Optus y la caída que convirtió las llamadas de emergencia en una prueba de responsabilidad para las operadoras

Resumen

• La caída de Optus del 8 de noviembre de 2023 fue una falla de continuidad de la red nacional de telecomunicaciones con implicaciones para la seguridad pública. LaRevisión Bean, encargada por el gobierno, estimó que alrededor de 10 millones de clientes y casi medio millón de empresas se vieron afectados, mientras que ACMA determinó más tarde que Optus no proporcionó acceso al servicio de llamadas de emergencia para 2,145 personas.
• El desencadenante técnico no fue un simple "se cayó internet". La investigación de ACMA indica que una actualización de software rutinaria en la red de tránsito internacional ascendente de Singtel provocó el redireccionamiento del tráfico, Optus recibió un gran aumento de información de enrutamiento IPv6, los enrutadores centrales superaron los límites de seguridad preestablecidos por un proveedor externo, y esos enrutadores se aislaron automáticamente.
• Las llamadas de emergencia no fallaron únicamente porque el servicio ordinario de Optus fallara. El problema de continuidad más grave fue que algunas unidades de radio 3G continuaron emitiendo señales aunque las llamadas de emergencia no podían progresar a través del núcleo de Optus. Algunos dispositivos intentaron usar esas señales de Optus en lugar de acampar en otra red, y Optus carecía de la vía de gestión remota necesaria para forzar el apagado de esos sitios 3G durante la caída.
• ACMA trató esto como una falla de cumplimiento controlable, no como un evento ascendente inevitable. Su informe señala que Optus controlaba la configuración, la arquitectura, la propagación de enrutamiento, la dependencia de la red de operación y mantenimiento y la respuesta de gestión de cambios de su propia red. Optus impugnó partes de ese planteamiento, pero el regulador rechazó el argumento de que la caída estaba fuera del control de Optus a efectos de las llamadas de emergencia.
• La comunicación con clientes y partes interesadas se convirtió en un segundo frente de responsabilidad. La Revisión Bean consideró que la comunicación con los clientes fue inadecuada, señaló que no se habían seguido las directrices voluntarias y recomendó requisitos obligatorios de comunicación con los clientes en caso de caídas importantes.
• El registro de reformas posteriores a la caída es importante porque muestra lo que faltaba: un custodio del Triple Zero, pruebas semestrales de extremo a extremo de las llamadas de emergencia, intercambio de datos sobre caídas en tiempo real, informes obligatorios posteriores a las caídas, deberes de notificación directa, mejor comunicación con los clientes y una planificación más amplia de redundancia por parte del gobierno y la industria.

La caída fue una prueba de seguridad pública, no solo un evento de fiabilidad de la operadora

La caída de Optus pertenece a la misma familia de responsabilidades que los incidentes de plano de control en la nube, los colapsos de programación de aerolíneas y las caídas de redes de pago, pero con una consecuencia más aguda para la seguridad pública. Cuando falla una aplicación minorista, los consumidores pueden perder comodidad y las empresas ventas.

Cuando falla una operadora nacional, la pregunta inmediata de continuidad es si los clientes aún pueden llamar a los servicios de emergencia, si los hospitales pueden coordinarse, si los operadores de transporte pueden continuar, si las pequeñas empresas pueden aceptar pagos, si los gobiernos pueden compartir información de situación, y si las personas vulnerables saben qué hacer.

El registro público formal es inusualmente sólido. El Gobierno australiano anunció una revisión posterior al incidente el 9 de noviembre de 2023 y posteriormente publicó laRevisión de la caída de Optus del 8 de noviembre de 2023, dirigida por Richard Bean. El informe final señala que la caída interrumpió los servicios para los clientes de Optus y los clientes de revendedores de Optus, afectó a consumidores, empresas, servicios gubernamentales, infraestructura de salud pública y seguridad, y afectó a alrededor de 10 millones de clientes y casi medio millón de empresas.

La Autoridad Australiana de Comunicaciones y Medios (ACMA) elaboró posteriormente el registro de aplicación. El comunicado de ACMA de noviembre de 2024,Optus paga una multa de 12 millones de dólares por la caída del Triple Zero, indica que las subsidiarias de Singtel Optus pagaron multas por un total de más de 12 millones de dólares tras infringir las normas sobre llamadas de emergencia. ACMA determinó que Optus no proporcionó acceso al servicio de llamadas de emergencia para 2,145 personas durante la caída y no realizó 369 verificaciones de bienestar requeridas a personas que habían intentado hacer una llamada de emergencia.

Estos dos registros responden a preguntas diferentes. La Revisión Bean no fue una adjudicación de cumplimiento. Indicó explícitamente que las causas técnicas, el cumplimiento regulatorio y la adecuación de cualquier compensación quedaban fuera de su ámbito principal. Su objetivo era lo que el sistema podía aprender sobre el Triple Zero, la respuesta del gobierno, la comunicación con los clientes, las quejas, la compensación y la resiliencia de las telecomunicaciones. Elinforme de investigación y la página de notificaciones de infracción de ACMA, por el contrario, constituyen el registro de cumplimiento del regulador en virtud de la ley de llamadas de emergencia. Un artículo responsable debe utilizar ambos sin colapsar uno en el otro.

La lección combinada es contundente: la resiliencia de las telecomunicaciones no es solo tiempo de actividad. Es la capacidad de la operadora para preservar el acceso a las llamadas de emergencia, gestionar fallos en el núcleo de la red, mantener canales de gestión accesibles, advertir a otros proveedores, compartir el estado con el gobierno y los actores de emergencia, comunicarse con precisión con los clientes y generar pruebas después de los hechos.

La cadena técnica era lo bastante controlable como para convertirse en una conclusión regulatoria

La historia pública de la caída comienza con la información de enrutamiento. La Revisión Bean señala que un gran número de enrutadores de Optus se aislaron automáticamente tras una sobrecarga de información de enrutamiento IP. Durante una actualización de software, la red de Optus recibió cambios en la información de enrutamiento de un enrutador de pares alternativo de Singtel, y esos cambios de enrutamiento se propagaron a través de múltiples capas de la red IP central. Alrededor de las 4:05 a. m.

AEDT, se superaron los límites de seguridad preestablecidos en un número significativo de enrutadores de la red de Optus y se perdió la conectividad con la red central.

La investigación de ACMA añade un detalle importante. Elinforme de investigación de ACMA en PDFseñala que el aumento de la información de enrutamiento se produjo tras una actualización de software rutinaria en una de las redes de tránsito internacional ascendentes de Optus, el intercambio de internet de Singtel. Los enrutadores STiX en América del Norte se actualizaron, el tráfico se redirigió a un enrutador de pares alternativo de Singtel en Asia, y el redireccionamiento se produjo como se esperaba para una actualización de este tipo. La red de Optus recibió entonces un gran aumento de información de enrutamiento, concretamente información IPv6, que se propagó a través de múltiples capas hasta que superó los límites de seguridad preestablecidos en algunos enrutadores centrales.

Esta distinción es importante. Si el análisis se detiene en "una actualización ascendente de Singtel desencadenó un problema", la responsabilidad práctica se vuelve difusa. ACMA no se detuvo ahí. Aceptó que la actualización de software provocó un aumento de la información de enrutamiento, pero consideró que la caída se debió al autoaislamiento de los enrutadores centrales de Optus. Señaló que el mantenimiento de esos enrutadores y la arquitectura y configuración de la red de Optus estaban bajo el control de Optus.

También dijo que los límites predeterminados los había establecido un proveedor de equipos externo, pero que podrían haberse modificado.

Optus argumentó que el aumento del tráfico de enrutamiento estaba fuera de su control y que ni el proveedor de equipos ni los expertos externos habían identificado el riesgo del límite de seguridad del enrutador antes de la caída. ACMA rechazó la exculpación más amplia. Su informe afirma que el tráfico redireccionado se propagó a través de varias capas de la red de Optus sin provocar que otros enrutadores de otras capas de la red se aislaran automáticamente, y que la propia Optus declaró que la red debería haber soportado el cambio.

La frase del regulador sobre la responsabilidad es inusualmente directa: el silencio del proveedor de equipos o de los expertos externos no eximió a Optus ni transfirió el riesgo asociado a una configuración y gestión de cambios deficientes fuera de Optus.

Este es el núcleo del incidente. Un operador de red puede depender de proveedores, acuerdos de tránsito ascendentes, configuraciones predeterminadas, expertos externos y redes pares. Pero sigue siendo dueño de la arquitectura que decide si un cambio de enrutamiento razonable se convierte en un fallo nacional.

Es dueño de los controles de propagación de rutas, la revisión de los límites de seguridad, las pruebas de laboratorio, la preparación para la reversión, la telemetría, el aislamiento del plano de gestión, la asignación de dependencias y el proceso empresarial que pregunta si un cambio ascendente planificado podría sobrecargar un núcleo local.

Eso no significa que todos los detalles fueran conocidos públicamente antes del evento. El informe de ACMA está parcialmente redactado y no publica un mapa completo de la red de Optus. Tampoco demuestra que un ingeniero, proveedor o ejecutivo concreto tuviera conocimiento directo de la cadena de fallos precisa. La afirmación responsable es más concreta y contundente: la configuración y la arquitectura estaban bajo el control práctico de Optus, y el regulador consideró que se podrían haber tomado medidas razonablemente viables para mejorar la resiliencia antes de la caída.

El Triple Zero falló en el límite entre el fallo de red y el diseño de respaldo

El fallo de continuidad más grave no fue que el servicio ordinario de Optus estuviera caído. Una caída nacional ya es bastante grave. Pero se supone que el sistema de llamadas de emergencia debe tener un comportamiento de respaldo cuando la red doméstica de un usuario de móvil no está disponible. En términos generales, un dispositivo móvil puede "acampar" en otra red disponible para llamadas de emergencia si la red doméstica no puede cursar la llamada.

La Revisión Bean explica por qué esto no funcionó de forma fiable el 8 de noviembre. Con la pérdida de conectividad con la red central, las estaciones base 4G y 5G de Optus se apagaron automáticamente, o se marchitaron, para que los dispositivos pudieran buscar otras redes. Sin embargo, las unidades de radio 3G de Optus continuaron emitiendo señales porque mantenían la conectividad con la red central a través de un canal de voz, aunque las llamadas no podían progresar hasta el Triple Zero debido al fallo de la red central.

Algunos dispositivos detectaron esas señales 3G e intentaron hacer llamadas de emergencia a través de Optus en lugar de buscar otra red. Las llamadas recibieron una señal de error de la red de Optus.

El informe de ACMA expone el mismo problema en lenguaje de aplicación. La caída provocó la pérdida de conectividad con la red de operación y mantenimiento de Optus. Esa red O&M se utilizaba para supervisar los elementos de la red, incluidas las estaciones base. La pérdida dificultó que Optus identificara que las unidades 3G seguían emitiendo una señal y manteniendo las capacidades de transmisión de voz durante la caída. La señal 3G impidió que la mayoría de los dispositivos móviles acamparan en otras redes al hacer llamadas de emergencia, aunque las llamadas no podían ser cursadas por Optus.

Por lo tanto, el respaldo falló en el punto exacto en que los clientes normales no podían ver la diferencia. Una persona en peligro no sabría si su teléfono estaba conectado a una radio 3G rota, intentando acampar en otra red o silenciosamente atrapado entre los estados de la red de acceso y la red central. Desde la perspectiva del usuario, la única pregunta significativa es si la llamada de emergencia se establece y se mantiene.

Por eso son importantes las cifras de ACMA sobre llamadas de emergencia. El regulador encontró 2.145 llamadas de emergencia infructuosas en su anexo. Determinó que Optus Mobile no dio acceso al servicio de llamadas de emergencia a 2.091 usuarios finales que hicieron llamadas al 000 o al 112, Optus Networks falló para 41 de esos usuarios finales, y Optus Internet falló para 12. También encontró una llamada fallida al 106 para un servicio de línea fija suministrado por Optus Networks. Determinó que 2.145 llamadas no llegaron al punto de terminación correspondiente.

El marco regulatorio rechaza una visión meramente administrativa del acceso a emergencias. Optus argumentó, según el informe de ACMA, que el requisito pertinente se refería a la configuración de la red y no a la conexión real de las llamadas. ACMA rechazó esa opinión, citando el concepto legal de que una persona no tiene acceso a un servicio de llamadas de emergencia a menos que se pueda establecer y mantener una llamada cuando se intenta. En otras palabras, el acceso a emergencias no se satisface con una arquitectura nominal si el usuario no puede comunicarse.

Esta es una lección central de responsabilidad para todas las redes críticas. Un respaldo no existe porque los diagramas digan que existe. Existe cuando los dispositivos reales, los estados de radio reales, los fallos centrales reales y el enrutamiento real de llamadas de emergencia se comportan correctamente bajo presión.

La gestión fuera de banda no era un problema secundario

La gestión fuera de banda es fácil de tratar como un detalle de ingeniería hasta el momento en que una red está caída y el operador no puede acceder a los componentes que necesita controlar. En el caso de Optus, se convirtió en un control de seguridad pública.

La Revisión Bean señala que dos causas fundamentales de la incapacidad de Optus para garantizar que los clientes pudieran llamar con éxito al Triple Zero acampando en otras redes fueron la imposibilidad de acceder a la infraestructura central a través de la red de operación y mantenimiento o la red fuera de banda, y la incapacidad de forzar el apagado de las estaciones base de radio 3G.

La revisión recoge que Optus dijo que tenía opciones posteriores a la caída si la red OAM estaba disponible, incluida la anulación remota del marchitamiento automático, pero que el 8 de noviembre la red OAM no estaba disponible y Optus no pudo apagar manual ni remotamente la red 3G para forzar el marchitamiento.

ACMA señaló lo mismo de forma más tajante. Su informe indica que la red O&M es esencial para mantener el funcionamiento adecuado y eficaz de la red porque supervisa el estado y gestiona partes de la red, incluidas las estaciones base móviles. Consideró que Optus no había tomado medidas viables para implementar conexiones de red fuera de banda para gestionar eficazmente la red en caso de caída. Consideró que el diseño de la red O&M debería haber reducido la dependencia de la red central para que el riesgo de fallos en cascada se redujera a un nivel aceptable.

Optus declaró a ACMA que la red OOB no se utilizaba para cursar llamadas de emergencia y, por lo tanto, no estaba sujeta a la sección pertinente de la determinación de llamadas de emergencia. ACMA rechazó esta alegación. El regulador dijo que el fallo de OOB era pertinente porque los fallos relacionados con la red O&M significaban que la red en general no funcionaba de forma adecuada y eficaz.

Señaló que un funcionamiento eficaz de OOB podría haber reducido el alcance, el impacto y la duración de la caída al proporcionar un método fiable para el mantenimiento de las partes afectadas de la red, en particular el fallo en el apagado de las torres 3G.

Esta conclusión es importante más allá de Optus. Las redes de gestión, las rutas de acceso remoto, los controles de alimentación, los sistemas de observabilidad, el acceso privilegiado y los manuales operativos de emergencia suelen tratarse como controles internos de fiabilidad. En las infraestructuras críticas, se convierten en controles públicos. Deciden si el operador puede poner la red en un estado degradado más seguro cuando el plano de servicio principal ha fallado.

El estado degradado más seguro aquí no era "restaurar todo instantáneamente". Era más básico: dejar de emitir una señal 3G engañosa para que los teléfonos pudieran intentar llamadas de emergencia a través de otra red. Por lo tanto, la tarea de ingeniería estaba vinculada a la consecuencia humana. Una dependencia del plano de gestión impidió que un respaldo de seguridad pública funcionara a escala.

La comunicación con los clientes se convirtió en su propio fallo de continuidad

La caída también puso de manifiesto los límites de las prácticas voluntarias de comunicación con los clientes. La Revisión Bean recoge que Optus emitió su primer comunicado a los medios a las 6:33 a. m., aproximadamente dos horas y media después del inicio de la caída, y otro a las 8:16 a. m. Optus dijo que consideraba que la comunicación a través de los medios era la vía más rápida y eficaz porque los clientes no podían acceder a los servicios de Optus. También se puso en contacto con clientes empresariales, publicó en su sitio web y redes sociales una vez que volvió a estar en línea a las 12:55 p.

m., proporcionó información en las tiendas minoristas a partir de las 2:00 p. m., y el director ejecutivo concedió 11 entrevistas a los medios.

La revisión no aceptó que esto fuera suficiente. Señala que Optus consideró que su comunicación era adecuada y apropiada, pero que esta opinión no fue compartida por otros, incluida la propia revisión. Informa de la insatisfacción de los clientes, de las cartas y correos electrónicos públicos dirigidos al Ministro de Comunicaciones y de la preocupación de los defensores de los consumidores por la falta de información oportuna y clara que causó angustia, especialmente a las personas vulnerables, a las personas con discapacidad, a los usuarios de bajos ingresos y a las comunidades regionales, rurales y remotas.

La conclusión de la revisión es clara: la comunicación durante la caída de Optus fue inadecuada. Señala los retrasos en informar a los clientes, la falta de respuestas detalladas sobre la causa y el impacto a lo largo del día, y la falta de plazos de rectificación. También dice que la directriz del Protocolo de Comunicación de Emergencia de la Alianza de Comunicaciones era limitada, dejaba mucho a la discreción del proveedor y no parecía haber sido seguida por Optus.

Esto no es meramente reputacional. La comunicación es un control de continuidad. Un cliente sin servicio móvil o de internet necesita saber si se puede contactar con el Triple Zero, si la línea fija está afectada, si debe cambiar de ubicación, si los hospitales y los proveedores de atención a personas mayores tienen canales de contacto alternativos, si los terminales de pago están afectados, si los revendedores forman parte de la caída, si los servicios empresariales están afectados y cuándo debe dejar de esperar y cambiar a un proveedor de respaldo.

Para las pequeñas empresas, el problema de comunicación es especialmente concreto. La revisión estimó que casi medio millón de empresas se vieron afectadas. Una cafetería que no puede procesar pagos con tarjeta, una consulta médica que no puede recibir llamadas, un mensajero que depende de los datos móviles o un trabajador autónomo que espera llamadas de clientes necesita información de restauración que respalde sus decisiones. ¿Hay que enviar al personal a casa? ¿Hay que poner en marcha procesos de solo efectivo? ¿Hay que distribuir una SIM de respaldo? ¿Hay que cancelar las citas?

"Estamos trabajando en ello" no responde a esas preguntas operativas.

La recomendación de la revisión se produjo de forma natural: ACMA debería desarrollar una norma o determinación que exija a las operadoras que comuniquen información específica a los clientes durante las caídas y sobre ellas. Esto supone un cambio de la comunicación de crisis gestionada por la marca a una comunicación mínima regulada.

Los revendedores y otros proveedores no fueron meros espectadores

La red de Optus daba soporte a clientes de revendedores, así como a clientes directos de Optus. Esto creó otra capa de responsabilidad: cuando la operadora subyacente falla, los proveedores de servicios de comunicaciones descendentes y sus clientes necesitan una notificación directa y utilizable.

ACMA determinó que Optus Mobile y Optus Networks incumplieron sus obligaciones de notificación a otros proveedores de servicios de comunicaciones. El informe del regulador señala que Optus Mobile proporcionó una lista de 16 CSP y Optus Networks una lista de 20 CSP a los que proporcionaban el acceso pertinente. Optus se basó principalmente en los canales de los medios de comunicación nacionales, las redes sociales, los comunicados de prensa y las actualizaciones del sitio web para notificar a los CSP que utilizaban la red de Optus.

ACMA consideró que esas declaraciones eran comunicaciones públicas amplias y no avisos directos a los propios CSP y determinó que no cumplían los requisitos de notificación. Optus reconoció que no notificó directamente a los CSP identificados en las conclusiones preliminares.

Esto es importante porque la dependencia mayorista cambia la forma del perjuicio para el cliente. Un cliente de un revendedor puede no saber que la red subyacente es Optus. La mesa de ayuda de un revendedor puede verse inundada de quejas sin tener un estado directo, hechos técnicos, información sobre llamadas de emergencia o estimaciones de restauración. Los proveedores descendentes pueden necesitar enviar alertas, ajustar los guiones de atención al cliente, advertir a los usuarios vulnerables y coordinarse con los clientes empresariales.

En una caída nacional, los comunicados de prensa no pueden sustituir a la notificación operativa directa. Las cadenas de dependencia críticas necesitan contactos designados, rutas de escalado, fuentes de estado y un lenguaje preacordado. La operadora responsable debe saber quién depende de su red antes de la caída, no descubrir esas relaciones a través de la confusión pública durante la caída.

Las conclusiones más amplias de la Revisión Bean sobre la coordinación apuntan en la misma dirección. Encontró deficiencias de comunicación, colaboración e intercambio de información a lo largo del día y dijo que los protocolos existentes no funcionaron eficazmente para proporcionar una respuesta clara y coordinada entre las principales partes interesadas. No se cumplió el Protocolo de Notificación de Interrupciones Graves del Servicio. El Mecanismo de Coordinación Nacional se activó por la tarde y celebró dos reuniones, pero la revisión consideró que una coordinación gubernamental más temprana y clara habría sido valiosa.

El escrutinio parlamentario amplió el mismo registro. Elinforme sobre la caída de la red de Optusdel Comité de Referencias de Medio Ambiente y Comunicaciones del Senado y sucolección de presentaciones públicasmuestran cómo los grupos de consumidores, los participantes de la industria, los organismos gubernamentales y las partes interesadas afectadas trataron la caída como un evento de responsabilidad pública en lugar de una disputa privada de servicio al cliente. Ese material parlamentario no sustituye a las conclusiones de aplicación de ACMA, pero refuerza el hecho de que una caída de una operadora nacional crea necesidades de pruebas en todo el ecosistema.

Por lo tanto, las caídas de las operadoras no son eventos bilaterales entre una empresa y sus clientes minoristas. Se mueven a través de revendedores, organizaciones de servicios de emergencia, la Persona de Llamadas de Emergencia, los reguladores, los ministros, las agencias estatales y territoriales, los hospitales, los operadores de transporte, los proveedores de pago y los clientes empresariales. La responsabilidad sigue el gráfico de dependencia.

Las verificaciones de bienestar mostraron el extremo humano de la cadena de cumplimiento

El fallo de las llamadas de emergencia no termina cuando la red vuelve. Si alguien intentó hacer una llamada de emergencia y falló, el sistema debe responder a una pregunta humana: ¿recibió la persona ayuda posteriormente?

ACMA determinó que Optus no realizó las verificaciones de bienestar requeridas para 369 llamadas. Su informe señala que Optus realizó verificaciones de bienestar tan pronto como fue posible para 183 de las 2.145 llamadas. Aceptó que se aplicaba una excepción para 31 llamadas porque el usuario final realizó posteriormente una llamada de emergencia exitosa que acampó en la red de Telstra. Aceptó que se aplicaba otra excepción para 1.562 llamadas porque la ubicación del equipo del cliente móvil había cambiado desde que se realizó la llamada. Eso dejó 369 llamadas que requerían verificaciones de bienestar.

Optus reconoció que no llevó a cabo las verificaciones de bienestar para esas llamadas, 361 relacionadas con usuarios finales de Optus Mobile y ocho con usuarios finales de Optus Networks.

El deber de verificación del bienestar no es una ocurrencia burocrática tardía. Es la última oportunidad conocida del sistema para identificar a una persona que intentó buscar ayuda y que aún puede estar en riesgo. El proceso puede implicar un contacto telefónico o por SMS y, si el contacto falla, la derivación a la policía estatal o territorial. Una operadora que no puede identificar las llamadas de emergencia infructuosas, comprobar si se produjeron llamadas exitosas posteriores o realizar verificaciones de bienestar con prontitud tiene un vacío de continuidad que persiste después de la restauración de la señal.

Aquí es donde la responsabilidad de las telecomunicaciones se vuelve más humana. El registro de llamadas fallidas no es solo un conjunto de datos. Cada registro puede representar a una persona en una emergencia médica, un incidente violento, un incendio, un accidente de tráfico o un hogar vulnerable. Las prácticas de pruebas de un operador de red, los registros detallados de llamadas, la lógica de excepciones, la gestión de la ubicación del cliente y los flujos de trabajo posteriores a la caída deciden si esa persona desaparece en las estadísticas de la caída o recibe un seguimiento.

La redacción del comunicado de ACMA es adecuadamente severa. Dice que la disponibilidad del Triple Zero es el servicio más fundamental que las empresas de telecomunicaciones deben proporcionar al público, y que cuando una llamada de emergencia no se conecta puede haber consecuencias devastadoras para la salud y la seguridad públicas. El comunicado también dice que Optus no hizo un seguimiento de la seguridad y el bienestar de más de 360 clientes una vez resuelta la caída.

Ningún registro público debe exagerar lo que se sabe. El informe de ACMA no publica las circunstancias de emergencia individuales de las 2.145 llamadas infructuosas. No dice que cada llamada fallida causara una lesión específica. Sí establece que el acceso a emergencias y los deberes de seguimiento fallaron a gran escala, y eso es suficiente para una conclusión de responsabilidad de alta confianza.

Las consecuencias de gobernanza llegaron a la cúpula de Optus

La caída también produjo consecuencias ejecutivas visibles. El 20 de noviembre de 2023, Singtel anunció que la directora ejecutiva de Optus, Kelly Bayer Rosmarin, había dimitido. Elanuncio de la empresade Singtel decía que ella había dirigido Optus en un período difícil y que la empresa nombraría a un director ejecutivo interino mientras buscaba un sustituto. El anuncio no asignaba por sí mismo responsabilidad legal por la caída, pero demostró que la responsabilidad se movió por encima de la gestión de ingeniería.

Los propios informes financieros de Singtel registraron la importancia operativa. Elinforme anualde Singtel analiza a Optus como un negocio importante y refleja un período de presión operativa y de reputación tras la caída y los problemas cibernéticos anteriores. Los informes anuales no son informes forenses de incidentes, pero muestran cómo una caída nacional se convierte en un asunto de gobernanza, marca, inversión y regulación para un grupo matriz.

La capa ejecutiva no debe ocultar la capa de ingeniería. La dimisión del CEO no sustituye a los controles de ruta modificados, las pruebas de llamadas de emergencia, el endurecimiento de la gestión OOB, la notificación a los revendedores o la disciplina de verificación del bienestar. Pero la rotación de liderazgo es pertinente porque la postura de resiliencia de un operador de telecomunicaciones es producto de los presupuestos, el apetito de riesgo, las prioridades de modernización, la supervisión de los proveedores, la presión del consejo, las relaciones con los reguladores y la preparación para las crisis.

El paquete de reformas recomendado por la Revisión Bean refuerza que el problema no era una sola persona.

Hizo 18 recomendaciones que abarcaban las obligaciones de llamadas de emergencia, la supervisión del custodio, las pruebas semestrales de extremo a extremo, el comportamiento de los dispositivos, el intercambio de datos de caídas en tiempo real, los informes posteriores a las caídas, los protocolos de interrupción, el contrato de la Persona de Llamadas de Emergencia, la coordinación gubernamental, la comunicación con los clientes, las quejas, la compensación, la itinerancia temporal, la asistencia mutua, el acceso remoto a las herramientas de gestión de red, la redundancia del gobierno y la revisión de la legislación y la regulación del

Triple Zero.

La respuesta del Gobierno australiano aceptó la necesidad de una reforma sistémica. Larespuesta del gobiernoa la Revisión Bean apoyó o apoyó en principio las recomendaciones y se comprometió a realizar cambios en todo el ecosistema de las telecomunicaciones. Esta postura es importante porque evita fingir que la caída fue solo un problema de una empresa privada. Optus tenía la responsabilidad operativa directa de su red, pero el gobierno también tuvo que afrontar las lagunas en la supervisión, la coordinación y la gobernanza de las llamadas de emergencia.

El Custodio del Triple Zero es una respuesta de gobernanza a un vacío de propiedad

Una de las conclusiones más importantes de la Revisión Bean es que el Triple Zero funciona como un ecosistema. El acceso de una persona que llama a emergencias depende del operador de origen, el comportamiento del dispositivo, el estado de la red, la Persona de Llamadas de Emergencia, las organizaciones de servicios de emergencia, los reguladores, los contratos, los comités de la industria y los servicios de respuesta estatales y territoriales. Antes de la caída, ningún organismo único tenía la responsabilidad de custodia de extremo a extremo de ese ecosistema.

La revisión señala que Telstra es la Persona de Llamadas de Emergencia para el 000 y el 112 en virtud de acuerdos contractuales y regulatorios, respondiendo y transfiriendo las llamadas al Triple Zero. También dice que el contrato de ECP no exige a Telstra que supervise la entrega de extremo a extremo del servicio del Triple Zero ni que actúe como custodio del ecosistema en su conjunto. ACMA regula el cumplimiento, pero la regulación no es lo mismo que la custodia operativa. Los comités existentes apoyan la coordinación, pero la revisión consideró que no estaban bien adaptados para actuar como custodio.

Lainformación sobre servicios de emergenciade Telstra es un contexto útil para la función de ECP porque describe la vía de llamada de emergencia de cara al público sin convertir a Telstra en el propietario del estado de la red de cada operador de origen. La distinción de responsabilidad es importante: la Persona de Llamadas de Emergencia puede responder y transferir las llamadas que recibe, mientras que Optus seguía teniendo que garantizar que sus clientes pudieran llegar a esa vía durante un fallo de red.

Esa brecha se hizo visible en la caída de Optus. Si la red de un operador está fallando, si algunas capas de radio se comportan de forma diferente a otras, si un teléfono puede o no acampar, si otros proveedores necesitan un estado en tiempo real, si los servicios de emergencia necesitan entender lo que está sucediendo, y si el gobierno necesita una imagen compartida, ¿quién es el responsable de la salud de extremo a extremo del sistema?

La respuesta de la revisión fue establecer un custodio del Triple Zero con supervisión y responsabilidad general del funcionamiento eficiente del ecosistema, incluida la supervisión del rendimiento de extremo a extremo.

El material actual delCustodio del Triple Zerodel Departamento muestra que esta reforma fue más allá de la recomendación. Se pretende que la función de custodio mejore la supervisión, la coordinación, el seguimiento y el intercambio de información en todo el ecosistema del Triple Zero. Eso no es lo mismo que hacer que un organismo sea responsable del diseño de la red de cada operador. Es una forma de garantizar que el sistema tenga a alguien que mire toda la cadena en lugar de solo los silos estatutarios individuales.

Para el análisis de la responsabilidad, la reforma del custodio cambia el estándar futuro. Un operador seguirá siendo juzgado por su propia arquitectura y sus obligaciones de llamadas de emergencia. Pero el sistema en general también debe ser juzgado por si puede detectar la degradación de extremo a extremo, obligar al intercambio de información en tiempo real, coordinar los mensajes públicos y aprender de los cuasi accidentes antes de que una llamada fallida se convierta en una tragedia.

Las pruebas obligatorias son la diferencia entre el respaldo supuesto y el respaldo probado

La revisión recomendó pruebas semestrales de extremo a extremo de todos los aspectos del ecosistema del Triple Zero dentro de las redes y entre ellas. Dijo que las pruebas debían incluir la funcionalidad y la capacidad de la red durante caídas de varios tipos, el comportamiento de todos los dispositivos conocidos en diferentes circunstancias, y la interoperabilidad desde el operador de origen hasta la ECP y el punto de respuesta del servicio de emergencia durante las caídas. Las deficiencias identificadas deben notificarse a ACMA con planes de corrección y calendarios.

Esa recomendación apunta a la debilidad precisa que expuso Optus. La función de acampada de emergencia puede funcionar en muchos escenarios ordinarios de pérdida de cobertura. La cuestión es si funciona cuando los sitios 4G y 5G de un operador se marchitan pero los sitios 3G siguen emitiendo, cuando el núcleo es inalcanzable, cuando las rutas O&M están caídas, cuando los dispositivos varían según el modelo y el firmware, y cuando un cliente se mueve a través de los límites de cobertura.

Las pruebas tienen que ser lo suficientemente adversativas como para romper las suposiciones reconfortantes. Deben incluir fallos parciales, señales engañosas, estados de radio obsoletos, planos de gestión fallidos, clientes de revendedores, dispositivos antiguos, poblaciones de dispositivos propios, bordes de cobertura rural, servicios de voz empresariales y servicios de línea fija.

No solo debe preguntarse "¿se conecta la llamada?", sino "¿sabe el operador qué usuarios fallaron, se pueden conciliar los registros de llamadas fallidas, se pueden iniciar verificaciones de bienestar y se pueden emitir orientaciones públicas?".

ACMA ya ha actualizado los requisitos de las llamadas de emergencia y ha señalado nuevos cambios. Su comunicado dice que se hicieron actualizaciones a laDeterminación de Telecomunicaciones (Servicio de Llamadas de Emergencia) de 2019, y que se estaba desarrollando una nueva norma industrial para la comunicación con los clientes durante las caídas y cambios en la gestión de quejas. LaNorma Industrial de Telecomunicaciones (Comunicación con los Clientes para Caídas) de 2024forma parte de ese movimiento posterior a la caída hacia una conducta de comunicación obligatoria.

La diferencia entre las directrices voluntarias y las pruebas obligatorias es la evidencia. Después de la próxima caída, un operador debería poder mostrar la última prueba de llamada de emergencia entre redes, las clases de dispositivos probadas, los modos de fallo simulados, las deficiencias encontradas, el cronograma de corrección, los informes del regulador y el propietario de la gobernanza. Sin ese registro, "creíamos que el respaldo funcionaría" no es un argumento de resiliencia.

Las quejas y la compensación fueron demasiado individualizadas para una caída masiva

La Revisión Bean también examinó las quejas y la compensación. El problema no era simplemente si Optus dio algo a los clientes. Optus anunció datos adicionales para clientes móviles y de prepago elegibles y velocidades de internet doméstico más rápidas para el mes de diciembre para clientes de internet doméstico. La revisión señaló la insatisfacción manifestada con la oferta y se centró en si los mecanismos existentes de queja y compensación eran adecuados para una caída a escala de crisis.

El Defensor del Pueblo de la Industria de las Telecomunicaciones (TIO) desempeña un papel central en las quejas individuales. La revisión describe alTIOcomo un servicio gratuito e independiente de resolución de disputas para consumidores, pequeñas empresas, organizaciones sin ánimo de lucro, ocupantes y propietarios de propiedades con quejas sobre proveedores de telefonía o internet. El TIO puede ayudar en ciertas reclamaciones de compensación, incluyendo la pérdida de beneficios empresariales debido a fallos de red, los costes de servicios alternativos y las molestias no financieras en algunas circunstancias.

Pero una caída masiva somete a tensión la gestión individualizada de las quejas. La revisión recomendó modificar las normas de gestión de quejas y las reglas de conservación de registros para que tengan en cuenta los impactos de las caídas de red y las expectativas de la comunidad durante los eventos de crisis. También recomendó un enfoque normalizado a nivel de industria para las resoluciones disponibles para los consumidores afectados por crisis o caídas a gran escala, incluyendo posibles formas de compensación y sanciones.

Esto es especialmente relevante para las pequeñas empresas. Un trabajador autónomo o un pequeño minorista puede haber sufrido medio día de pagos perdidos, llamadas perdidas, reservas fallidas o tiempo de inactividad del personal. Las pérdidas pueden ser reales pero difíciles de probar a un nivel que justifique una escalada formal de la disputa. Un marco de compensación normalizado para caídas no puede capturar todas las pérdidas, pero puede reducir la carga administrativa de hacer que miles de personas demuestren pequeñas reclamaciones una por una.

LaACCCy la arquitectura de protección del consumidor son relevantes en segundo plano porque las caídas de las telecomunicaciones pueden generar tanto cuestiones de calidad de servicio como de conducta de mercado. El análisis de la Revisión Bean sobre los mecanismos de queja designados apunta hacia una gestión colectiva de las cuestiones significativas o sistémicas que afectan a los consumidores o a las pequeñas empresas. Eso no significa que cada caída deba producir grandes pagos automáticos. Significa que el sistema necesita una vía para eventos masivos que reconozca el coste práctico de la prueba individual.

La lección de continuidad más amplia es que la compensación no es un sustituto de la resiliencia. Los datos adicionales no restablecen una llamada de emergencia fallida. Un crédito en la factura no reabre un negocio en el momento en que su terminal de pago está caído. Pero el diseño de la compensación y las quejas forma parte de la responsabilidad porque decide si el daño se reconoce y se resuelve de forma proporcionada después del fallo del servicio.

La continuidad del sector público fue tanto víctima como respuesta

La categoría manifiesta de este artículo incluye la continuidad del sector público porque la caída de Optus afectó directamente a las funciones gubernamentales y de servicios de emergencia. La Revisión Bean señala que los hospitales se vieron obstaculizados, las redes de transporte se interrumpieron y los servicios gubernamentales se vieron afectados. También dice que las redes de telecomunicaciones australianas sustentan la infraestructura esencial del gobierno, la salud pública y la seguridad.

Ese contexto no es retórico. Lainformación del sector de las telecomunicacionesdel Centro de Infraestructura y Seguridad Cibernética sitúa a las telecomunicaciones dentro del marco de infraestructuras críticas de Australia, razón por la cual una caída de una operadora puede convertirse rápidamente en un problema de administración pública. ElMarco de Gestión de Crisis del Gobierno australianoy laAgencia Nacional de Gestión de Emergenciasproporcionan el telón de fondo de coordinación más amplio para la crítica de la revisión de que la información sobre la caída, la escalada y la respuesta de todo el gobierno necesitaban vías más claras.

El sector público tuvo un doble papel. Fue usuario de la red y coordinador de la respuesta. Los organismos gubernamentales necesitaban conectividad y conocimiento de la situación. El Mecanismo de Coordinación Nacional se reunió en la tarde del 8 de noviembre e incluyó a representantes de organismos del Gobierno australiano y de los departamentos de los primeros ministros de los estados y territorios y de los organismos de respuesta a emergencias.

La revisión consideró que esas reuniones funcionaron eficazmente una vez convocadas, pero también que los protocolos y marcos existentes no proporcionaron una respuesta clara y coordinada a lo largo del día.

La revisión recomendó mejorar el Protocolo de Notificación de Interrupciones Graves del Servicio con requisitos claros para la comunicación y colaboración del gobierno durante las caídas de las telecomunicaciones a través de un punto de coordinación central. Dijo que esto debería cubrir a los operadores, los ministros correspondientes, los organismos de la Commonwealth, los estados y territorios, el TIO, la ACCC, ACMA, las organizaciones de servicios de emergencia y otras partes pertinentes.

También recomendó que los gobiernos australianos revisaran sus acuerdos para mantener sus propias operaciones durante las caídas, incluida la redundancia de las telecomunicaciones para los servicios críticos.

Ese último punto es esencial. El gobierno no puede regular una caída nacional de forma eficaz si los propios organismos gubernamentales no tienen comunicaciones redundantes. Los hospitales públicos, los organismos de emergencia, las salas de control de transporte, los servicios de bienestar, los tribunales, las escuelas y los gobiernos locales no deberían asumir que una única conexión de operador es adecuada para las operaciones de crisis. La operadora es responsable de su red; los organismos públicos son responsables de conocer su propia dependencia de ella.

Esto no es un llamamiento para que cada pequeña oficina construya un búnker de telecomunicaciones. Es un llamamiento a una redundancia escalonada en función de la criticidad: servicio móvil multioperador para el personal de emergencia, rutas de internet de respaldo para los centros de control, respaldo analógico o de radio cuando sea apropiado, listas de contactos impresas, canales de mensajería de crisis no vinculados a un único proveedor, y soluciones probadas para los pagos, el despacho y la comunicación con los pacientes.

Por lo tanto, la caída de Optus fue una auditoría de continuidad para el país. Mostró no solo dónde falló Optus, sino dónde los hospitales, las empresas, los organismos y los hogares carecían de planes de respaldo prácticos.

El mapa de responsabilidad: lo que Optus controlaba y lo que no

Un mapa de responsabilidad justo separa el desencadenante, la arquitectura controlable, la respuesta operativa, el marco regulador y la preparación descendente.

Optus no controlaba directamente todas las acciones ascendentes en la red internacional de Singtel. No fabricaba todos los enrutadores. No diseñaba el comportamiento de llamada de emergencia de todos los dispositivos. No gestionaba la comunicación con los clientes de todos los revendedores. No operaba la Persona de Llamadas de Emergencia ni las organizaciones de servicios de emergencia. No creó la fragmentación estatutaria preexistente en torno a la supervisión del ecosistema del Triple Zero.

Pero Optus sí controlaba, o influía materialmente, en la arquitectura de su propia red, la configuración de los enrutadores, la decisión de mantener los límites de seguridad predeterminados de terceros o cambiarlos, el diseño de propagación de enrutamiento, la dependencia de la gestión O&M y fuera de banda de la red central, la capacidad de forzar el marchitamiento de 3G, las pruebas del comportamiento de las llamadas de emergencia bajo un fallo del núcleo, la notificación directa a los CSP descendentes, la comunicación pública, la comunicación con los clientes empresariales, los registros de llamadas fallidas, la ejecución de las

verificaciones de bienestar y las pruebas de corrección posteriores a la caída.

Las conclusiones del regulador respaldan esa asignación. ACMA determinó que la caída era evitable en la medida en que el autoaislamiento de los enrutadores centrales, la arquitectura y la configuración estaban dentro del control de Optus. Determinó que Optus no mantuvo el funcionamiento adecuado y eficaz de las redes e instalaciones controladas. Encontró un acceso fallido a las llamadas de emergencia, un transporte de llamadas fallido hasta los puntos de terminación, un fallo en la notificación directa a ciertos CSP y un fallo en la realización de las verificaciones de bienestar requeridas.

El gobierno controlaba una capa diferente: si el ecosistema tenía un custodio, si existían normas obligatorias de comunicación y pruebas, si los protocolos de interrupción eran claros, si los organismos tenían redundancia, si la legislación seguía el ritmo de la dependencia móvil y si los poderes del regulador eran suficientes. La aceptación por parte del gobierno de las recomendaciones de reforma es una admisión implícita de que el antiguo sistema no creaba suficiente garantía compartida.

Los clientes y las pequeñas empresas controlaban lo mínimo. Algunos podían comprar SIM de respaldo, mantener procedimientos de manejo de efectivo, mantener internet alternativo o utilizar múltiples operadoras para operaciones críticas. Pero los clientes individuales no pueden probar el comportamiento de marchitamiento de 3G de un operador nacional. Una pequeña empresa no puede inspeccionar la red fuera de banda de Optus. Las personas que llaman a emergencias no pueden elegir la arquitectura durante una crisis.

Esa asimetría es la razón por la que la responsabilidad de la operadora debe ser más fuerte que el principio ordinario de precaución del consumidor.

Lo que hay que volver a probar antes de restaurar la confianza

La prueba práctica después de Optus no es si la empresa puede decir que hizo cambios. Es si esos cambios pueden demostrarse bajo presión.

En primer lugar, la garantía de cambio de enrutamiento debe ser probada de nuevo. Optus y otras operadoras deben poder mostrar cómo se modelan los cambios de ruta ascendentes planificados, cómo se limita el crecimiento de la tabla de rutas IPv6, cómo se revisan los límites de seguridad de los enrutadores, cómo se cuestionan las configuraciones predeterminadas de los proveedores, cómo los entornos de laboratorio reproducen los modos de fallo, y cómo se aplican las congelaciones de cambios o las reglas de reversión cuando las capas de red críticas están en riesgo.

En segundo lugar, el respaldo de las llamadas de emergencia debe probarse de nuevo en todas las generaciones de radio, incluidas las lecciones residuales de 3G incluso después del apagado de la red. La lección no debe tratarse como obsoleta porque las redes 3G se están retirando. Los fallos futuros pueden involucrar 4G, núcleos autónomos 5G, voz sobre LTE, voz sobre Wi-Fi, voz empresarial, acceso inalámbrico fijo, complementos satelitales o comportamientos específicos del dispositivo.

El principio es que ninguna capa de acceso debe inducir a error a un dispositivo para que intente una llamada que no puede progresar si otra red podría cursarla.

En tercer lugar, el acceso O&M y fuera de banda debe probarse de nuevo como un sistema de supervivencia. Las rutas de gestión necesitan independencia, capacidad, autenticación y simulacros operativos. La cuestión no es si los ingenieros pueden acceder a los sistemas en un día normal. Es si pueden ver y controlar los componentes adecuados cuando la red central está parcialmente caída, la telemetría es incompleta y la seguridad pública depende de poner la red en un estado degradado más seguro.

En cuarto lugar, la comunicación con las partes interesadas debe probarse con plantillas y listas de contactos reales. Una caída nacional debe desencadenar avisos directos a los revendedores, el estado de los servicios de emergencia, la coordinación gubernamental, los mensajes a los clientes, las actualizaciones de los medios de comunicación, la publicación en el sitio web y en la página de estado, los guiones para el comercio minorista, los avisos a los clientes empresariales y la orientación a los clientes vulnerables. Lanorma de comunicación con los clientes de ACMAdebe tratarse como un suelo, no como el manual completo.

En quinto lugar, las operaciones de verificación del bienestar deben ser objeto de simulacros. Los registros de llamadas de emergencia fallidas deben ser capturados, deduplicados, clasificados bajo excepciones, derivados cuando sea necesario y auditados. La operadora debe poder mostrar cuántas llamadas fallaron, cuántas tuvieron éxito posteriormente, cuántas requirieron verificaciones de bienestar, con qué rapidez comenzaron las verificaciones y cómo se validaron las excepciones.

Por último, el ecosistema de reformas debe ser informado públicamente con suficiente detalle para apoyar la confianza. El público no necesita diagramas de red sensibles. Sí necesita pruebas de que la última caída produjo cambios probados, reglas aplicables, una custodia designada y una clara responsabilidad para el próximo fallo.

La lección más amplia es que el respaldo es un producto, no una promesa

A menudo se recuerda la caída de Optus del 8 de noviembre de 2023 como un día sin teléfonos ni internet. Eso es exacto pero incompleto. Su verdadero significado es que expuso la frágil frontera entre el respaldo supuesto y el respaldo probado.

El acceso al Triple Zero dependía de muchas cosas que funcionaran juntas: enrutadores que absorbieran los cambios de ruta, conectividad de la red central, apagado de las estaciones base, comportamiento de acampada del teléfono, visibilidad de O&M, transporte de llamadas de emergencia, disponibilidad de ECP, notificación a los revendedores, procedimientos de verificación del bienestar y orientación pública. Algunas partes funcionaron. Otras no. La consecuencia fue que miles de llamadas de emergencia no pudieron establecerse y mantenerse.

El registro público posterior a la caída es inusualmente explícito sobre el control. ACMA no aceptó que el cambio ascendente, los valores predeterminados del proveedor o el silencio de los expertos externos eliminaran la responsabilidad de Optus por su propia arquitectura y configuración de red. La Revisión Bean no intentó distribuir culpas de la misma manera, pero identificó brechas del sistema que debían solucionarse: ningún custodio de extremo a extremo, pruebas obligatorias insuficientes, reglas de comunicación débiles, coordinación poco clara y preparación inadecuada para caídas amplias de las telecomunicaciones.

Ese es el marco de responsabilidad maduro. La operadora es responsable de la resiliencia y el comportamiento de las llamadas de emergencia de su red. El regulador es responsable de los mínimos exigibles y de las acciones de cumplimiento. El gobierno es responsable de la coordinación del sistema y de la redundancia del sector público. Las empresas son responsables de una planificación realista de las dependencias. No se debe esperar que los clientes entiendan la arquitectura de las telecomunicaciones antes de marcar el Triple Zero.

La caída también muestra por qué la confianza pública no puede restaurarse solo con disculpas. La confianza se restaura con pruebas: controles de enrutamiento probados, rutas de gestión endurecidas, respaldo de llamadas de emergencia demostrado, comunicación clara con los clientes, notificación directa a las partes interesadas, verificaciones de bienestar completadas, soluciones normalizadas, aplicación por parte del regulador e informes públicos que permitan a la comunidad ver lo que ha cambiado.

En ese sentido, la caída de Optus no fue solo un fallo de conectividad. Fue un fallo de garantía responsable. Una operadora que se vende como infraestructura nacional debe ser capaz de demostrar que cuando su red principal cae, la vía de emergencia, la vía de gestión y la vía de información pública no caen con ella.