Optus et la panne qui a transformé les appels d’urgence en test de responsabilité pour les opérateurs

Résumé

• La panne d'Optus du 8 novembre 2023 a été une défaillance de continuité des télécommunications nationales aux confins de la sécurité publique. L’examen Bean commandé par le gouvernement a estimé qu’environ 10 millions de clients et près d’un demi-million d’entreprises ont été touchés, tandis que l’ACMA a constaté plus tard qu’Optus n’avait pas fourni l’accès au service d’appels d’urgence à 2 145 personnes.
• Le déclencheur technique n’était pas une simple « panne d’internet ». L’enquête de l’ACMA indique qu’une mise à niveau logicielle de routine sur le réseau de transit amont international de Singtel a entraîné un réacheminement du trafic, qu’Optus a reçu une forte augmentation des informations de routage IPv6, que les routeurs centraux ont dépassé les limites de sécurité prédéfinies par un fournisseur tiers et que ces routeurs se sont auto-isolés.
• Les appels d’urgence n’ont pas échoué seulement parce que le service Optus habituel était en panne. Le problème de continuité le plus grave était que certaines unités radio 3G continuaient à émettre des signaux alors que les appels d’urgence ne pouvaient pas aboutir via le cœur de réseau d’Optus. Certains appareils tentaient d’utiliser ces signaux Optus plutôt que de se connecter à un autre opérateur, et Optus ne disposait pas du chemin de gestion à distance nécessaire pour forcer ces sites 3G à s’éteindre durant la panne.
• L’ACMA a traité cela comme un manquement à la conformité contrôlable, et non comme un événement amont inévitable. Son rapport indique qu’Optus contrôlait la configuration, l’architecture, la propagation du routage, la dépendance au réseau O&M et la réponse en matière de gestion des changements de son propre réseau. Optus a contesté certains aspects de cette analyse, mais le régulateur a rejeté l’argument selon lequel la panne échappait au contrôle d’Optus pour ce qui concerne les appels d’urgence.
• La communication avec les clients et les parties prenantes est devenue un deuxième volet de responsabilité. L’examen Bean a conclu que la communication avec les clients était inadéquate, que les recommandations volontaires ne semblaient pas avoir été suivies et a préconisé des exigences obligatoires en matière de communication client lors des pannes majeures.
• Le bilan des réformes post-panne est important car il montre ce qui manquait: un gardien du Triple Zero, des tests de bout en bout des appels d’urgence tous les six mois, un partage de données en temps réel sur les pannes, des rapports obligatoires après panne, des obligations de notification directe, une meilleure communication client et une planification plus large de la redondance gouvernementale et industrielle.

La panne a été un test de sécurité publique, pas seulement un incident de fiabilité des opérateurs

La panne d’Optus appartient à la même famille de responsabilité que les incidents de plan de contrôle dans le cloud, les effondrements de programmation des compagnies aériennes et les pannes des réseaux de paiement, mais avec une conséquence plus aiguë sur la sécurité publique. Lorsqu’une application grand public tombe en panne, les consommateurs perdent du confort et les entreprises des ventes. Lorsqu’un opérateur national tombe en panne, la première question de continuité est de savoir si les clients peuvent encore appeler les services d’urgence, si les hôpitaux peuvent se coordonner, si les transporteurs peuvent continuer, si les petites entreprises peuvent accepter les paiements, si les gouvernements peuvent partager des informations situationnelles et si les personnes vulnérables savent quoi faire.

Le dossier public officiel est exceptionnellement solide. Le gouvernement australien a annoncé une enquête post-incident le 9 novembre 2023 et a publié plus tard laReview into the Optus outage of 8 November 2023(en anglais), dirigée par Richard Bean. Le rapport final indique que la panne a perturbé les services pour les clients d’Optus et de ses revendeurs, interrompu les consommateurs, les entreprises, les services gouvernementaux, la santé publique et les infrastructures de sécurité, et affecté environ 10 millions de clients et près d’un demi-million d’entreprises.

L’Autorité australienne des communications et des médias (ACMA) a ensuite produit le dossier de sanction. La publication de novembre 2024 de l’ACMA,Optus pays $12 million penalty for Triple Zero outage(en anglais), indique que des filiales de Singtel Optus ont payé des pénalités totalisant plus de 12 millions de dollars après des violations des règles sur les appels d’urgence. L’ACMA a constaté qu’Optus n’avait pas fourni l’accès au service d’appels d’urgence à 2 145 personnes pendant la panne et n’avait pas effectué les 369 contrôles de bien-être requis pour les personnes ayant tenté de passer un appel d’urgence.

Ces deux documents répondent à des questions différentes. L’examen Bean n’était pas une décision de sanction. Il a explicitement indiqué que les causes techniques, la conformité réglementaire et le caractère adéquat de toute indemnisation étaient hors de son champ d’action principal. Son objectif était de tirer des leçons pour le système concernant le Triple Zero, la réponse gouvernementale, la communication client, les réclamations, les indemnisations et la résilience des télécommunications. Lapage du rapport d’enquête et des avis d’infractionde l’ACMA (en anglais), en revanche, est le dossier de conformité du régulateur en vertu de la loi sur les appels d’urgence. Un article responsable doit utiliser les deux sans les confondre.

La leçon combinée est brutale: la résilience des télécommunications ne se résume pas à la disponibilité. C’est la capacité de l’opérateur à préserver l’accès aux appels d’urgence, à gérer les défaillances du réseau central, à maintenir les canaux de gestion accessibles, à avertir les autres fournisseurs, à partager l’état avec le gouvernement et les acteurs des services d’urgence, à communiquer avec précision avec les clients et à produire des preuves après les faits.

La chaîne technique était suffisamment contrôlable pour aboutir à une conclusion réglementaire

L’histoire publique de la panne commence par les informations de routage. L’examen Bean indique qu’un grand nombre de routeurs Optus se sont auto-isolés automatiquement après une surcharge d’informations de routage IP. Au cours d’une mise à niveau logicielle, le réseau Optus a reçu des modifications des informations de routage provenant d’un routeur de peering Singtel alternatif, et ces modifications de routage se sont propagées à travers plusieurs couches du réseau central IP. Vers 4 h 05 AEDT, les limites de sécurité prédéfinies sur un nombre important de routeurs du réseau Optus ont été dépassées, et la connectivité avec le réseau central a été perdue.

L’enquête de l’ACMA apporte des détails importants. Lerapport d’enquête de l’ACMA au format PDF(en anglais) indique que l’augmentation des informations de routage a suivi une mise à niveau logicielle de routine dans l’un des réseaux de transit amont internationaux d’Optus, le point d’échange Internet de Singtel. Les routeurs STiX en Amérique du Nord ont été mis à niveau, le trafic a été réacheminé vers un routeur de peering Singtel alternatif en Asie, et le réacheminement s’est produit comme prévu pour ce type de mise à jour. Le réseau Optus a alors reçu une forte augmentation des informations de routage, en particulier des informations IPv6, qui se sont propagées à travers plusieurs couches jusqu’à dépasser les limites de sécurité prédéfinies sur certains routeurs centraux.

Cette distinction est importante. Si l’analyse s’arrête à « une mise à niveau de Singtel en amont a déclenché un problème », la responsabilité pratique devient floue. L’ACMA ne s’est pas arrêtée là. Elle a accepté que la mise à jour logicielle ait provoqué une augmentation des informations de routage, mais a considéré que la panne avait été causée par l’auto-isolement des routeurs centraux d’Optus. Elle a déclaré que la maintenance de ces routeurs ainsi que l’architecture et la configuration du réseau Optus relevaient du contrôle d’Optus. Elle a également indiqué que les limites par défaut avaient été établies par un fournisseur d’équipement tiers, mais qu’elles auraient pu être modifiées.

Optus a soutenu que l’augmentation du trafic de routage échappait à son contrôle et que ni le fournisseur d’équipement ni les experts externes n’avaient identifié le risque lié aux limites de sécurité des routeurs avant la panne. L’ACMA a rejeté cette disculpation générale. Son rapport précise que le trafic réacheminé s’est propagé à travers plusieurs couches du réseau Optus sans entraîner l’auto-isolement d’autres routeurs dans d’autres couches réseau, et qu’Optus a lui-même déclaré que le réseau aurait dû supporter ce changement. La phrase de responsabilité du régulateur est inhabituellement directe: le silence du fournisseur d’équipement ou des experts externes n’a pas absous Optus ni transféré le risque lié à une mauvaise configuration et à une mauvaise gestion des changements en dehors d’Optus.

C’est le cœur de l’incident. Un opérateur de réseau peut s’appuyer sur des fournisseurs, des accords de transit amont, des paramètres par défaut, des experts externes et des réseaux pairs. Il reste propriétaire de l’architecture qui détermine si un changement de routage raisonnable devient une panne nationale d’opérateur. Il est responsable des contrôles de propagation des routes, de la révision des limites de sécurité, des tests en laboratoire, de la préparation au retour en arrière, de la télémétrie, de l’isolement du plan de gestion, de la cartographie des dépendances et du processus métier qui demande si un changement amont planifié pourrait surcharger un cœur de réseau local.

Cela ne signifie pas que chaque détail était publiquement connu avant l’événement. Le rapport de l’ACMA est expurgé par endroits et ne publie pas une carte complète du réseau Optus. Il ne prouve pas non plus qu’un ingénieur, un fournisseur ou un dirigeant nommé avait une connaissance directe de la chaîne de défaillance précise. L’affirmation de responsabilité est plus étroite et plus forte: la configuration et l’architecture étaient sous le contrôle pratique d’Optus, et le régulateur a estimé que des mesures raisonnablement praticables auraient pu améliorer la résilience avant la panne.

Le Triple Zero a échoué à la frontière entre la panne de réseau et la conception de la solution de secours

La défaillance de continuité la plus grave n’était pas que le service Optus normal était en panne. Une panne d’un opérateur national est déjà assez grave. Mais le système d’appels d’urgence est censé avoir un comportement de secours lorsque le réseau domestique d’un utilisateur mobile est indisponible. De manière générale, un appareil mobile peut se « connecter » à un autre réseau disponible pour les appels d’urgence si le réseau domestique ne peut pas acheminer l’appel.

L’examen Bean explique pourquoi cela n’a pas fonctionné de manière fiable le 8 novembre. Avec la perte de connectivité du réseau central, les stations de base 4G et 5G d’Optus se sont automatiquement éteintes, ou « wilted », afin que les appareils puissent rechercher d’autres réseaux. Les unités radio 3G d’Optus, cependant, ont continué à émettre des signaux car elles maintenaient une connectivité au réseau central via un canal vocal, même si les appels ne pouvaient pas aboutir au Triple Zero en raison de la défaillance du réseau central. Certains appareils ont détecté ces signaux 3G et ont tenté des appels d’urgence via Optus plutôt que de chercher un autre réseau. Les appels ont reçu un signal d’erreur du réseau Optus.

Le rapport de l’ACMA énonce le même problème dans un langage de sanction. La panne a entraîné une perte de connectivité avec le réseau d’exploitation et de maintenance (O&M) d’Optus. Ce réseau O&M était utilisé pour surveiller les éléments du réseau, y compris les stations de base. Cette perte a rendu difficile pour Optus d’identifier que les unités 3G continuaient à émettre un signal et à maintenir des capacités de transmission vocale pendant la panne. Le signal 3G a empêché la plupart des appareils mobiles de se connecter à d’autres réseaux lors des appels d’urgence, même si les appels ne pouvaient pas être acheminés par Optus.

La solution de secours a donc échoué au point précis où les clients ordinaires ne pouvaient pas voir la différence. Une personne en détresse ne saurait pas si son téléphone était attaché à une radio 3G défaillante, en train de tenter de se connecter à un autre opérateur, ou silencieusement coincé entre les états du réseau d’accès et du réseau central. Du point de vue de l’utilisateur, la seule question significative est de savoir si l’appel d’urgence est établi et maintenu.

C’est pourquoi les chiffres des appels d’urgence de l’ACMA sont importants. Le régulateur a recensé 2 145 appels d’urgence infructueux dans son annexe. Il a constaté qu’Optus Mobile n’a pas donné accès au service d’appels d’urgence à 2 091 utilisateurs finaux ayant composé le 000 ou le 112, Optus Networks a échoué pour 41 de ces utilisateurs et Optus Internet pour 12. Il a également constaté un appel échoué vers le 106 pour un service de ligne fixe fourni par Optus Networks. Il a constaté que 2 145 appels n’ont pas été acheminés jusqu’au point de terminaison approprié.

Le cadre réglementaire rejette une vision purement administrative de l’accès aux services d’urgence. Optus a soutenu, selon le rapport de l’ACMA, que l’exigence pertinente concernait la configuration du réseau plutôt que la connexion effective des appels. L’ACMA a rejeté ce point de vue, invoquant le concept juridique selon lequel une personne n’a pas accès à un service d’appels d’urgence à moins qu’un appel puisse être établi et maintenu lors de la tentative. En d’autres termes, l’accès aux services d’urgence n’est pas satisfait par une architecture nominale si l’utilisateur ne peut pas aboutir.

Il s’agit d’une leçon centrale de responsabilité pour tous les réseaux critiques. Une solution de secours n’existe pas parce que des schémas disent qu’elle existe. Elle existe lorsque de vrais appareils, de vrais états radio, de vraies pannes du réseau central et un véritable acheminement des appels d’urgence se comportent correctement sous contrainte.

La gestion hors bande n’était pas une question secondaire

La gestion hors bande est facile à considérer comme un détail d’ingénierie jusqu’au moment où un réseau est en panne et que l’opérateur ne peut pas atteindre les composants qu’il doit contrôler. Dans le cas d’Optus, elle est devenue un contrôle de sécurité publique.

L’examen Bean indique que deux causes profondes de l’incapacité d’Optus à garantir que les clients pouvaient appeler avec succès le Triple Zero en se connectant à d’autres réseaux étaient l’incapacité d’atteindre l’infrastructure centrale via le réseau d’exploitation et de maintenance ou le réseau hors bande, et l’incapacité de forcer les stations de base radio 3G à s’éteindre. L’examen rapporte qu’Optus a déclaré qu’il disposait d’options post-panne si le réseau OAM était disponible, notamment la possibilité de forcer à distance l’extinction, mais que le 8 novembre, le réseau OAM n’était pas disponible et qu’Optus n’a pas pu éteindre manuellement ou à distance le réseau 3G pour forcer l’extinction.

L’ACMA a formulé le même point de manière plus incisive. Son rapport indique que le réseau O&M est essentiel pour maintenir un fonctionnement correct et efficace du réseau car il surveille l’état et gère des parties du réseau, y compris les stations de base mobiles. Il a constaté qu’Optus n’avait pas pris de mesures praticables pour mettre en œuvre des connexions réseau hors bande afin de gérer efficacement le réseau en cas de panne. Il a estimé que la conception du réseau O&M aurait dû réduire la dépendance au réseau central afin de ramener le risque de défaillances en cascade à un niveau acceptable.

Optus a déclaré à l’ACMA que le réseau hors bande n’était pas utilisé pour acheminer les appels d’urgence et n’était donc pas soumis à la section pertinente de la détermination sur les appels d’urgence. L’ACMA a rejeté cette affirmation. Le régulateur a déclaré que la défaillance du réseau hors bande était pertinente parce que les défaillances liées au réseau O&M signifiaient que le réseau plus large ne fonctionnait pas correctement et efficacement. Il a déclaré qu’un fonctionnement efficace du réseau hors bande aurait pu réduire l’ampleur, l’impact et la durée de la panne en fournissant une méthode fiable pour la maintenance des parties affectées du réseau, en particulier l’échec de l’extinction des tours 3G.

Cette conclusion est importante au-delà d’Optus. Les réseaux de gestion, les chemins d’accès à distance, les contrôles d’alimentation, les systèmes d’observabilité, les accès privilégiés et les manuels opérationnels d’urgence sont souvent traités comme des contrôles de fiabilité internes. Dans les infrastructures critiques, ils deviennent des contrôles publics. Ils déterminent si l’opérateur peut placer le réseau dans un état dégradé plus sûr lorsque le plan de service principal a échoué.

L’état dégradé plus sûr n’était pas ici de « tout restaurer instantanément ». Il était plus élémentaire: cesser d’émettre un signal 3G trompeur afin que les combinés puissent tenter des appels d’urgence via un autre réseau. La tâche d’ingénierie était donc liée à la conséquence humaine. Une dépendance du plan de gestion a empêché une solution de secours de sécurité publique de fonctionner à grande échelle.

La communication avec les clients est devenue sa propre défaillance de continuité

La panne a également exposé les limites des pratiques volontaires de communication avec les clients. L’examen Bean rapporte qu’Optus a publié son premier communiqué de presse à 6 h 33, environ deux heures et demie après le début de la panne, puis un autre à 8 h 16. Optus a déclaré qu’il considérait la communication via les médias comme la voie la plus rapide et la plus efficace car les clients ne pouvaient pas accéder aux services Optus. Il a également contacté des entreprises clientes, publié sur son site web et ses réseaux sociaux une fois de nouveau en ligne à 12 h 55, fourni des informations en magasin à partir de 14 h 00, et le directeur général a donné 11 interviews aux médias.

L’examen n’a pas accepté que cela soit suffisant. Il indique qu’Optus considérait sa communication comme adéquate et appropriée, mais que ce point de vue n’était pas partagé par d’autres, y compris l’examen lui-même. Il fait état de l’insatisfaction des clients, de lettres et courriels publics adressés au ministre des Communications, et de la préoccupation des défenseurs des consommateurs selon laquelle le manque d’information opportune et claire a causé de la détresse, en particulier pour les personnes vulnérables, les personnes handicapées, les utilisateurs à faible revenu et les communautés régionales, rurales et éloignées.

La conclusion de l’examen est claire: la communication pendant la panne d’Optus était inadéquate. Il pointe des retards dans l’information des clients, un manque de réponses détaillées sur la cause et l’impact tout au long de la journée, et l’absence de calendriers de rétablissement. Il indique également que le protocole de communication d’urgence de la Communications Alliance était limité, laissait une grande part à la discrétion du fournisseur et ne semblait pas avoir été suivi par Optus.

Ce n’est pas simplement une question de réputation. La communication est un contrôle de continuité. Un client sans service mobile ou internet a besoin de savoir si le Triple Zero peut être joint, si une ligne fixe est affectée, s’il doit se déplacer, si les hôpitaux et les prestataires de soins pour personnes âgées disposent de canaux de contact alternatifs, si les terminaux de paiement sont touchés, si les revendeurs font partie de la panne, si les services aux entreprises sont affectés et quand cesser d’attendre et basculer vers un fournisseur de secours.

Pour les petites entreprises, le problème de communication est particulièrement concret. L’examen a estimé que près d’un demi-million d’entreprises ont été touchées. Un café qui ne peut pas traiter les paiements par carte, un cabinet médical qui ne peut pas recevoir d’appels, un coursier qui dépend des données mobiles, ou un travailleur indépendant qui attend des appels de clients a besoin d’informations de rétablissement qui soutiennent les décisions. Faut-il renvoyer le personnel chez lui? Faut-il mettre en place des processus en espèces uniquement? Faut-il distribuer une carte SIM de secours? Faut-il annuler des rendez-vous? « Nous y travaillons » ne répond pas à ces questions opérationnelles.

La recommandation de l’examen a suivi naturellement: l’ACMA devrait élaborer une norme ou une détermination obligeant les opérateurs à communiquer des informations spécifiques aux clients pendant et au sujet des pannes. C’est un passage de la communication de crise gérée par la marque à une communication minimale réglementée.

Les revendeurs et autres fournisseurs n’étaient pas de simples spectateurs

Le réseau Optus prenait en charge les clients des revendeurs ainsi que les clients directs d’Optus. Cela a créé un autre niveau de responsabilité: lorsque l’opérateur sous-jacent tombe en panne, les fournisseurs de services de transport en aval et leurs clients ont besoin d’une notification directe et utilisable.

L’ACMA a constaté qu’Optus Mobile et Optus Networks ont enfreint leurs obligations de notification envers les autres fournisseurs de services de transport. Le rapport du régulateur indique qu’Optus Mobile a fourni une liste de 16 fournisseurs de services et Optus Networks une liste de 20 fournisseurs de services auxquels ils fournissaient un accès pertinent. Optus s’est principalement appuyé sur les canaux médiatiques nationaux, les réseaux sociaux, les communiqués de presse et les mises à jour du site web pour informer les fournisseurs qui utilisaient le réseau Optus. L’ACMA a considéré ces déclarations comme de vastes communications publiques plutôt que comme des avis directs aux fournisseurs eux-mêmes et a estimé qu’elles ne satisfaisaient pas aux exigences de notification. Optus a reconnu ne pas avoir notifié directement les fournisseurs identifiés dans les conclusions préliminaires.

Cela importe parce que la dépendance de gros modifie la forme du préjudice client. Un client de revendeur peut ne pas savoir que le réseau sous-jacent est Optus. Un centre d’assistance de revendeur peut être submergé de plaintes sans disposer d’une information directe sur l’état, les faits techniques, l’information sur les appels d’urgence ou les estimations de rétablissement. Les fournisseurs en aval peuvent avoir besoin de diffuser des alertes, d’ajuster les scripts du service client, d’avertir les utilisateurs vulnérables et de se coordonner avec les entreprises clientes.

Lors d’une panne nationale, les communiqués de presse ne peuvent pas remplacer une notification opérationnelle directe. Les chaînes de dépendance critiques exigent des contacts désignés, des voies d’escalade, des flux d’état et un langage convenu à l’avance. L’opérateur responsable doit savoir qui dépend de son réseau avant la panne, et non découvrir ces relations à travers la confusion publique pendant la panne.

Les conclusions plus larges de l’examen Bean en matière de coordination vont dans le même sens. Il a relevé des lacunes de communication, de collaboration et de partage d’information tout au long de la journée et a estimé que les protocoles existants n’avaient pas fonctionné efficacement pour fournir une réponse claire et coordonnée entre les principales parties prenantes. Le protocole de notification des perturbations majeures de service n’a pas été respecté. Le mécanisme national de coordination a été activé dans l’après-midi et a tenu deux réunions, mais l’examen a estimé qu’une coordination gouvernementale plus précoce et plus claire aurait été précieuse.

Le contrôle parlementaire a élargi le même dossier. Le rapport du Comité sénatorial de l’environnement et des communications sur lapanne du réseau Optus(en anglais) et sacollection de soumissions(en anglais) montrent comment les groupes de consommateurs, les entités de l’industrie, les organismes gouvernementaux et les parties prenantes touchées ont traité la panne comme un événement de responsabilité publique plutôt que comme un litige privé de service client. Ce matériel parlementaire ne remplace pas les conclusions de l’ACMA en matière de sanction, mais il renforce l’idée qu’une panne d’un opérateur national crée des besoins de preuves dans tout l’écosystème.

Les pannes d’opérateur ne sont donc pas des événements bilatéraux entre une entreprise et ses clients de détail. Elles se répercutent à travers les revendeurs, les organismes de services d’urgence, la personne responsable des appels d’urgence, les régulateurs, les ministres, les agences des États et territoires, les hôpitaux, les transporteurs, les prestataires de paiement et les entreprises clientes. La responsabilité suit le graphe des dépendances.

Les contrôles de bien-être ont montré le côté humain de la chaîne de conformité

L’échec des appels d’urgence ne s’arrête pas lorsque le réseau revient. Si quelqu’un a tenté un appel d’urgence et a échoué, le système doit répondre à une question humaine: la personne a-t-elle reçu de l’aide par la suite?

L’ACMA a constaté qu’Optus n’avait pas effectué les contrôles de bien-être requis pour 369 appels. Son rapport indique qu’Optus a effectué des contrôles de bien-être dès que possible pour 183 des 2 145 appels. Il a accepté qu’une exception s’appliquait pour 31 appels parce que l’utilisateur final avait par la suite passé un appel d’urgence réussi en se connectant au réseau Telstra. Il a accepté qu’une autre exception s’appliquait pour 1 562 appels parce que l’emplacement de l’équipement client mobile avait changé depuis l’appel. Cela laissait 369 appels nécessitant des contrôles de bien-être. Optus a reconnu ne pas avoir entrepris les contrôles de bien-être pour ces appels, 361 concernant des utilisateurs finaux d’Optus Mobile et 8 concernant des utilisateurs finaux d’Optus Networks.

L’obligation de contrôle de bien-être n’est pas une formalité bureaucratique. C’est la dernière chance connue du système d’identifier une personne qui a tenté d’obtenir de l’aide et qui peut encore être en danger. Le processus peut impliquer un contact par téléphone ou SMS et, si le contact échoue, un renvoi à une force de police d’un État ou territoire. Un opérateur qui ne peut pas identifier les appels d’urgence infructueux, vérifier si des appels réussis ultérieurs ont eu lieu, ou effectuer rapidement les contrôles de bien-être présente un défaut de continuité qui persiste après le rétablissement du signal.

C’est là que la responsabilité des télécommunications devient la plus humaine. Le journal des appels échoués n’est pas simplement un ensemble de données. Chaque enregistrement peut représenter une personne dans une urgence médicale, un incident violent, un incendie, un accident de la route ou un ménage vulnérable. Les pratiques de preuve d’un opérateur de réseau, les enregistrements détaillés des appels, la logique d’exception, la gestion de la localisation des clients et les flux de travail post-panne décident si cette personne disparaît dans les statistiques de la panne ou reçoit un suivi.

La formulation du communiqué de l’ACMA est sévère à juste titre. Il indique que la disponibilité du Triple Zero est le service le plus fondamental que les opérateurs doivent fournir au public, et que lorsqu’un appel d’urgence ne parvient pas à se connecter, il peut y avoir des conséquences dévastatrices pour la santé et la sécurité publiques. Le communiqué précise également qu’Optus n’a pas assuré le suivi de la sécurité et du bien-être de plus de 360 clients une fois la panne résolue.

Aucun document public ne doit exagérer ce qui est connu. Le rapport de l’ACMA ne publie pas les circonstances individuelles d’urgence pour les 2 145 appels infructueux. Il ne dit pas que chaque appel échoué a causé une blessure spécifique. Il établit que l’accès aux services d’urgence et les obligations de suivi ont échoué à grande échelle, et cela suffit pour une conclusion de responsabilité de haute confiance.

Les conséquences de gouvernance ont atteint le sommet d’Optus

La panne a également produit des conséquences visibles au niveau de la direction. Le 20 novembre 2023, Singtel a annoncé que la directrice générale d’Optus, Kelly Bayer Rosmarin, avait démissionné. L’annonce de l’entreprise(en anglais) indique qu’elle avait dirigé Optus pendant une période difficile et que l’entreprise nommerait un directeur général par intérim pendant la recherche d’un remplaçant. L’annonce n’établit pas en soi de responsabilité légale pour la panne, mais elle montre que la responsabilité a dépassé la direction de l’ingénierie.

Les rapports financiers de Singtel ont eux-mêmes enregistré l’importance opérationnelle. Lerapport annuel de Singtel(en anglais) traite d’Optus comme une activité majeure et reflète une période de pression opérationnelle et de réputation à la suite de la panne et des problèmes de cybersécurité antérieurs. Les rapports annuels ne sont pas des rapports d’incident médico-légaux, mais ils montrent comment une panne nationale devient une question de gouvernance, de marque, d’investissement et de réglementation pour un groupe mère.

La couche exécutive ne doit pas occulter la couche d’ingénierie. La démission d’un directeur général ne se substitue pas à la modification des contrôles de routage, aux tests des appels d’urgence, au renforcement de la gestion hors bande, à la notification des revendeurs ou à la discipline des contrôles de bien-être. Mais le renouvellement de la direction est pertinent parce que la posture de résilience d’un opérateur de télécommunications est le produit des budgets, de l’appétit pour le risque, des priorités de modernisation, de la supervision des fournisseurs, de la pression du conseil d’administration, des relations avec les régulateurs et de la préparation aux crises.

L’ensemble de réformes recommandées par l’examen Bean renforce l’idée que le problème n’était pas une seule personne. Il a formulé 18 recommandations couvrant les obligations relatives aux appels d’urgence, la supervision par un gardien, les tests de bout en bout semestriels, le comportement des appareils, le partage en temps réel des données sur les pannes, les rapports post-panne, les protocoles de perturbation, le contrat de la personne responsable des appels d’urgence, la coordination gouvernementale, la communication avec les clients, les réclamations, les indemnisations, l’itinérance temporaire, l’assistance mutuelle, l’accès à distance aux outils de gestion de réseau, la redondance gouvernementale et la révision de la législation et de la réglementation sur le Triple Zero.

La réponse du gouvernement australien a accepté la nécessité d’une réforme systémique. Laréponse du gouvernement à l’examen Bean(en anglais) a soutenu ou soutenu en principe les recommandations et s’est engagé à des changements dans l’ensemble de l’écosystème des télécommunications. Cette position est importante car elle évite de prétendre que la panne n’était qu’un problème d’entreprise privée. Optus avait une responsabilité opérationnelle directe pour son réseau, mais le gouvernement devait également affronter des lacunes en matière de supervision, de coordination et de gouvernance des appels d’urgence.

Le gardien du Triple Zero est une réponse de gouvernance à un vide de propriété

L’une des conclusions les plus importantes de l’examen Bean est que le Triple Zero fonctionne comme un écosystème. L’accès d’un appelant aux services d’urgence dépend de l’opérateur d’origine, du comportement de l’appareil, de l’état du réseau, de la personne responsable des appels d’urgence, des organismes de services d’urgence, des régulateurs, des contrats, des comités sectoriels et des intervenants des États et territoires. Avant la panne, aucun organisme unique n’avait de responsabilité de gardiennage de bout en bout pour cet écosystème.

L’examen indique que Telstra est la personne responsable des appels d’urgence pour le 000 et le 112 en vertu d’arrangements contractuels et réglementaires, répondant et transférant les appels Triple Zero. Il précise également que le contrat de la personne responsable des appels d’urgence n’exige pas de Telstra qu’elle supervise la fourniture de bout en bout du service Triple Zero ou qu’elle agisse comme gardien de l’écosystème dans son ensemble. L’ACMA réglemente la conformité, mais la réglementation n’est pas la même chose que la garde opérationnelle. Les comités existants soutiennent la coordination, mais l’examen a constaté qu’ils n’étaient pas bien adaptés pour agir en tant que gardien.

Les informations publiques de Telstra sur lesservices d’urgence(en anglais) sont un contexte utile pour le rôle de la personne responsable des appels d’urgence car elles décrivent le cheminement public des appels d’urgence sans faire de Telstra le propriétaire de l’état du réseau de chaque opérateur d’origine. La distinction de responsabilité importe: la personne responsable des appels d’urgence peut répondre et transférer les appels qu’elle reçoit, tandis qu’Optus devait toujours s’assurer que ses clients pouvaient atteindre ce cheminement pendant une panne de réseau.

Cette lacune est devenue visible lors de la panne d’Optus. Si le réseau d’un opérateur est défaillant, si certaines couches radio se comportent différemment des autres, si un combiné peut ou non se connecter, si d’autres fournisseurs ont besoin d’un état en temps réel, si les services d’urgence doivent comprendre ce qui se passe et si le gouvernement a besoin d’une image partagée, qui est responsable de la santé de bout en bout du système? La réponse de l’examen a été de créer un gardien du Triple Zero ayant une supervision et une responsabilité globale du fonctionnement efficace de l’écosystème, y compris la surveillance des performances de bout en bout.

Le matériel actuel du ministère concernant legardien du Triple Zero(en anglais) montre que cette réforme a dépassé le stade de la recommandation. La fonction de gardien vise à améliorer la supervision, la coordination, la surveillance et le partage d’information dans l’ensemble de l’écosystème du Triple Zero. Cela ne revient pas à rendre un seul organisme responsable de la conception du réseau de chaque opérateur. C’est un moyen de garantir que le système dispose de quelqu’un qui regarde l’ensemble de la chaîne plutôt que seulement des silos statutaires individuels.

Pour l’analyse de la responsabilité, la réforme du gardien modifie la norme future. Un opérateur sera toujours jugé sur sa propre architecture et ses obligations en matière d’appels d’urgence. Mais le système dans son ensemble devrait également être jugé sur sa capacité à détecter une dégradation de bout en bout, à exiger un partage d’information en temps réel, à coordonner les messages publics et à tirer des leçons des quasi-accidents avant qu’un appel échoué ne devienne une tragédie.

Les tests obligatoires font la différence entre une solution de secours présumée et une solution de secours prouvée

L’examen a recommandé des tests de bout en bout semestriels de tous les aspects de l’écosystème du Triple Zero à l’intérieur et à travers les réseaux. Il a déclaré que ces tests devraient inclure la fonctionnalité et la capacité du réseau pendant divers types de pannes, le comportement de tous les appareils connus dans différentes circonstances, et l’interopérabilité de l’opérateur d’origine à la personne responsable des appels d’urgence jusqu’au point de réponse des services d’urgence pendant les pannes. Les lacunes identifiées devraient être signalées à l’ACMA avec des plans de remédiation et des calendriers.

Cette recommandation cible la faiblesse précise exposée par Optus. La fonction de connexion d’urgence peut fonctionner dans de nombreux scénarios ordinaires de perte de couverture. La question est de savoir si elle fonctionne lorsque les sites 4G et 5G d’un opérateur s’éteignent mais que les sites 3G continuent d’émettre, lorsque le cœur de réseau est inaccessible, lorsque les chemins O&M sont en panne, lorsque les appareils varient selon le modèle et le micrologiciel, et lorsqu’un client se déplace à travers les limites de couverture.

Les tests doivent être suffisamment antagonistes pour briser les hypothèses confortables. Ils devraient inclure des défaillances partielles, des signaux trompeurs, des états radio périmés, des plans de gestion défaillants, des clients de revendeurs, de vieux appareils, des populations d’apportez votre propre appareil, des limites de couverture rurale, des services vocaux d’entreprise et des services de ligne fixe. Ils devraient poser non seulement « l’appel aboutit-il? » mais « l’opérateur sait-il quels utilisateurs ont échoué, les enregistrements d’appels échoués peuvent-ils être rapprochés, les contrôles de bien-être peuvent-ils être initiés et des conseils publics peuvent-ils être émis? »

L’ACMA a déjà mis à jour les exigences relatives aux appels d’urgence et signalé d’autres changements. Son communiqué indique que des mises à jour ont été apportées à laTelecommunications (Emergency Call Service) Determination 2019(en anglais), et qu’elle élaborait une nouvelle norme sectorielle pour la communication avec les clients pendant les pannes et des modifications au traitement des réclamations. LaTelecommunications (Customer Communications for Outages Industry Standard) 2024(en anglais) fait partie de ce mouvement post-panne vers une conduite de communication obligatoire.

La différence entre des orientations volontaires et des tests obligatoires est la preuve. Après la prochaine panne, un opérateur devrait pouvoir montrer le dernier test inter-réseaux d’appel d’urgence, les classes d’appareils testées, les modes de défaillance simulés, les lacunes constatées, le calendrier de remédiation, les rapports au régulateur et le propriétaire de la gouvernance. Sans ce dossier, « nous pensions que la solution de secours fonctionnerait » n’est pas un argument de résilience.

Les réclamations et les indemnisations étaient trop individualisées pour une panne de masse

L’examen Bean a également examiné les réclamations et les indemnisations. La question n’était pas simplement de savoir si Optus avait donné quelque chose aux clients. Optus a annoncé des données supplémentaires pour les clients mobiles éligibles et les abonnés prépayés, ainsi que des vitesses d’internet domestique plus rapides pour le mois de décembre pour les clients internet domestique. L’examen a noté une insatisfaction rapportée concernant l’offre et s’est concentré sur le point de savoir si les mécanismes de réclamation et d’indemnisation existants étaient adéquats pour une panne à l’échelle d’une crise.

Le Médiateur de l’industrie des télécommunications joue un rôle central dans les réclamations individuelles. L’examen décrit leTelecommunications Industry Ombudsman(en anglais) comme un service gratuit et indépendant de résolution des litiges pour les consommateurs, les petites entreprises, les organisations à but non lucratif, les occupants et les propriétaires de biens ayant des réclamations concernant des fournisseurs de téléphone ou d’internet. Le Médiateur peut aider pour certaines demandes d’indemnisation, y compris la perte de profit commercial due à des pannes de réseau, les coûts des services alternatifs et les inconvénients non financiers dans certaines circonstances.

Mais une panne de masse met à rude épreuve le traitement individualisé des réclamations. L’examen a recommandé de modifier les normes de traitement des réclamations et les règles de conservation des enregistrements afin qu’elles tiennent compte des impacts des pannes de réseau et des attentes de la communauté lors d’événements de crise. Il a également recommandé une approche standardisée à l’échelle de l’industrie pour les résolutions disponibles aux consommateurs touchés par des crises ou des pannes à grande échelle, y compris des formes possibles d’indemnisation et des pénalités.

C’est particulièrement pertinent pour les petites entreprises. Un travailleur indépendant ou un petit détaillant peut avoir subi une demi-journée de paiements perdus, d’appels manqués, de réservations échouées ou de temps d’arrêt du personnel. Les pertes peuvent être réelles mais difficiles à prouver à un niveau justifiant une escalade formelle du litige. Un cadre d’indemnisation standardisé pour les pannes ne peut pas saisir toutes les pertes, mais il peut réduire la charge administrative de faire prouver à des milliers de personnes de petites réclamations une par une.

L’ACCC(en anglais) et l’architecture de protection des consommateurs sont pertinents en arrière-plan car les pannes de télécommunications peuvent soulever à la fois des questions de qualité de service et de conduite de marché. La discussion de l’examen Bean sur les mécanismes de réclamation désignés pointe vers un traitement collectif des problèmes importants ou systémiques touchant les consommateurs ou les petites entreprises. Cela ne signifie pas que chaque panne devrait produire automatiquement des paiements importants. Cela signifie que le système a besoin d’un cheminement pour les événements de masse qui reconnaît le coût pratique de la preuve individuelle.

La leçon de continuité plus large est que l’indemnisation ne remplace pas la résilience. Des données supplémentaires ne restaurent pas un appel d’urgence échoué. Un avoir sur facture ne rouvre pas une entreprise au moment où son terminal de paiement est en panne. Mais la conception des indemnisations et des réclamations fait partie de la responsabilité car elle détermine si le préjudice est reconnu et résolu proportionnellement après la défaillance du service.

La continuité du secteur public était à la fois victime et réponse

La catégorie manifeste de cet article inclut la continuité du secteur public parce que la panne d’Optus a directement touché les fonctions gouvernementales et de services d’urgence. L’examen Bean indique que les hôpitaux ont été entravés, les réseaux de transport perturbés et les services gouvernementaux affectés. Il précise également que les réseaux de télécommunications australiens sous-tendent les infrastructures essentielles du gouvernement, de la santé publique et de la sécurité.

Ce contexte n’est pas rhétorique. Lesinformations sur le secteur des télécommunicationsdu Centre pour la cybersécurité et les infrastructures (en anglais) placent les télécommunications dans le cadre des infrastructures critiques de l’Australie, ce pourquoi une panne d’opérateur peut rapidement devenir un problème d’administration publique. Lecadre de gestion de crise du gouvernement australien(en anglais) et laNational Emergency Management Agency(en anglais) fournissent la toile de fond plus large de coordination pour la critique de l’examen selon laquelle l’information sur les pannes, l’escalade et la réponse pangouvernementale nécessitaient des voies plus claires.

Le secteur public a joué un double rôle. Il était à la fois utilisateur du réseau et coordinateur de la réponse. Les agences gouvernementales avaient besoin de connectivité et de connaissance de la situation. Le mécanisme national de coordination s’est réuni dans l’après-midi du 8 novembre et comprenait des représentants des organismes du gouvernement australien et des départements des premiers ministres des États et territoires ainsi que des agences d’intervention d’urgence. L’examen a constaté que ces réunions ont fonctionné efficacement une fois convoquées, mais a également observé que les protocoles et cadres existants n’ont pas fourni une réponse claire et coordonnée tout au long de la journée.

L’examen a recommandé d’améliorer le protocole de notification des perturbations majeures de service avec des exigences claires pour la communication et la collaboration gouvernementales pendant les pannes de télécommunications via un point de coordination central. Il a précisé que cela devrait couvrir les opérateurs, les ministres concernés, les agences du Commonwealth, des États et territoires, le Médiateur, l’ACCC, l’ACMA, les organismes de services d’urgence et d’autres parties pertinentes. Il a également recommandé que les gouvernements australiens examinent les dispositions permettant de maintenir leurs propres opérations pendant les pannes, y compris la redondance des télécommunications pour les services critiques.

Ce dernier point est essentiel. Le gouvernement ne peut pas réglementer efficacement une panne nationale si les agences gouvernementales elles-mêmes ne disposent pas de communications redondantes. Les hôpitaux publics, les agences d’urgence, les salles de contrôle des transports, les services sociaux, les tribunaux, les écoles et les gouvernements locaux ne devraient pas supposer qu’une seule connexion d’opérateur est adéquate pour les opérations de crise. L’opérateur est responsable de son réseau; les organismes publics sont responsables de connaître leur propre dépendance à celui-ci.

Ce n’est pas un appel pour que chaque petit bureau construise un bunker télécom. C’est un appel à une redondance à plusieurs niveaux selon la criticité: un service mobile multi-opérateur pour le personnel d’urgence, des chemins internet de secours pour les centres de contrôle, une solution de repli analogique ou radio le cas échéant, des listes de contacts imprimées, des canaux de messagerie de crise non liés à un seul fournisseur, et des solutions de contournement testées pour les paiements, la répartition et la communication avec les patients.

La panne d’Optus a donc été un audit de continuité pour le pays. Elle a montré non seulement où Optus a échoué, mais aussi où les hôpitaux, les entreprises, les agences et les ménages manquaient de plans de secours pratiques.

La carte des responsabilités: ce qu’Optus contrôlait et ce qu’il ne contrôlait pas

Une carte des responsabilités équitable distingue le déclencheur, l’architecture contrôlable, la réponse opérationnelle, le cadre réglementaire et la préparation en aval.

Optus ne contrôlait pas directement chaque action en amont dans le réseau international de Singtel. Il n’a pas fabriqué tous les routeurs. Il n’a pas conçu le comportement d’appel d’urgence de chaque combiné. Il n’a pas géré la communication client de chaque revendeur. Il n’a pas exploité la personne responsable des appels d’urgence ou les organismes de services d’urgence. Il n’a pas créé la fragmentation statutaire préexistante autour de la supervision de l’écosystème du Triple Zero.

Mais Optus contrôlait, ou influençait matériellement, l’architecture de son propre réseau, la configuration des routeurs, la décision de conserver les limites de sécurité par défaut d’un tiers ou de les modifier, la conception de la propagation du routage, la dépendance de l’O&M et de la gestion hors bande au réseau central, la capacité de forcer l’extinction de la 3G, les tests du comportement des appels d’urgence en cas de défaillance du central, la notification directe des fournisseurs de services en aval, la communication publique, la communication avec les entreprises clientes, les enregistrements des appels échoués, l’exécution des contrôles de bien-être et les preuves de remédiation post-panne.

Les conclusions du régulateur soutiennent cette répartition. L’ACMA a constaté que la panne était évitable dans la mesure où l’auto-isolement des routeurs centraux, l’architecture et la configuration relevaient du contrôle d’Optus. Elle a estimé qu’Optus n’avait pas maintenu un fonctionnement correct et efficace des réseaux et installations contrôlés. Elle a constaté l’échec de l’accès aux appels d’urgence, l’échec de l’acheminement des appels jusqu’aux points de terminaison, le défaut de notification directe de certains fournisseurs de services et le défaut d’exécution des contrôles de bien-être requis.

Le gouvernement contrôlait un niveau différent: si l’écosystème avait un gardien, si des règles obligatoires de communication et de test existaient, si les protocoles de perturbation étaient clairs, si les agences disposaient d’une redondance, si la législation suivait le rythme de la dépendance mobile et si les pouvoirs du régulateur étaient suffisants. L’acceptation par le gouvernement des recommandations de réforme est un aveu implicite que l’ancien système ne créait pas assez d’assurance partagée.

Les clients et les petites entreprises contrôlaient le moins. Certains pouvaient acheter des cartes SIM de secours, maintenir des procédures de traitement des espèces, conserver un internet alternatif ou utiliser plusieurs opérateurs pour les opérations critiques. Mais les clients individuels ne peuvent pas tester le comportement d’extinction de la 3G d’un opérateur national. Une petite entreprise ne peut pas inspecter le réseau hors bande d’Optus. Les appelants d’urgence ne peuvent pas choisir l’architecture pendant une crise. Cette asymétrie est la raison pour laquelle la responsabilité des opérateurs doit être plus forte que le simple principe de caveat emptor du consommateur ordinaire.

Ce qui doit être retesté avant que la confiance ne soit rétablie

Le test pratique après Optus n’est pas de savoir si l’entreprise peut dire qu’elle a apporté des changements. C’est de savoir si ces changements peuvent être prouvés sous contrainte.

Premièrement, l’assurance des changements de routage devrait être retestée. Optus et les autres opérateurs devraient pouvoir montrer comment les changements de routes planifiés en amont sont modélisés, comment la croissance de la table de routage IPv6 est limitée, comment les limites de sécurité des routeurs sont examinées, comment les paramètres par défaut des fournisseurs sont contestés, comment les environnements de laboratoire reproduisent les modes de défaillance et comment les règles de gel des changements ou de retour en arrière s’appliquent lorsque des couches critiques du réseau sont à risque.

Deuxièmement, la solution de secours des appels d’urgence devrait être retestée à travers les générations radio, y compris les leçons résiduelles de la 3G même après l’arrêt du réseau. La leçon ne doit pas être traitée comme obsolète parce que les réseaux 3G sont en cours de retrait. Les pannes futures peuvent impliquer la 4G, les cœurs de réseau 5G autonomes, la voix sur LTE, la voix sur Wi-Fi, la voix d’entreprise, le sans-fil fixe, les compléments satellites ou des comportements spécifiques aux appareils. Le principe est qu’aucune couche d’accès ne devrait induire un appareil en erreur en lui faisant tenter un appel qui ne peut aboutir si un autre réseau peut l’acheminer.

Troisièmement, l’accès O&M et hors bande devrait être retesté comme un système de survie. Les chemins de gestion ont besoin d’indépendance, de capacité, d’authentification et d’exercices opérationnels. La question n’est pas de savoir si les ingénieurs peuvent atteindre les systèmes un jour normal. C’est s’ils peuvent voir et contrôler les bons composants lorsque le réseau central est partiellement en panne, la télémétrie incomplète et la sécurité publique dépend de la mise du réseau dans un état dégradé plus sûr.

Quatrièmement, la communication avec les parties prenantes devrait être testée avec de vrais modèles et listes de contacts. Une panne nationale devrait déclencher des avis directs aux revendeurs, un état des services d’urgence, une coordination gouvernementale, des messages aux clients, des mises à jour des médias, une publication sur le site web et la page d’état, des scripts pour les magasins, des avis aux entreprises clientes et des conseils aux clients vulnérables. Lanorme de communication client de l’ACMA(en anglais) devrait être traitée comme un plancher, pas comme le manuel complet.

Cinquièmement, les opérations de contrôle de bien-être devraient être exercées. Les enregistrements des appels d’urgence échoués doivent être capturés, dédupliqués, classés sous exceptions, renvoyés si nécessaire et audités. L’opérateur devrait pouvoir montrer combien d’appels ont échoué, combien ont ensuite réussi, combien nécessitaient des contrôles de bien-être, à quelle vitesse les contrôles ont commencé et comment les exceptions ont été validées.

Enfin, l’écosystème de réforme devrait être rapporté publiquement avec suffisamment de détails pour soutenir la confiance. Le public n’a pas besoin de schémas de réseau sensibles. Il a besoin de preuves que la dernière panne a produit des changements testés, des règles exécutoires, une garde désignée et une responsabilité claire pour la prochaine défaillance.

La leçon plus large est que la solution de secours est un produit, pas une promesse

La panne d’Optus du 8 novembre 2023 est souvent retenue comme un jour sans téléphone ni internet. C’est exact mais incomplet. Sa véritable importance est qu’elle a exposé la frontière fragile entre une solution de secours présumée et une solution de secours prouvée.

L’accès au Triple Zero dépendait de nombreux éléments fonctionnant ensemble: des routeurs absorbant les changements d’itinéraires, la connectivité du réseau central, l’extinction des stations de base, le comportement de connexion des combinés, la visibilité O&M, l’acheminement des appels d’urgence, la disponibilité de la personne responsable des appels d’urgence, la notification des revendeurs, les procédures de contrôle de bien-être et les conseils publics. Certains éléments ont fonctionné. D’autres non. La conséquence est que des milliers d’appels d’urgence n’ont pas pu être établis et maintenus.

Le bilan public post-panne est exceptionnellement explicite sur le contrôle. L’ACMA n’a pas accepté que le changement en amont, les paramètres par défaut des fournisseurs ou le silence des experts externes retirent à Optus la responsabilité de sa propre architecture et configuration de réseau. L’examen Bean n’a pas cherché à attribuer des responsabilités de la même manière, mais il a identifié des lacunes du système qui devaient être corrigées: l’absence de gardien de bout en bout, l’insuffisance des tests obligatoires, la faiblesse des règles de communication, le manque de clarté de la coordination et la préparation inadéquate aux pannes généralisées des télécommunications.

C’est le cadre mûr de responsabilité. L’opérateur est responsable de la résilience et du comportement de son réseau en matière d’appels d’urgence. Le régulateur est responsable des minimums exécutoires et des mesures de conformité. Le gouvernement est responsable de la coordination du système et de la redondance du secteur public. Les entreprises sont responsables d’une planification réaliste de leurs dépendances. On ne devrait pas attendre des clients qu’ils comprennent l’architecture des télécommunications avant de composer le Triple Zero.

La panne montre également pourquoi la confiance du public ne peut pas être rétablie par les seules excuses. La confiance se rétablit par des preuves: des contrôles de routage testés, des chemins de gestion renforcés, une solution de secours d’appels d’urgence prouvée, une communication client claire, une notification directe aux parties prenantes, des contrôles de bien-être effectués, des remèdes standardisés, l’application par le régulateur et des rapports publics permettant à la communauté de voir ce qui a changé.

En ce sens, la panne d’Optus n’a pas été seulement une défaillance de la connectivité. Elle a été une défaillance de l’assurance responsable. Un opérateur qui se vend comme une infrastructure nationale doit pouvoir prouver que lorsque son réseau principal tombe, le chemin d’urgence, le chemin de gestion et le chemin d’information publique ne tombent pas avec lui.