Summary

  • La CRTC permite cualquier método de bloqueo que cumpla los principios de necesidad, precisión y privacidad del consumidor.
  • La operadora debe demostrar que un proveedor externo tiene capacidad técnica y no presenta conflictos que puedan comprometer su imparcialidad.
  • La información pública describirá métodos y proveedores de forma general; la Comisión recibirá datos más precisos sobre productos y actividad en informes confidenciales.

Una operadora que contrata un filtro de seguridad no compra solo una lista de direcciones peligrosas. Puede incorporar un bloqueo de puertos, una comprobación de direcciones de origen falsificadas, una regla basada en volúmenes anómalos o un sistema que clasifica patrones de tráfico. Cuando una regla interrumpe una comunicación legítima, la decisión puede depender de una herramienta externa, pero el control de la red y la responsabilidad regulatoria siguen en manos de la operadora.

La Ley de Telecomunicaciones de Canadá parte de una regla poco habitual: su artículo 36 prohíbe en general que una operadora controle el contenido o influya en el significado o propósito de las telecomunicaciones públicas sin aprobación de la Comisión Canadiense de Radiodifusión y Telecomunicaciones (CRTC). En su decisión 2022-170, la CRTC aplicó esa potestad al bloqueo de tráfico de botnets y fijó principios de necesidad, precisión, transparencia, privacidad y rendición de cuentas.

El marco inicial era más acotado. La decisión 2025-142 autorizó listas de indicadores de compromiso que cumplieran criterios definidos, ya fueran propias o de terceros. Para los clientes de una operadora que participara, el bloqueo se aplicaría por defecto, sin opción para activarlo o desactivarlo. Después, la consulta 2025-143 preguntó por otras técnicas: bloqueo de puertos, direcciones de origen falsificadas, firmas de archivos, anomalías de volumen, inspección profunda de paquetes, privacidad y obligaciones de reporte.

La decisión 2026-140, vigente desde el 18 de junio de 2026, responde con neutralidad tecnológica: las operadoras pueden usar cualquier método que cumpla los principios del marco. El texto cita el bloqueo de puertos, de direcciones de origen falsificadas y de volúmenes anómalos entre las prácticas que ya se utilizan. No afirma que todas las operadoras usen cada técnica ni exige un producto específico.

La expansión convierte la evaluación de proveedores en una parte de la gobernanza del bloqueo. El apartado 2.3 exige que un proveedor externo tenga la experiencia técnica necesaria y no presente un posible conflicto que impida un funcionamiento imparcial en interés de los canadienses. Como ejemplos, la Comisión menciona la propiedad y el contexto geopolítico. El apartado 2.2 deja a la operadora la carga de demostrar que sus medidas cumplen el marco. No existe una lista pública de proveedores precertificados por la CRTC; cada operadora debe justificar quién alimenta sus controles y por qué confía en su criterio.

La obligación abarca más que una lista de amenazas. Un proveedor puede entregar indicadores, software para analizar patrones, equipos que ejecutan una regla o servicios de vigilancia externa. El marco incluye sistemas, equipos y programas de terceros usados para implantar el bloqueo. Por eso la operadora necesita seguir la cadena que transforma una señal en una decisión de red. La presencia de un nombre comercial en un contrato no demuestra por sí sola la precisión de los indicadores ni la ausencia de conflictos.

La decisión divide la información en dos planos. En su sitio web, cada operadora debe explicar el alcance del bloqueo, describir de forma general los métodos, decir si utiliza proveedores externos y si alguno está fuera de Canadá, y publicar cómo presentar una queja por un falso positivo o un bloqueo excesivo. La Comisión también advierte que divulgar umbrales o detalles operativos podría facilitar la evasión. El cliente conocerá la clase de control aplicado, pero no su receta técnica.

El CRTC recibirá información más detallada en un informe anual confidencial: métodos empleados, proveedores y productos, cantidad de indicadores de compromiso bloqueados, quejas por falsos positivos o bloqueos excesivos y una explicación de cumplimiento. El plazo es de 30 días naturales desde el cierre de cada periodo. La Comisión puede publicar ciertos recuentos o preparar resúmenes agregados. Las operadoras también deben revisar periódicamente sus sistemas. La inspección profunda de paquetes solo se admite en situaciones excepcionales y, si se utiliza, debe limitarse a las cabeceras y excluir el contenido de las comunicaciones.

Además, la operadora no puede impedir que el cliente recurra a una VPN legítima o a otro resolvedor DNS para eludir el bloqueo.

El comisionado Bram Abramson apoyó ampliar las técnicas, pero discrepó de la reducción de controles. En su opinión disidente sostuvo que el nuevo sistema podría dejar errores sin descubrir y propuso registrar cambios de métodos y proveedores y clasificar el resultado de las reclamaciones. Esas ideas no forman parte de las obligaciones aprobadas. Sin embargo, plantean la pregunta de fondo: ¿podrá el CRTC evaluar pruebas que muestren cómo funciona el proveedor a lo largo del tiempo, o solo recibirá una explicación anual de la operadora?

Para una operadora, la exposición no nace automáticamente de contratar a un tercero. Surge cuando la empresa no puede reconstruir qué proveedor, producto o cambio llevó a bloquear una conexión legítima. Un expediente útil debería relacionar cada técnica con su propósito, sus datos, el proveedor, la fecha de revisión, el canal de queja y una alternativa de sustitución. El contrato puede exigir aviso de cambios de propiedad, subcontratación, fuentes de amenazas y retención de datos. Esto no garantiza que el bloqueo sea correcto; permite averiguar qué cambió y reemplazar un servicio sin perder toda la protección.

Los proveedores también reciben una señal comercial. Ya no basta con afirmar que detectan más amenazas: la operadora tendrá que justificar su experiencia y los intereses que pueden incidir en el servicio, además de identificar productos en su reporte confidencial. Quienes faciliten auditorías y documentación podrían ganar ventaja. A la vez, el coste de cumplimiento puede favorecer a las empresas que ya cuentan con equipos de certificación y controles internos. El expediente de la CRTC no permite medir todavía ninguno de esos efectos.

El primer periodo de reporte termina el 31 de diciembre de 2026; los informes llegarán en los 30 días posteriores. Aportarán el primer registro declarado de métodos y proveedores, pero no medirán por sí solos la precisión ni qué proporción de tráfico legítimo quedó bloqueada. La CRTC amplió la libertad técnica y dejó en la operadora la responsabilidad de justificar su cadena de suministro. La prueba será si esa responsabilidad se convierte en una revisión continua, especialmente cuando cambien el proveedor, su propiedad, sus datos o el método utilizado.

Fuentes