VPN 출구가 남용 신고를 받았을 때: 범위가 정해진 대응

남용 신고가 도착해 여러분의 출구 주소 하나를 지목하고, 특정 시각의 세션 뒤에 있던 사용자를 요구합니다. 답하기 전에 그 메시지가 보통 뒤섞는 세 가지 질문, 곧 그 주소가 실제로 무엇을 증명할 수 있는지, 여러분의 서비스가 무엇을 의무로 지는지, 그리고 여러분 조직에서 누가 결정할 권한이 있는지를 분리하십시오. 아래 목록을 순서대로 진행하고, 아직 지명하지 않은 사람이 필요한 지점에서 멈추십시오. 서면 계획은 사용자가 하는 모든 일이 여러분의 책임이거나 자동으로 보호된다는 어떤 약속보다 낫습니다.

출구 주소가 실제로 증명하는 것

연결 기록에 있는 주소 특정 시점의 네트워크 종단점을 식별한다. 공유 주소 변환에서는 많은 사용자가 같은 주소로 나가므로, 기록이 연결을 시작한 개인을 식별하지 못합니다. 범위를 여러분의 서비스와 시간 창으로 좁힐 뿐이며, 그것이 이 기록의 기술적 가치 전부입니다.

신고 자체의 세부 정보는 그 가치를 평가하는 데 중요합니다. 시간대, 포트 번호, 프로토콜, 그리고 신고자가 세션을 관찰했는지 추정했는지가 관찰이 뒷받침하는 내용을 모두 바꿉니다. 시간대가 없는 타임스탬프는 몇 시간씩 어긋날 수 있고, 그것이 로그 항목을 맞추느냐 놓치느냐의 차이인 경우가 많습니다.

이 중 어느 것도 법적 책임을 정하지 않습니다. 아는 동료를 위한 사설 게이트웨이, 낯선 사람에게 파는 상업 서비스, 사용자 파일을 보관하는 호스트는 규제 기관이나 법원에 서로 다른 사실을 제시합니다. 여러분이 실제로 운영하는 서비스를 설명하고, 신고가 가정하는 서비스를 설명하지 마십시오.

답하기 전에 신고를 읽으십시오

답장을 작성하기 전에 어떤 종류의 신고인지 판단하십시오. 저작권 통지, 형사상 보존 요구, 제공자의 허용 사용 경고, 개인의 사적 신고는 각기 다른 기대와 다른 기한을 가지고 옵니다. 넷 모두에 같은 서식으로 답하는 것이 운영자가 없던 문제를 만드는 방식입니다.

사용자에 관해 무엇이든 공개하기 전에 이미 신뢰하는 경로로 발신자를 확인하십시오. 권리자로부터 왔다고 주장하는 이메일은 인증이 아니며, 세션이 존재했다고 확인하는 답장은 그 자체가 공개입니다. 메시지에 적힌 주소 대신 제공자가 공개한 남용 연락처나 기존 계정 관리자를 사용하십시오. 발신자를 확인할 수 없다면 접수만 확인해 주십시오.

원본 메시지를 헤더까지 그대로 보존하고 자신의 조치를 타임스탬프와 함께 기록하십시오. 그 이력이 있어야, 청중이 제공자든 규제 기관이든 여러분 자신의 경영진이든, 나중의 설명이 신뢰를 얻습니다.

보관이 허용된 증거를 보존하십시오

보관은 첫 신고 이전에 내리는 설계 결정이며, 신고 도중에 내리는 것이 아닙니다. 무엇을 기록하고, 얼마나 오래, 누구의 권한으로 기록할지 정하고, 사용자가 읽을 수 있는 곳에 쓰십시오. 모든 사람의 트래픽을 무차별로 수집하는 것은 정책을 대신하지 못하며, 그 자체의 공개 의무를 만듭니다.

공식 요구나 보존 요청이 오면 관련 기록을 삭제하는 것이 일상적인 신고를 훨씬 나쁜 문제로 바꿀 수 있습니다. 마찬가지로 언젠가 쓸모가 있을지 모른다는 이유로 모든 것을 영원히 보관하는 것은 이득 없는 부담입니다. 존재하는 것을 동결하고, 존재하지 않는 것을 기록하고, 자격을 갖춘 사람이 요청을 읽을 때까지 보관 상태를 바꾸지 마십시오. “그 로그는 없었습니다”라는 답은 받아들여지지만, “지난주에 지웠습니다”라는 답은 다른 대화를 부릅니다.

보관 기간과 사고 절차를 고르기 전에 적용되는 의무를 검토받으십시오. 변호사가 대안보다 비용이 적게 드는 지점이 바로 여기이며, 블로그 글에서 정할 일이 아닙니다.

법적 체계를 분리해 두십시오

예를 들어 미국에서는 47 USC 230 정보가 다른 사람으로부터 올 때 서비스가 어떻게 취급되는지에 관한 것이며, 연방 형법과 지식 재산을 그 취급에서 제외합니다. 이것을 VPN 트래픽에 대한 포괄적 방패로 보면 자신만만하지만 명백히 틀린 답이 나옵니다.

저작권 안전항은 자체 조건을 가진 별도 체계입니다. 제512조는 전송, 캐싱, 호스팅, 링크 활동을 구분하며 각 범주마다 요구 사항이 다릅니다. 어떤 활동이 적용되는지에 대한 평가를 일반적인 삭제 사서함으로 대체하는 것은 전략이 아닙니다.

여기서 두 가지 결론이 나옵니다. 첫째, 체계는 여러분의 서비스가 무엇을 하는지에 달려 있고 이름에 VPN이라는 단어가 있는지에 달려 있지 않습니다. 둘째, 세부 사항은 국경을 넘고 세월이 흐르며 달라지므로 자격을 갖춘 사람이 여러분의 관할 구역을 위해 그 판단을 내려야 합니다.

계획을 적고 책임자를 지정하십시오

쓸 만한 계획은 신고에 답할 사람, 그가 쓸 수 있는 증거, 그가 취소할 수 있는 접근 권한, 그리고 법적 검토가 의무가 되는 지점을 명시합니다. 신고는 연차 휴가를 기다리지 않으므로 대체 인력도 지정합니다.

계획을 한 번 모의 신고로 시험하되, 연락처로 전달하고 응답 시간을 재며 에스컬레이션 경로가 작동하는지 확인하십시오. 아무도 지켜보지 않는 남용 연락처는 제공자가 묻는 대신 에스컬레이션하도록 유도하므로 공개된 연락처보다 나쁩니다.

마지막으로 계획을 서비스 규모에 맞게 유지하십시오. 다섯 명 규모의 사설 게이트웨이에 법무 부서는 필요 없지만, 누가 사서함을 읽고 누가 누구에게 전화하는지는 알아야 합니다.