Ваш VPN-вихід отримав звіт про зловживання: обмежена відповідь

Надходить звіт про зловживання, у якому названо одну з ваших адрес виходу, і запитується користувач, який стояв за сеансом у певний час. Перш ніж відповідати, розділіть три питання, які повідомлення зазвичай змішує: що адреса справді може довести, до чого зобов'язаний ваш сервіс і хто у вашій організації має право вирішувати. Пройдіть наведений нижче список по порядку й зупиніться там, де для відповіді потрібна людина, яку ви ще не призначили. Письмовий план кращий за будь-яку обіцянку, що все, що роблять користувачі, або ваша провина, або автоматично захищене.

Що насправді доводить адреса виходу

Адреса в записі про з'єднання позначає мережеву кінцеву точку в певний момент. За спільного перетворення адрес багато користувачів виходять через ту саму адресу, тому запис не ідентифікує особу, яка ініціювала з'єднання. Він звужує поле до вашого сервісу й до часового вікна, і в цьому вся його технічна цінність.

Деталі самого звіту важливі для оцінки цієї цінності. Часовий пояс, номери портів, протокол і те, чи спостерігав заявник сеанс, чи лише припустив його, змінюють усе, що підтверджує спостереження. Позначка часу без поясу може розходитися на години, і це часто різниця між збігом із записом у журналі та його пропуском.

Ніщо з цього не вирішує юридичної відповідальності. Приватний шлюз для відомих колег, комерційний сервіс, що продається незнайомцям, і хост, який зберігає файли користувачів, подають регулятору або суду різні факти. Описуйте сервіс, який ви справді ведете, а не той, який передбачає скарга.

Прочитайте скаргу, перш ніж відповідати

Визначте тип звіту, перш ніж готувати відповідь. Повідомлення про авторські права, кримінальна вимога про збереження даних, попередження провайдера про неприпустиме використання й приватна скарга людини надходять із різними очікуваннями та різними строками. Відповідати на всі чотири за одним шаблоном — це спосіб оператора створити проблему там, де її не було.

Перевірте відправника каналом, якому ви вже довіряєте, перш ніж розкривати будь-що про користувача. Лист, який стверджує, що він від правовласника, не є автентифікацією, а відповідь, що підтверджує існування сеансу, сама по собі є розкриттям. Використовуйте опублікований контакт провайдера щодо зловживань або вашого чинного менеджера акаунта замість адреси в повідомленні. Якщо ви не можете перевірити відправника, підтвердьте лише отримання.

Зберігайте початкове повідомлення недоторканим, включно із заголовками, і фіксуйте власні дії з позначками часу. Саме ця історія робить подальше пояснення переконливим, чи то для провайдера, регулятора або вашого власного керівництва.

Збережіть докази, які вам дозволено тримати

Зберігання — це проєктне рішення, ухвалене до першої скарги, а не під час неї. Вирішіть, що ви записуєте, як довго і на якій підставі, і напишіть це там, де користувачі можуть прочитати. Невибірковий збір трафіку всіх не замінює політику й створює власні зобов'язання щодо розкриття.

Щойно надходить офіційна вимога або запит про збереження, видалення відповідних записів може перетворити рутинну скаргу на значно гіршу проблему. Так само зберігати все назавжди, бо це може стати в пригоді, — тягар без користі. Заморозьте те, що існує, занотуйте те, чого немає, і припиніть змінювати стан зберігання, доки вимогу не прочитає кваліфікована людина. Відповідь «у нас не було цього журналу» прийнятна; відповідь «ми видалили його минулого тижня» запрошує до іншої розмови.

Перш ніж обирати строки зберігання та процедури реагування на інциденти, дайте перевірити застосовні обов'язки. Це момент, коли юрист коштує менше за альтернативу, і це не рішення, яке ухвалюють із запису в блозі.

Тримайте правові режими окремо

Наприклад, у Сполучених Штатах, 47 USC 230 стосується того, як розглядається сервіс, коли інформація надходить від когось іншого, і виключає федеральне кримінальне право та інтелектуальну власність із цього режиму. Якщо вважати його універсальним прикриттям для VPN-трафіку, виходять упевнені, але просто неправильні відповіді.

Безпечні гавані авторського права — це окремий режим із власними умовами. Розділ 512 розрізняє діяльність із транзиту, кешування, хостингу та зв'язування, і кожна категорія має різні вимоги. Замінювати оцінку того, яка діяльність застосовується, загальною скринькою для повідомлень про видалення — не стратегія.

Звідси два висновки. Перший: режим залежить від того, що робить ваш сервіс, а не від слова VPN у його назві. Другий: кваліфікована людина має ухвалити це рішення для вашої юрисдикції, бо деталі змінюються через кордони й з роками.

Запишіть план і призначте відповідальну особу

Робочий план називає людину, яка відповідає на скарги, доступні їй докази, доступ, який вона може відкликати, і точку, де юридична перевірка стає обов'язковою. Він також називає заступника, бо скарги не чекають щорічної відпустки.

Перевірте план один раз на синтетичному звіті: перешліть його контакту, заміряйте час відповіді й переконайтеся, що шлях ескалації працює. Контакт щодо зловживань, за яким ніхто не стежить, гірший за опублікований, бо спонукає провайдера до ескалації замість запитання.

Насамкінець тримайте план відповідним сервісу. Приватному шлюзу на п'ять осіб не потрібен юридичний відділ, але йому потрібно знати, хто читає поштову скриньку і хто кому телефонує.