A externalização da infraestrutura da rede central tornou-se uma estratégia cada vez mais comum para os MVNO e os operadores de menor dimensão que procuram reduzir as despesas de capital e acelerar o tempo de lançamento no mercado. As redes centrais alojadas na nuvem, as ofertas de Rede como Serviço (NaaS) e os serviços geridos de rede central permitem que as operadoras lancem e expandam as suas operações sem o investimento significativo necessário para construir e operar a sua própria infraestrutura central. No entanto, este modelo arquitetónico cria desafios específicos para a interceção legal que as operadoras têm de resolver para manter conformidade regulamentar.
Quando a rede central é externalizada, a capacidade técnica para interceptar comunicações reside no fornecedor da infraestrutura e não na operadora a quem incumbe a obrigação regulamentar. Este artigo analisa os desafios que esta situação suscita, os modelos para os resolver e as medidas práticas que as operadoras devem adotar para garantir a conformidade quando a sua rede central é alojada ou gerida por terceiros.
LI com uma rede central externalizada
O desafio fundamental das redes centrais externalizadas para a LI reside na separação entre a obrigação legal e a capacidade técnica. A operadora — na qualidade de prestadora registada de serviços públicos de comunicações eletrónicas — assume a obrigação legal de interceção legal. No entanto, os pontos de interceção, as funções de rede que processam as comunicações dos assinantes e a infraestrutura necessária para capturar e transmitir os dados intercetados são operados por uma entidade terceira.
Esta separação é mais acentuada do que na relação tradicional entre MVNO e MNO, em que a MNO reconhece, pelo menos, que opera uma rede de telecomunicações com obrigações regulamentares inerentes. Os prestadores de serviços de alojamento de redes centrais podem ter origem no setor das infraestruturas de TI ou da computação em nuvem e podem não ter um conhecimento profundo dos requisitos regulamentares das telecomunicações, incluindo a interceção legal. O operador não pode partir do princípio de que o prestador de serviços de alojamento teve em conta a interceção legal na conceção da sua infraestrutura ou nos seus processos operacionais.
A posição regulamentar é clara em todos os mercados europeus: a externalização das infraestruturas não implica a externalização da responsabilidade regulamentar. O operador continua a ser totalmente responsável por Conformidade com a LI, independentemente da forma como a sua rede estiver implementada ou de quem explore a infraestrutura subjacente. As entidades reguladoras não aceitarão a dependência do operador em relação a um prestador externo como desculpa para o incumprimento.
Modelos de alojamento de redes centrais e implicações para a LI
As implicações para o LI dependem do modelo específico de alojamento. Num modelo de alojamento dedicado, o operador dispõe da sua própria instância das funções da rede central, em execução na infraestrutura do fornecedor de alojamento. A operadora pode ter acesso administrativo para configurar as funções de rede, incluindo as definições relacionadas com a LI. Neste modelo, a operadora pode, potencialmente, implementar a sua própria função de mediação da LI e integrá-la com as funções de rede alojadas, desde que o prestador de serviços de alojamento colabore no que diz respeito à conectividade e ao acesso à rede.
Num modelo partilhado ou multi-inquilino, o operador partilha instâncias de funções da rede central com outros inquilinos do fornecedor de alojamento. Este modelo é mais económico, mas cria uma complexidade adicional para a LI, uma vez que a interceção tem de ser isolada aos assinantes do operador específico, sem afetar o tráfego dos outros inquilinos. O fornecedor de alojamento deve implementar uma abordagem que tenha em conta os inquilinos capacidades de interceção que permite separar o tráfego por operador.
Num modelo totalmente gerido, o fornecedor de alojamento opera a rede central em nome do operador, encarregando-se de todas as tarefas de configuração, manutenção e operação. O operador tem acesso direto limitado ou nulo às funções de rede. Neste modelo, o operador tem de depender inteiramente do fornecedor de alojamento para implementar e executar as capacidades de LI, o que requer acordos contratuais abrangentes e soluções técnicas validadas.
Requisitos contratuais
O contrato entre o operador e o prestador de serviços de alojamento da rede central constitui o principal instrumento para garantir a conformidade com a interceção legal num modelo de externalização. O contrato deve abordar explicitamente a interceção legal, abrangendo a obrigação do prestador de serviços de alojamento de suportar a funcionalidade de interceção legal no âmbito da infraestrutura alojada, as interfaces específicas de interceção legal que devem ser implementadas e suportadas, os tempos de resposta para a ativação e desativação das interceções, os requisitos de segurança e confidencialidade para o tratamento dos dados interceptados, os direitos de auditoria e teste da operadora, o processo de implementação de atualizações regulamentares e novos requisitos de LI, bem como a atribuição de responsabilidades em caso de falhas na LI.
Os operadores não devem aceitar formulações genéricas ou compromissos vagos relativamente ao apoio à LI. O contrato deve especificar os resultados técnicos e operacionais concretos que o fornecedor de serviços de alojamento deve garantir e deve incluir níveis de serviço mensuráveis, acompanhados de sanções significativas em caso de incumprimento. A conformidade com a LI é uma obrigação legal com potenciais consequências penais para o operador, e as disposições contratuais devem refletir esta gravidade.
Opções de arquitetura técnica
Existem várias opções de arquitetura técnica que permitem dar resposta à LI num ambiente de rede central externalizada. A primeira opção é o modelo de mediação gerido pela operadora, em que a operadora implementa a sua própria Plataforma de mediação LI e liga-o às funções de rede centrais alojadas através das interfaces LI padrão (X1/X2/X3 em 5G ou interfaces proprietárias equivalentes). Isto requer que as funções de rede alojadas exponham interfaces LI que a plataforma de mediação da operadora possa utilizar. A operadora mantém o controlo sobre gestão de mandados, a entrega de dados e as interfaces de transferência para as autoridades policiais.
A segunda opção é o modelo de LI gerido pelo fornecedor de alojamento, em que este implementa e opera a infraestrutura de LI como parte do serviço de rede central alojado. O fornecedor de alojamento trata da ativação da interceção, da captura de dados e da entrega às autoridades policiais em nome do operador. Este modelo simplifica os requisitos técnicos do operador, mas exige uma confiança significativa no fornecedor de alojamento e acordos contratuais e de auditoria abrangentes.
A terceira opção é um modelo híbrido, em que certas funções de LI são fornecidas pelo prestador de serviços de alojamento (tais como a função de interceção interna nos elementos da rede) e outras são geridas pela operadora (tais como a função de mediação e as interfaces de transferência). Este modelo pode proporcionar um equilíbrio prático entre o controlo da operadora e a capacidade do prestador de serviços de alojamento.
Considerações de segurança
A segurança dos dados interceptados num ambiente externalizado requer uma atenção especial. As comunicações interceptadas estão entre os tipos de dados mais sensíveis em qualquer operação de telecomunicações, e a sua proteção é tanto um requisito legal como uma necessidade prática. Num modelo externalizado, os dados interceptados podem passar pela infraestrutura do fornecedor de alojamento, criando pontos de exposição adicionais que têm de ser protegidos.
O operador deve assegurar que os dados intercetados sejam encriptados tanto em trânsito como em repouso na infraestrutura do fornecedor de alojamento. O acesso aos sistemas e dados da LI deve ser rigorosamente controlado e limitado ao pessoal autorizado, com registos de auditoria exaustivos. O pessoal do fornecedor de alojamento deve estar sujeito a requisitos adequados de verificação e confidencialidade. A segurança física do centro de dados que aloja a infraestrutura da LI deve cumprir as normas exigidas pelo quadro regulamentar nacional.
O operador deve também ter em conta as implicações jurisdicionais decorrentes do alojamento de dados intercetados num centro de dados de terceiros. Se o centro de dados estiver localizado num país diferente do mercado de origem do operador, poderão surgir questões relacionadas com a soberania dos dados, as transferências transfronteiriças de dados e a aplicabilidade de regimes jurídicos estrangeiros. As operadoras devem assegurar-se de que a localização da infraestrutura de alojamento é compatível com as suas obrigações regulamentares e de que estão em vigor medidas de proteção de dados adequadas.
Testes e validação
Independentemente do modelo técnico escolhido, o operador deve validar a capacidade de LI através de testes de ponta a ponta. Estes testes devem abranger todos os cenários de interceção exigidos pelo quadro regulamentar nacional, incluindo a interceção de voz, SMS e dados, utilizando vários métodos de identificação de alvos. Os testes devem verificar não só que as interceções podem ser ativadas e os dados transmitidos, mas também que os tempos de resposta, a qualidade dos dados e a segurança cumprem as normas exigidas.
O processo de ensaio deve envolver a autoridade técnica nacional ou a LEMF, sempre que necessário, e deve ser realizado em condições representativas do ambiente de produção. Os operadores devem planear várias iterações de ensaio e devem manter a documentação dos ensaios como prova de conformidade.
Conclusão
A externalização da rede central não isenta da obrigação de interceção legal. As operadoras que utilizam serviços de rede central alojados ou geridos devem abordar de forma proativa a conformidade com a interceção legal através de acordos contratuais abrangentes, soluções técnicas validadas e testes rigorosos. A abordagem específica dependerá do modelo de alojamento, das capacidades técnicas da operadora e dos requisitos do quadro regulamentar nacional. Ao tratar a conformidade com a interceção legal como um requisito prioritário na decisão de alojamento da rede central — e não como uma consideração secundária —, as operadoras podem obter os benefícios em termos de custos e eficiência decorrentes da externalização, mantendo simultaneamente a plena conformidade com as suas obrigações de interceção legal.
Considerações sobre a seleção de fornecedores
Ao selecionar um fornecedor de alojamento de rede central, as operadoras devem incluir a capacidade de LI como um critério-chave de avaliação, a par do desempenho, da escalabilidade e do custo. Informa-se junto dos potenciais fornecedores de alojamento sobre as suas capacidades e experiência atuais em matéria de LI. Será que prestam atualmente suporte a LI para outros clientes operadoras? Que interfaces LI disponibilizam a partir das suas funções de rede? Têm integrações validadas com fornecedores de plataformas de mediação LI? Qual é o seu historial no que diz respeito ao apoio a atualizações regulamentares e a novos requisitos de LI? Um fornecedor de alojamento que não consiga demonstrar capacidade e experiência significativas em LI representa um risco significativo de conformidade, independentemente de quão atraente possa ser a sua oferta comercial.
As operadoras devem também avaliar a disponibilidade e a capacidade do fornecedor de alojamento para apoiar a operadora durante o processo de teste e certificação da LI junto da autoridade técnica nacional. Este processo requer normalmente uma colaboração estreita entre a operadora, o fornecedor de alojamento e, potencialmente, o fornecedor da plataforma de mediação da LI. Um fornecedor de alojamento que seja recetivo, tecnicamente capaz e empenhado em apoiar a conformidade com a LI será um parceiro muito mais valioso do que aquele que trata a LI como uma preocupação secundária. A escolha do fornecedor de alojamento tem implicações a longo prazo na capacidade da operadora de manter a conformidade com a LI à medida que os requisitos regulamentares evoluem, e este fator deve ser devidamente ponderado no processo de seleção.
A gestão da LI com uma rede central externalizada requer quadros contratuais claros e uma verificação regular da conformidade. O acordo relativo à rede central externalizada deve incluir disposições explícitas sobre a interceção legal.
Artigos relacionados
Para mais informações sobre temas relacionados, consulte estes artigos:
- MVNO vs MNO: Quem é legalmente responsável pela interceção legal?
- A lista de verificação MVNO LI: Tudo o que precisa antes de entrar em funcionamento
- Conformidade LI como um serviço: Que SLAs devem ser exigidos?
Recursos externos
Os seguintes recursos externos fornecem contexto adicional e documentação oficial:
