Votre sortie VPN a reçu un signalement d'abus : une réponse encadrée

Un signalement d'abus arrive en nommant l'une de vos adresses de sortie, et il demande l'utilisateur derrière une session à un moment précis. Avant de répondre, séparez trois questions que le message mélange souvent : ce que l'adresse peut réellement prouver, ce que votre service est tenu de faire et qui, dans votre organisation, a le droit de décider. Parcourez la liste ci-dessous dans l'ordre et arrêtez-vous là où la réponse exige une personne que vous n'avez pas encore désignée. Un plan écrit vaut mieux que toute promesse selon laquelle tout ce que font les utilisateurs est soit de votre faute, soit automatiquement protégé.

Ce qu'une adresse de sortie prouve réellement

Une adresse dans un journal de connexion identifie un point de terminaison réseau à un instant donné. Avec la traduction d'adresses partagée, de nombreux utilisateurs sortent par la même adresse, si bien que le journal n'identifie pas la personne qui a initié la connexion. Il restreint le champ à votre service et à une fenêtre temporelle, et c'est là toute sa valeur technique.

Les détails du signalement lui-même comptent pour évaluer cette valeur. Le fuseau horaire, les numéros de port, le protocole et le fait que l'auteur ait observé une session ou l'ait supposée changent tous ce que l'observation étaye. Un horodatage sans fuseau peut être décalé de plusieurs heures, et c'est souvent la différence entre retrouver une entrée de journal et la manquer.

Rien de tout cela ne tranche la responsabilité juridique. Une passerelle privée pour des collègues connus, un service commercial vendu à des inconnus et un hôte qui stocke des fichiers d'utilisateurs présentent des faits différents à un régulateur ou à un tribunal. Décrivez le service que vous exploitez réellement, pas celui que la plainte suppose.

Lisez la plainte avant d'y répondre

Déterminez de quel type de signalement il s'agit avant de rédiger une réponse. Un avis de droit d'auteur, une demande pénale de conservation, un avertissement du fournisseur sur l'usage acceptable et une plainte privée d'une personne arrivent tous avec des attentes et des délais différents. Répondre aux quatre avec le même modèle est la manière dont un opérateur crée un problème là où il n'y en avait pas.

Vérifiez l'expéditeur par un canal auquel vous faites déjà confiance avant de divulguer quoi que ce soit sur un utilisateur. Un courriel qui prétend venir d'un titulaire de droits n'est pas une authentification, et une réponse qui confirme qu'une session a existé est elle-même une divulgation. Utilisez le contact abus publié du fournisseur ou votre gestionnaire de compte existant plutôt que l'adresse du message. Si vous ne pouvez pas vérifier l'expéditeur, accusez seulement réception.

Conservez le message d'origine intact, en-têtes compris, et consignez vos propres actions avec des horodatages. C'est cette historique qui rend crédible une explication ultérieure, que le public soit un fournisseur, un régulateur ou votre propre direction.

Conservez les preuves que vous êtes autorisé à garder

La conservation est une décision de conception que vous prenez avant la première plainte, pas pendant. Décidez ce que vous journalisez, pendant combien de temps et sous quelle autorité, et écrivez-le là où les utilisateurs peuvent le lire. La collecte indistincte du trafic de tous ne remplace pas une politique et crée ses propres obligations de divulgation.

Dès qu'une demande formelle ou une demande de conservation arrive, supprimer les enregistrements pertinents peut transformer une plainte de routine en un problème bien plus grave. De même, tout garder pour toujours parce que cela pourrait être utile est une charge sans avantage. Gelez ce qui existe, notez ce qui n'existe pas et cessez de modifier l'état de conservation jusqu'à ce qu'une personne qualifiée ait lu la demande. La réponse « nous n'avions pas ce journal » est acceptable ; la réponse « nous l'avons supprimé la semaine dernière » invite à une autre conversation.

Faites réviser les obligations applicables avant de choisir les durées de conservation et les procédures d'incident. C'est le point où un avocat coûte moins que l'alternative, et ce n'est pas une décision à prendre depuis un billet de blog.

Gardez les cadres juridiques séparés

Par exemple aux États-Unis, 47 USC 230 porte sur la manière dont un service est traité lorsque l'information vient d'autrui, et il exclut de ce traitement le droit pénal fédéral et la propriété intellectuelle. Le traiter comme une couverture générale pour le trafic VPN produit des réponses assurées qui sont simplement fausses.

Les ports francs du droit d'auteur sont un cadre distinct avec leurs propres conditions. La section 512 distingue les activités de transit, de mise en cache, d'hébergement et de liaison, et chaque catégorie comporte des exigences différentes. Remplacer une évaluation de l'activité applicable par une boîte aux lettres générique de retrait n'est pas une stratégie.

Deux conclusions s'ensuivent. La première est que le cadre dépend de ce que fait votre service, et non du mot VPN dans son nom. La seconde est qu'une personne qualifiée doit prendre cette décision pour votre juridiction, car les détails changent selon les frontières et au fil des années.

Écrivez le plan et nommez un responsable

Un plan utilisable nomme la personne qui répond aux plaintes, les preuves dont elle dispose, l'accès qu'elle peut révoquer et le point où la revue juridique devient obligatoire. Il nomme aussi un suppléant, car les plaintes n'attendent pas les congés annuels.

Testez le plan une fois avec un signalement synthétique : transmettez-le au contact, mesurez le délai de réponse et vérifiez que la voie d'escalade fonctionne. Un contact abus que personne ne surveille est pire qu'un contact publié, car il incite un fournisseur à escalader au lieu de demander.

Enfin, gardez le plan proportionné au service. Une passerelle privée de cinq personnes n'a pas besoin d'un service juridique, mais elle doit savoir qui lit la boîte aux lettres et qui appelle qui.