseção entre a IoT e a interceção legal levanta também questões mais amplas sobre o âmbito da vigilância num mundo cada vez mais conectado. À medida que os objetos do quotidiano se tornam interligados e geram fluxos de dados, a fronteira entre a interceção de comunicações e a recolha de dados em geral torna-se menos nítida. Os operadores devem colaborar de forma proativa com as entidades reguladoras e os organismos do setor para ajudar a definir o quadro emergente para a interceção legal na IoT, contribuindo com conhecimentos técnicos práticos para garantir que os requisitos resultantes sejam eficazes para as autoridades responsáveis pela aplicação da lei e exequíveis pelos operadores.
O âmbito das obrigações relativas à interceção legal na IoT varia consoante a jurisdição e o tipo de serviço. As operadoras devem identificar os seus requisitos em matéria de interceção legal na IoT numa fase inicial do planeamento da sua implantação.
Artigos relacionados
Para mais informações sobre temas relacionados, consulte estes artigos:
- Network Slicing na rede 5G SA: como complica (e pode simplificar) a segmentação de LI
- eSIM e interceção legal: O que a arquitetura RSP significa para a conformidade
- MVNO vs MNO: Quem é legalmente responsável pela interceção legal?
Recursos externos
Os seguintes recursos externos fornecem contexto adicional e documentação oficial:
