Sua saída VPN recebeu um relatório de abuso: uma resposta limitada

Chega um relatório de abuso que nomeia um dos seus endereços de saída e pede o usuário por trás de uma sessão num momento específico. Antes de responder, separe três perguntas que a mensagem costuma misturar: o que o endereço pode realmente provar, a que o seu serviço está obrigado e quem na sua organização tem permissão para decidir. Percorra a lista abaixo em ordem e pare onde a resposta exigir uma pessoa que ainda não nomeou. Um plano escrito supera qualquer promessa de que tudo o que os usuários fazem é ou culpa sua ou está protegido automaticamente.

O que um endereço de saída realmente prova

Um endereço num registo de ligação identifica um endpoint de rede num momento específico. Com a tradução partilhada de endereços, muitos usuários saem pelo mesmo endereço, pelo que o registo não identifica a pessoa que iniciou a ligação. Restringe o campo ao seu serviço e a uma janela temporal, e esse é todo o seu valor técnico.

Os detalhes do próprio relatório importam para avaliar esse valor. O fuso horário, os números de porta, o protocolo e se quem reporta observou uma sessão ou a deduziu mudam tudo o que a observação sustenta. Um timestamp sem fuso pode estar errado por horas, e é frequentemente a diferença entre acertar num registo e falhá-lo.

Nada disto decide a responsabilidade legal. Um gateway privado para colegas conhecidos, um serviço comercial vendido a desconhecidos e um host que armazena ficheiros de usuários apresentam factos diferentes a um regulador ou a um tribunal. Descreva o serviço que realmente opera, não o que a reclamação presume.

Leia a reclamação antes de responder

Determine que tipo de relatório é antes de redigir uma resposta. Um aviso de direitos de autor, uma exigência penal de preservação, um aviso do fornecedor sobre uso aceitável e uma reclamação privada de uma pessoa chegam todos com expectativas diferentes e prazos diferentes. Responder aos quatro com o mesmo modelo é a forma como um operador cria um problema onde não havia nenhum.

Verifique o remetente através de um canal em que já confia antes de divulgar qualquer coisa sobre um usuário. Um e-mail que afirma vir de um titular de direitos não é autenticação, e uma resposta que confirma que existiu uma sessão é ela própria uma divulgação. Use o contacto de abuso publicado do fornecedor ou o seu gestor de conta atual em vez do endereço na mensagem. Se não conseguir verificar o remetente, confirme apenas a receção.

Mantenha a mensagem original intacta, incluindo os cabeçalhos, e registe as suas próprias ações com timestamps. É essa história que torna credível uma explicação posterior, quer o público seja um fornecedor, um regulador ou a sua própria direção.

Preserve as provas que lhe é permitido guardar

A retenção é uma decisão de design que toma antes da primeira reclamação, não durante uma. Decida o que regista, durante quanto tempo e com que autoridade, e escreva-o onde os usuários o possam ler. A recolha indiscriminada do tráfego de todos não substitui uma política e cria as suas próprias obrigações de divulgação.

Assim que chega uma exigência formal ou um pedido de preservação, apagar os registos relevantes pode transformar uma reclamação de rotina num problema muito pior. Igualmente, guardar tudo para sempre porque pode ser útil é um ónus sem vantagem. Congele o que existe, anote o que não existe e pare de alterar o estado de retenção até alguém qualificado ter lido o pedido. A resposta «não tínhamos esse registo» é aceitável; a resposta «apagámo-lo na semana passada» convida a outra conversa.

Mande rever as obrigações aplicáveis antes de escolher períodos de retenção e procedimentos de incidentes. Este é o ponto em que um advogado custa menos do que a alternativa, e não é uma decisão a tomar a partir de um post de blogue.

Mantenha os quadros legais separados

Por exemplo, nos Estados Unidos, 47 USC 230 diz respeito à forma como um serviço é tratado quando a informação vem de outra pessoa, e exclui desse tratamento o direito penal federal e a propriedade intelectual. Tratá-lo como cobertura geral para o tráfego VPN produz respostas seguras de si que são simplesmente erradas.

Os portos seguros de direitos de autor são um quadro separado com condições próprias. A secção 512 distingue as atividades de trânsito, cache, alojamento e ligação, e cada categoria tem requisitos diferentes. Substituir uma avaliação de que atividade se aplica por uma caixa de correio genérica para remoções não é uma estratégia.

Seguem-se duas conclusões. A primeira é que o quadro depende do que o seu serviço faz, não da palavra VPN no seu nome. A segunda é que uma pessoa qualificada tem de tomar essa decisão para a sua jurisdição, porque os detalhes mudam entre países e ao longo dos anos.

Escreva o plano e nomeie um responsável

Um plano utilizável nomeia a pessoa que responde às reclamações, as provas de que dispõe, o acesso que pode revogar e o ponto em que a revisão legal se torna obrigatória. Também nomeia um substituto, porque as reclamações não esperam pelas férias.

Teste o plano uma vez com um relatório sintético: reencaminhe-o para o contacto, meça o tempo de resposta e verifique se o caminho de escalonamento funciona. Um contacto de abuso que ninguém monitoriza é pior do que um publicado, porque convida o fornecedor a escalonar em vez de perguntar.

Por fim, mantenha o plano proporcional ao serviço. Um gateway privado de cinco pessoas não precisa de um departamento jurídico, mas precisa de saber quem lê a caixa de correio e quem liga a quem.