VPN出口に不正利用の報告が届いた：範囲を定めた対応
出口アドレスに関する苦情は、誰が接続したのか、何を開示すべきか、いつ弁護士が必要かを問う。最初の報告が届く前に、その対応を組み立てておく。
不正利用の報告が届き、あなたの出口アドレスの一つが名指しされ、特定の時刻のセッションの背後にいた利用者を求めている。答える前に、そのメッセージがたいてい混ぜている三つの問い——そのアドレスが実際に何を証明できるのか、あなたのサービスは何を義務づけられているのか、そしてあなたの組織の誰に決定権があるのか——を切り分ける。以下の一覧を順に進め、まだ指名していない人が必要なところで止まる。書かれた計画は、利用者のすることはすべてあなたの責任か自動的に保護されるという約束のどれよりも優れている。
出口アドレスが実際に証明するもの
接続記録にある一つのアドレス ある時点のネットワーク端点を示す。共有アドレス変換のもとでは、多くの利用者が同じアドレスから出ていくため、記録は接続を始めた個人を特定しない。範囲をあなたのサービスと時間枠に狭めるだけで、それが技術的な価値のすべてだ。
報告そのものの細部は、その価値を評価するうえで重要だ。タイムゾーン、ポート番号、プロトコル、そして報告者がセッションを観察したのか推測したのかによって、その観察が支えるものは変わる。タイムゾーンのないタイムスタンプは数時間ずれることがあり、それがあるログ項目に一致するか取り逃すかの分かれ目になることが多い。
このどれも法的責任を決めない。よく知る同僚向けの私設ゲートウェイ、見知らぬ人に売る商用サービス、利用者のファイルを保管するホストでは、規制当局や裁判所に示す事実が異なる。実際に運営しているサービスを説明し、苦情が想定しているサービスを説明してはならない。
答える前に苦情を読む
返信を書く前に、これがどの種類の報告かを決める。著作権通知、刑事上の保全要求、プロバイダーの利用規約警告、個人からの私的な苦情は、それぞれ違う期待と期限を伴って届く。四つすべてに同じテンプレートで答えるのは、運営者が存在しない問題を作り出すやり方だ。
| Report type | First action | Who decides |
|---|---|---|
| Copyright notice | Preserve the notice and identify the activity it concerns | Designated agent with counsel input |
| Provider AUP warning | Read the contract's escalation terms | Service owner |
| Criminal or preservation demand | Do not delete; route to counsel | Counsel |
| Private complaint | Acknowledge receipt only | Abuse contact |
利用者について何かを開示する前に、すでに信頼している経路で送信者を確認する。権利者を名乗るメールは認証ではないし、セッションが存在したと確認する返信はそれ自体が開示になる。メッセージにあるアドレスではなく、プロバイダーが公開している不正利用窓口か、既存のアカウント担当者を使う。送信者を確認できないなら、受領だけを伝える。
元のメッセージをヘッダーごとそのまま残し、自分の行動をタイムスタンプ付きで記録する。その履歴があるからこそ、聞き手がプロバイダーであれ規制当局であれ自社の経営陣であれ、後の説明は信頼できるものになる。
保持を許されている証拠を保全する
保持は最初の苦情より前に決める設計上の判断であり、苦情の最中に決めるものではない。何を記録し、どれだけの期間、誰の権限で記録するかを決め、利用者が読める場所に書く。全員の通信を無差別に集めることは方針の代わりにならず、それ自体の開示義務を生む。
正式な要求や保全の要請が届いたら、関係する記録を削除すると、ありふれた苦情がはるかに悪い問題になりうる。同じく、役に立つかもしれないからとすべてを永久に残すのは利点のない負担だ。存在するものを凍結し、存在しないものを記録し、資格のある人が要求を読むまで保持状態を変えるのをやめる。「そのログは持っていなかった」という答えは受け入れられるが、「先週消した」という答えは別の会話を招く。
保持期間とインシデント手順を選ぶ前に、適用される義務を確認してもらう。弁護士が代替案より安くつくのはこの地点であり、ブログ記事から決める話ではない。
法的な枠組みを分けて保つ
たとえば米国では、 47 USC 230 は情報が他人から来る場合にサービスがどう扱われるかに関するもので、連邦刑法と知的財産をその扱いから除外している。これをVPN通信の包括的な盾とみなすと、自信に満ちていながら単純に誤った答えを生む。
著作権のセーフハーバーは独自の条件を持つ別の枠組みだ。第512条は通過、キャッシュ、ホスティング、リンクの活動を区別し、それぞれ要件が異なる。どの活動に当たるかの評価を、汎用の削除窓口に置き換えるのは戦略ではない。
そこから二つの結論が出る。第一に、枠組みはあなたのサービスが何をするかで決まり、名前にVPNという語があるかでは決まらない。第二に、細部は国境を越えてまた年を経て変わるのだから、資格のある人があなたの法域についてその判断を下さなければならない。
計画を書き、責任者を指名する
使える計画は、苦情に答える人、その人が使える証拠、その人が取り消せるアクセス、そして法的検討が必須になる地点を名指しする。交替要員も、苦情は年次休暇を待たないからこそ名指しする。
計画を一度、模擬の報告で試す——窓口に転送し、応答までの時間を測り、エスカレーションの経路が機能するか確かめる。誰も見ていない不正利用窓口は、プロバイダーに問い合わせるのではなくエスカレーションを促してしまうため、公開された窓口より悪い。
最後に、計画をサービスの規模に見合ったものに保つ。五人の私設ゲートウェイに法務部門は要らないが、誰がメールボックスを読み、誰が誰に電話するかは知っておく必要がある。