“托管式合法截取”模式——通常被称为“截取合规即服务”（LI Compliance as a Service）——已在移动虚拟网络运营商（MVNO）、小型运营商以及缺乏内部资源、专业知识或规模来构建和运营自有截取基础设施的新市场参与者中获得了广泛关注。 在此模式下，专业服务商代表运营商部署、运营和维护合法截取系统，处理从搜查令处理到向执法部门交付数据等所有环节。其吸引力显而易见：既能降低资本支出、加快合规进程，又能借助专业技术支持，而无需组建内部合法截取团队。.
然而，将LI运营外包并不意味着法律责任随之转移。运营商仍需对履行截获义务承担法律责任，而受管服务提供商的任何失职都将直接影响运营商。这使得运营商与受管LI提供商之间的服务水平协议（SLA）成为运营商将签署的最重要合同之一。 然而，许多运营商——尤其是刚涉足LI领域的运营商——在未充分了解自身需求、应提出的要求以及真正风险所在的情况下，便接受了通用的SLA。.
本文基于在受监管的欧洲市场运营的实际需求，就运营商在采购托管型LI服务时应要求包含的SLA条款提供了详细指南。.
LI合规即服务包含哪些内容
对于托管式法律监听服务而言，最重要的SLA指标是令状激活时间——即从收到有效监听令状到激活监听并开始向执法部门传输数据所经过的时间。 国家法规通常会规定最长激活时限，具体时长从几小时到几个工作日不等，这取决于管辖区域及案件的紧急程度。.
SLA 应明确规定标准订单和紧急订单的最长激活时间，并清晰界定各类订单的具体标准。对于紧急订单（即需要立即激活的订单），SLA 应规定在数小时内完成激活，而非数天。 SLA 还应明确激活时间的计算起点：是从托管服务提供商收到订单之时起、从订单验证通过之时起，还是从网络中识别出目标之时起。每种定义都会导致实际激活时间不同，运营商应坚持采用符合监管要求的定义。.
对超过激活时间的处罚应具有实质意义。相对于合同金额而言微不足道的经济处罚，对服务提供商而言几乎没有激励作用，无法促使他们达到目标。运营商应协商制定能反映该义务严重性的处罚条款——包括在极端情况下，如果激活时间目标屡屡未达标，则有权终止合同。.
系统可用性与运行时间
LI系统必须保持持续可用。任何停机都会导致截获数据缺失，这不仅可能影响执法调查，还可能使运营商面临监管处罚。服务水平协议（SLA）应明确规定最低可用性目标——通常为99.9%或更高——并应界定可用性的衡量方式，包括计划内维护时段是否应从计算中排除。.
SLA 还应规定单次故障的最大可接受停机时间，以及测量周期内的最大累计停机时间。 一个系统即使实现了99.9%的年度可用性，但若发生一次8小时的停机，可能仍无法满足运营商的需求，尽管其达到了总体目标。运营商应同时明确总体可用性目标和单次事件可用性目标。.
SLA 中应包含冗余和故障转移条款。托管服务提供商应运营具备自动故障转移能力的冗余基础设施，且 SLA 应针对不同的故障场景明确规定恢复时间目标（RTO）和恢复点目标（RPO）。 运营商应核实服务提供商的冗余架构是否真实有效——而非仅仅是一个需要人工干预才能激活的备用系统。.
数据的完整性与质量
SLA 应明确规定截获数据的完整性和质量要求。这包括 IRI 和 CC 两方面。IRI 的完整性是指针对每条截获的通信，均应生成所有必需的元数据事件，且所有必填数据字段均应准确填写。CC 的完整性是指每条截获通信的内容均应被完整捕获并传输，且不存在缺失、丢失或损坏的情况。.
在受管LI环境中衡量数据完整性可能颇具挑战性，因为运营商可能无法直接了解拦截过程。因此，SLA应包含关于定期质量审计的规定，由运营商或独立第三方参照参考测试场景，对拦截数据的完整性和准确性进行验证。 这些审计的频率和方法应在SLA中明确规定。.
在审计过程中发现或由执法部门报告的数据质量问题，应遵循既定的整改流程和时间表。服务水平协议（SLA）应明确规定托管服务提供商调查并解决数据质量问题的最长时限，并应包含针对持续存在或严重质量问题的上报程序。.
安全与保密
该托管服务提供商处理着运营商整个业务中部分最为敏感的数据。服务水平协议（SLA）必须包含全面的安全条款，涵盖被截获数据的保护、正在进行的截获操作的保密性，以及托管服务提供商人员和基础设施的安全性。.
具体的安全要求应包括：对静止数据和传输中数据进行加密、基于角色的访问控制（配合多因素身份验证）、数据中心和设备的物理安全防护、人员审查和安全许可要求，以及针对安全漏洞的事件响应程序。 服务水平协议（SLA）应要求托管服务提供商遵守相关安全标准（例如 ISO 27001），并应包含运营商有权进行安全审计或要求提供商接受独立安全评估的条款。.
在LI背景下，保密条款尤为重要。托管服务提供商不得向除获授权知悉者以外的任何第三方披露任何拦截行为的存在。服务水平协议（SLA）应包含具体的保密义务，该义务应适用于所有有权访问LI系统的服务提供商人员，并应明确规定违反保密义务的后果。.
合规与报告
运营商的监管义务不会转移给托管服务提供商。 服务水平协议（SLA）应明确界定各方在合规方面的责任，并应包含相关条款以确保运营商能够履行其报告和审计义务。这包括托管服务提供商有义务保留完整的审计追踪记录、定期向运营商提供合规报告，以及在监管检查或审计期间为运营商提供支持。.
服务水平协议（SLA）还应明确服务提供商有义务及时跟进监管变化。随着国家层面的LI要求不断演变——包括新的技术规范、更新的程序要求以及数据保留义务的变更——托管服务提供商必须相应地更新其系统和流程。 SLA 应明确实施监管更新的时间表，并应包含相关条款，要求服务提供商就即将发生的变更及其影响通知运营商。.
过渡和退出条款
在托管式LI服务水平协议（SLA）中，最容易被忽视的方面之一就是退出策略。运营商应考虑合同终止时的情况——无论是因到期、终止还是转由其他服务商接管。 服务水平协议（SLA）应包含详细的过渡条款，涵盖将正在进行的拦截任务转移至新系统、历史数据和审计记录的移交、过渡时间表，以及托管服务提供商在过渡期间继续运营的义务。.
在采用托管式LI服务时，锁定风险确实是一个值得关注的问题。运营商应评估其LI数据和配置的可移植性，并应协商服务水平协议（SLA）条款以最大限度地降低锁定风险。这包括以标准格式访问和导出所有数据的权利、获取过渡所需文档和配置信息的权利，以及合理的通知期限和过渡时间表。.
事件管理与升级处理
SLA 必须明确规定事件管理和升级处理流程。不同类型的事件——系统中断、数据质量问题、安全事件、未达激活目标等——应明确其严重级别、响应时间及升级路径。 升级流程应包括运营商和托管服务提供商双方的指定联系人，并针对每个严重级别明确通信渠道和响应义务。.
服务水平协议（SLA）中应规定定期举行服务审查会议，以此作为讨论实际表现与SLA目标的对比情况、审查事件及其处理情况，以及规划即将进行的变更或改进的论坛。此类会议的频率应至少为每月一次，若发生重大事件或出现性能偏差，则应额外召开审查会议。.
结论
LI“合规即服务”（Compliance as a Service）为那些缺乏资源或专业知识、无法自行构建和运营截获基础设施的运营商提供了极具吸引力的优势。然而，这种托管服务模式的成功完全取决于服务水平协议（SLA）的质量和完整性。 运营商必须要求服务水平协议（SLA）涵盖以下方面：搜查令激活时间、系统可用性、数据完整性、安全性、合规性、过渡条款以及事件管理——并设定可量化的目标、切实有效的违约金以及明确的责任归属。一份经过充分协商的服务水平协议不仅能保护运营商权益、确保合规，还能为与托管服务提供商建立高效且可持续的合作关系奠定基础。.
在评估“LI合规即服务”这一服务方案时，请不要仅关注标价。一份全面的“LI合规即服务”协议应涵盖您在监管义务方面的所有方面。.
相关文章
如需进一步了解相关主题，请浏览这些文章：
外部资源
以下外部资源提供了更多背景资料和官方文件：
