Le changement de routage qui a réduit au silence un réseau national: Rogers et le devoir de préserver la continuité

Résumé

• Aux premières heures du 8 juillet 2022, le personnel de Rogers a supprimé un filtre de politique de routage lors de la sixième phase d'une mise à niveau du cœur IP. Les tables de routage BGP complètes ont été redistribuées dans OSPF, submergeant les routeurs centraux qui manquaient de limites de surcharge efficaces. La panne a mis hors service les services sans fil et filaires dans tout le Canada car ils partageaient le cœur affecté.
• La panne n'était pas seulement un incident d'accès client. Une grande proportion de clients Rogers n'a pas pu joindre le 9-1-1, les alertes publiques sans fil ont été perturbées, Interac Débit et Interac virement sont devenus indisponibles, les services gouvernementaux et municipaux ont perdu la connectivité, et les petites entreprises ont perdu leurs communications et moyens de paiement en même temps.
• Le rétablissement a été ralenti par les dépendances au sein du réseau en panne. L'accès de gestion de Rogers dépendait de son cœur IP, les sites critiques manquaient de connectivité alternative suffisante d'un autre opérateur, les intervenants avaient trop peu de cartes SIM tierces, et les ingénieurs n'ont pas pu accéder initialement aux journaux nécessaires pour identifier la cause. L'évaluation indépendante indique que la cause première n'a été identifiée qu'environ 14 heures plus tard.
• Rogers a accepté la responsabilité exécutive, a émis cinq jours de crédits clients, a ajouté des protections de routage, a modifié ses processus de risque et de révision, a construit un réseau de gestion séparé, a étendu la connectivité alternative et a commencé à séparer ses cœurs sans fil et filaires. Ce sont des mesures significatives, mais la responsabilité dépend de résultats testés et de garanties publiques, pas de la taille d'un programme d'investissement général.
• La leçon plus large est partagée. Un opérateur est responsable de contenir sa propre panne et de préserver l'accès d'urgence. Les organismes publics, les opérateurs de paiement et les PME sont responsables de savoir quelles fonctions supposément séparées partagent un seul opérateur et de maintenir des solutions de repli pratiques qui ne tombent pas en panne avec lui.

Ce fut un événement de continuité nationale

À 4 h 43, heure avancée de l'Est, le vendredi 8 juillet 2022, un filtre de politique a été supprimé des routeurs de distribution du réseau Rogers. En deux minutes, selon l'évaluation technique indépendante ultérieure, les passerelles centrales ont commencé à tomber en panne. À 4 h 58, les routeurs avaient été submergés par plus d'informations de routage qu'ils ne pouvaient en traiter, et les services sans fil et filaires dans tout le Canada avaient cessé de fonctionner. Le rétablissement s'est poursuivi jusqu'au lendemain matin.

L'évaluation utilise 7 h 00 le 9 juillet comme fin de l'événement général, tout en reconnaissant que le service est revenu progressivement plutôt qu'à un instant national unique.

Cette ouverture comprimée est importante. Le chemin destructeur est allé d'une activité de maintenance approuvée à une perte nationale de service en quelques minutes. Le chemin de rétablissement a nécessité un diagnostic, un accès physique, des changements contrôlés, un séquençage régional et une gestion minutieuse de millions d'appareils se reconnectant. Ce déséquilibre est normal dans les infrastructures complexes: il est beaucoup plus facile d'exprimer un état dangereux que de le comprendre et de l'inverser sous pression.

C'est aussi la raison pour laquelle les contrôles les plus importants d'un opérateur doivent fonctionner avant et pendant un changement, pas seulement après le début des alarmes.

L' évaluation publiée par le CRTC par Xona Partners décrit plus de 12 millions de clients ayant perdu les services sans fil et filaires. Cette population comprenait des abonnés mobiles, des utilisateurs Internet domestiques, des clients de gros, des clients professionnels et des institutions fournissant des services critiques. Le nombre n'est pas un décompte de 12 millions de personnes tentant simultanément de passer des appels ou d'effectuer des paiements. C'est une mesure de la population de services exposée à la panne commune.

Des mesures externes confirment indépendamment l'effet brusque sur le réseau public. Cloudflare a observé une perte quasi totale du trafic d'AS812 de Rogers commençant vers 08:45 UTC, ainsi qu'un pic de mises à jour BGP et de retraits de préfixes importants. L'analyse de la panne par ThousandEyes a vu la joignabilité du réseau se détériorer et a noté que les retraits BGP publics étaient cohérents avec une panne interne, tout en précisant que les mesures externes ne pouvaient établir la cause interne initiale.

L'examen ultérieur de l'Internet Society a également traité la perte de route externe comme une manifestation d'un grave problème interne, et non comme la preuve que le BGP sur l'Internet public avait initié l'incident.

La distinction est importante. Dire « BGP a fait tomber Rogers » transforme un échec de gouvernance en une histoire de protocole. BGP a transporté et exposé les conséquences du routage. La défaillance initiale était un changement de configuration de production qui a permis aux tables BGP complètes d'inonder un domaine OSPF interne, combiné à l'absence de protections de surcharge, à une validation inefficace et à un processus de risque qui traitait un changement de routage central comme à faible risque. Il s'agissait de conditions organisationnelles contrôlables.

L'événement a également dépassé le cadre habituel d'une panne de fournisseur. Un abonné mobile perdant ses données est une défaillance de service. Une ville perdant ses communications avec le personnel, ses dossiers de soins de longue durée, son acceptation des paiements et ses liaisons de contrôle du trafic à distance en même temps est une défaillance de continuité. Lorsque l'accès au 9-1-1 et les alertes publiques sont affectés, cela devient une défaillance de sécurité publique. Lorsque les services nationaux de débit et de transfert d'Interac deviennent indisponibles, cela devient une défaillance de dépendance économique.

Rogers était l'origine technique, mais le rayon de l'explosion a révélé des choix de risque pris dans tout un écosystème.

Ce que prouvent les éléments publics

Les preuves se sont considérablement améliorées après l'événement. Les premiers messages de Rogers étaient larges. Le 8 juillet, son président-directeur général a reconnu que les services sans fil et filaires étaient affectés, a accepté la responsabilité de rétablir la confiance et a promis des crédits automatiques dans un message public aux Canadiens. Le 9 juillet, la société a déclaré qu'une mise à jour de maintenance dans le cœur avait provoqué un dysfonctionnement des routeurs et que l'équipement avait été déconnecté tandis que le trafic était redirigé.

Ces déclarations étaient des admissions significatives, mais elles n'expliquaient pas encore le filtre, l'inondation de routage interne, les sauvegardes manquantes ou le diagnostic retardé.

Le régulateur a alors exigé un dossier beaucoup plus large. La demande de renseignements du CRTC du 12 juillet demandait à Rogers d'expliquer la cause, la chronologie, le rétablissement, les communications avec les clients, les effets sur les services d'urgence, les tests préalables, les crédits et les mesures pour prévenir la récurrence. La lettre a noté deux préoccupations publiques immédiates: Rogers avait fourni peu de détails utiles pendant les premières heures, et elle n'avait pas dit aux Canadiens comment joindre le 9-1-1 par d'autres moyens.

Une deuxième lettre du CRTC le 5 août a insisté sur le filtre de routage supprimé, le changement de politique réseau réel, la couverture des tests, pourquoi la notification aux centres d'appels d'urgence a pris près de quatre heures, et pourquoi certains appels d'urgence ont réussi tandis que d'autres non.

La synthèse la plus solide est l'évaluation indépendante de Xona Partners, commandée dans le cadre du processus réglementaire et publiée plus tard par le CRTC sous une forme abrégée. Elle s'appuyait sur plusieurs séries de réponses de Rogers et des réunions avec le personnel technique et de direction. Le rapport aboutit à des conclusions qui vont bien au-delà de l'explication du premier jour de l'entreprise.

Il identifie le filtre de politique de liste de contrôle d'accès supprimé, la redistribution des tables BGP complètes dans OSPF, l'épuisement des ressources dans les routeurs centraux, l'absence de protection contre les surcharges, un audit des changements inefficace, la rétrogradation inappropriée des risques, l'absence de tests en laboratoire représentatifs de la production, la dépendance au réseau de gestion, des communications tierces insuffisantes et des faiblesses dans la réponse aux incidents.

Il préserve également des limites importantes. Certains détails restent expurgés, notamment des parties de la topologie, l'identification des équipements, la configuration exacte et le calendrier interne. Le rapport conclut que le cœur pré-panne de Rogers était conventionnel pour un grand fournisseur de niveau 1 et que le cœur commun était un choix de conception plutôt qu'en soi un défaut de conception. Il évalue que la combinaison de mesures mises en œuvre par Rogers après la panne est satisfaisante pour traiter la cause profonde et améliorer la résilience.

Une analyse de responsabilité ne doit pas remplacer silencieusement ces conclusions par l'affirmation que l'ensemble du réseau a été conçu de manière imprudente.

Il ne faut pas non plus surestimer ce que le rapport prouve sur les conditions actuelles. L'évaluation a constaté que la séparation des cœurs était toujours en cours au moment de l'examen. En juillet 2024, le CRTC a exigé que Rogers fasse rapport sur l'efficacité continue et les progrès de la séparation des cœurs, et le dossier de la procédure publique montre un dépôt de Rogers en juillet 2025. Les dépôts publics et l'acceptation du régulateur offrent plus de garanties qu'un communiqué de presse, mais ils ne sont pas la même chose que la publication de chaque cas de test, exception, limite d'architecture ou nouveau test indépendant.

On peut avoir une grande confiance dans le fait que la chaîne causale est comprise tout en restant prudent quant à la durabilité de chaque mesure corrective.

La séquence du changement au rétablissement

Le dossier public soutient la chronologie suivante. Les heures sont en heure avancée de l'Est. Elles marquent des jalons opérationnels, pas un journal interne complet.

La chronologie évite deux simplifications courantes. Premièrement, l'incident n'a pas été réparé dès que les routes sont réapparues publiquement. Une annonce de préfixe, une connexion Internet domestique fonctionnelle, un enregistrement mobile réussi, un chemin 9-1-1 rétabli et un service national pleinement stable sont différents états de rétablissement. Deuxièmement, l'absence de diagnostic immédiat de la cause première n'est pas en soi une preuve d'incompétence. Le réseau était complexe, plusieurs changements étaient survenus, les journaux étaient inaccessibles et le rétablissement devait éviter une nouvelle surcharge.

Le problème de responsabilité est que les choix de conception et de processus prévisibles ont rendu le diagnostic inutilement difficile.

Un filtre supprimé est devenu un problème d'autorité nationale

Le filtre supprimé avait un rôle de protection. En termes simplifiés, les routeurs de distribution de Rogers apprenaient de grandes quantités d'informations de routage via BGP, tandis que OSPF distribuait la topologie et la joignabilité à l'intérieur du cœur. Le filtre limitait ce qui pouvait traverser cette frontière. Sa suppression a permis aux tables BGP complètes d'être redistribuées dans OSPF. Les routeurs centraux ont alors reçu plus d'informations d'état de lien que leurs ressources de traitement et de mémoire ne pouvaient en gérer et ont planté.

Ce n'était pas simplement une ligne malheureuse dans un fichier de configuration. La modification avait autorité sur une frontière entre domaines de routage desservant le trafic national sans fil et filaire. Son effet maximal possible, plutôt que son étiquette au sein d'un projet multi-phases, aurait dû déterminer le niveau de contrôle. Une action de nettoyage qui peut supprimer une barrière de contrôle de routage est toujours un changement de production à haute conséquence.

L'évaluation indépendante identifie quatre protections reconnues dans la pratique réseau: la protection contre les surcharges sur les routeurs centraux, les limites sur le nombre de routes redistribuées par les routeurs de distribution, les audits de politique manuels et automatisés, et le retour automatique. Rogers ne disposait pas d'une combinaison efficace capable d'arrêter cet événement. Le processus d'audit n'a pas signalé le changement erroné. Le cœur manquait de la limite de surcharge pertinente. Les tests en laboratoire n'ont pas reproduit et rejeté l'état dangereux.

Plusieurs changements dans la fenêtre ont rendu le choix initial de retour moins évident.

Des recommandations opérationnelles de longue date soutiennent le principe sans décider de la responsabilité. Les directives d'exploitation et de sécurité BGP de l'Internet Engineering Task Force dans la RFC 7454 traitent du filtrage des préfixes, des contrôles de préfixes maximum, de la surveillance et d'une configuration disciplinée comme protections contre la propagation nuisible des routes. La RFC n'est pas une loi régissant Rogers, et la panne impliquait une redistribution interne dans OSPF plutôt qu'une simple fuite de route externe.

Elle montre cependant que la limitation du volume de routes et le filtrage des informations de routage étaient des préoccupations opérationnelles établies, et non des leçons inventées après juillet 2022.

La question la plus utile pour la responsabilité n'est donc pas de savoir qui a supprimé le filtre. L'évaluation publique indique que le personnel de Rogers a effectué la modification mais ne fournit pas de base pour juger de l'intention, de la formation ou du respect des instructions d'un employé individuel. La meilleure question est de savoir pourquoi l'organisation a permis à une frontière de routage centrale de dépendre d'un seul filtre amovible sans limite de capacité distincte ou validation de fermeture en cas d'échec.

Une action d'opérateur ne devrait pas porter tout le poids moral d'un système qui l'a approuvée, exécutée et n'a pas réussi à la contenir.

Une bonne conception de contrôle suppose qu'une personne valablement autorisée peut encore avoir tort. Un changement de routage à fort impact devrait faire face à une comparaison sémantique avec la topologie de production actuelle, des limites de nombre de routes appliquées par les dispositifs cibles, une revue par des pairs indépendants de la mise en œuvre, une reproduction en laboratoire représentative, un déploiement par étapes vers un segment limité, des critères d'arrêt en direct et un chemin de retour prouvé fonctionnel lorsque l'accès de gestion ordinaire est altéré.

Plusieurs contrôles peuvent échouer, mais ils ne devraient pas tous partager la même hypothèse sur ce que le changement fera.

Le score de risque a appris la mauvaise leçon du succès

L'une des conclusions les plus révélatrices est administrative plutôt que technique. Rogers a d'abord classé la mise à niveau en sept phases comme à haut risque. Les phases précédentes se sont achevées avec succès. Son algorithme a ensuite utilisé ces succès pour abaisser le risque de la sixième phase, y compris le changement de politique de routage qui a causé la panne, à faible. Cette notation a réduit la nécessité d'un contrôle supplémentaire, d'une approbation supérieure et de tests en laboratoire.

Le succès passé peut être une preuve pour une action répétée et matériellement identique. C'est une preuve faible pour une phase ultérieure qui modifie un contrôle différent avec un rayon d'explosion différent. Un programme peut devenir plus dangereux à mesure qu'il s'approche du cœur, même si ses premières étapes d'accès ou préparatoires réussissent. Traiter l'achèvement de séquence comme une raison pour assouplir le contrôle confond la dynamique du projet avec le risque technique.

L'erreur montre également pourquoi les algorithmes de risque nécessitent une gouvernance. Un score n'est pas une propriété objective d'un changement. C'est une décision politique exprimée à travers des facteurs et des pondérations. Si le succès antérieur peut l'emporter sur la présence d'une redistribution BGP vers IGP, la portée nationale du cœur, la suppression d'un filtre, plusieurs modifications simultanées et une indépendance limitée du retour, le modèle encode une préférence dangereuse. L'organisation doit tester le modèle avec des cas catastrophiques connus tout comme elle teste les logiciels des routeurs.

Pour les administrateurs et les cadres supérieurs, la mesure pertinente n'est pas le pourcentage de changements étiquetés à faible risque ou réalisés sans incident. Un rapport mature montrerait combien de changements peuvent affecter à la fois les cœurs sans fil et filaires, quelles caractéristiques de politique imposent une classification à haut risque, à quelle fréquence les ingénieurs contournent les scores automatisés, si les changements refusés sont suivis et comment le moteur de risque se comporte par rapport à une bibliothèque de configurations dangereuses connues.

Il devrait également montrer si une phase précoce réussie peut jamais réduire les exigences de contrôle pour une phase ultérieure qui touche une nouvelle limite de défaillance.

Rogers a indiqué aux examinateurs indépendants qu'elle avait introduit un nouvel algorithme d'évaluation des risques, de nouvelles catégories pour les changements automatisés et restreints, une collaboration plus précoce entre l'ingénierie et les opérations, une équipe de revue par les pairs de l'ingénierie centrale, des tests en laboratoire renforcés et des limites sur le volume de changements pendant les fenêtres de maintenance. Ces mesures ciblent les faiblesses observées. Leur valeur durable dépend de preuves provenant de tentatives de changements dangereux et d'exercices, pas de l'existence de documents de processus révisés.

Le matériel redondant partageait un même sort logique

L'évaluation de Xona n'a pas constaté que Rogers manquait de l'architecture physique attendue d'un fournisseur de niveau 1. Le réseau disposait d'un transport redondant, de plusieurs régions et d'équipements de grands fournisseurs. Pourtant, les services sans fil et filaires utilisaient un cœur IP commun, et l'état de configuration dommageable a atteint le cœur suffisamment largement pour vaincre le bénéfice pratique de cette redondance.

C'est la différence entre la redondance des composants et la séparation des destins. Deux routeurs sont redondants si l'un peut transporter le trafic lorsque l'autre tombe en panne. Ils ne sont pas indépendants si une mise à jour de politique peut surcharger les deux. Les régions isolent les pannes ordinaires seulement si le plan de contrôle ne peut pas pousser le même état nuisible à travers elles toutes. Des fournisseurs séparés réduisent certains risques de défaut, mais un processus de configuration commun peut encore produire une panne interopérable. La diversité physique est réelle et utile;

elle ne répond tout simplement pas à un événement logique de mode commun.

La convergence du trafic sans fil et filaire sur un cœur IP commun peut améliorer l'efficacité, les performances et la gérabilité. Le rapport qualifie cela de choix de conception courant dans l'industrie, non de défaut. La responsabilité réside dans les protections exigées par ce choix. Lorsque la convergence augmente l'impact maximal d'un changement, les limites de routage, le partitionnement, l'indépendance de gestion, les chemins d'urgence et la rigueur des tests doivent augmenter avec elle.

Rogers a annoncé qu'elle séparerait physiquement les cœurs IP sans fil et filaires. Dans sa déclaration liminaire du 25 juillet au comité parlementaire de l'industrie, le PDG Tony Staffieri a estimé à au moins 250 millions de dollars pour la couche supplémentaire et a décrit un investissement réseau plus large sur trois ans. Le rapport Xona ultérieur a utilisé un chiffre de 261 millions de dollars pour la séparation et a expliqué qu'un nouveau cœur sans fil serait construit tandis que le cœur existant continuerait à desservir le trafic filaire.

La séparation n'a de valeur que si les opérations la préservent. Deux cœurs peuvent acquérir à nouveau un destin commun par le biais de changements synchronisés, d'une orchestration partagée, d'une identité partagée, d'une politique de routage commune, de goulots d'étranglement de transport communs ou d'un réseau de gestion partagé. Le rapport indépendant note lui-même qu'éviter une panne simultanée suppose que la même mise à niveau nuisible ne soit pas appliquée aux deux en même temps.

Un conseil d'administration devrait donc demander une carte des dépendances et des tests de panne conjointe, pas simplement un pourcentage d'achèvement de projet.

Le réseau de rétablissement est tombé en panne avec le réseau à réparer

La durée de la panne ne peut être comprise à partir de la seule erreur de routage. Le réseau de gestion de Rogers dépendait du cœur IP de production. Lorsque ce cœur est tombé en panne, les ingénieurs à distance ont perdu l'accès aux éléments du réseau et aux journaux d'erreurs. Les sites critiques, y compris le centre d'opérations réseau, ne disposaient pas d'une connectivité sécurisée suffisante auprès de fournisseurs alternatifs. Le personnel a dû se déplacer vers les équipements, et l'entreprise avait trop peu de cartes SIM tierces pour que tous les intervenants critiques puissent communiquer indépendamment du service Rogers.

C'étaient des dépendances de rétablissement à l'intérieur du rayon de l'incident. Elles ont transformé une défaillance de configuration rapide en un problème de diagnostic long. L'évaluation indique que Rogers n'a pas pu identifier la cause première pendant environ 14 heures. Plusieurs changements de configuration étaient survenus pendant la fenêtre de maintenance, les équipes ont donc également dû décider quel ticket de changement inverser sans les informations qu'elles utiliseraient normalement. C'est une combinaison particulièrement dangereuse: visibilité réduite, contrôle réduit, communication altérée et plusieurs causes plausibles.

Un réseau de gestion hors bande n'est pas indépendant simplement parce qu'il a un nom, une plage d'adresses ou un ensemble d'interfaces différent. Il doit survivre au cœur de production, au DNS d'entreprise, aux services d'identité normaux, au transporteur principal et au site d'opérations central. L'accès doit rester sécurisé dans des conditions d'urgence, avec des commandes limitées, une authentification forte, un double contrôle le cas échéant, des journaux infalsifiables, des procédures hors ligne et une utilisation régulière dans les exercices. L'indépendance sans sécurité crée une porte dérobée;

la sécurité sans indépendance crée un plan de rétablissement inaccessible.

Le rapport indique que Rogers a ensuite mis en œuvre un réseau de gestion IP physique et logique séparé, a ajouté une connectivité de fournisseur alternatif sur les sites critiques, a étendu la distribution de cartes SIM tierces aux équipes d'intervention et de crise, a amélioré la priorisation des alarmes, a élargi la surveillance et a amélioré le retour automatique. Il a évalué la connectivité tierce comme une amélioration adéquate et a suggéré une connectivité satellite pour les sites particulièrement stratégiques.

Ces mesures traitent les mécanismes qui ont retardé le rétablissement plutôt que de simplement promettre plus de disponibilité.

Elles devraient être testées ensemble. Un exercice réaliste supprimerait le routage de production et les communications d'entreprise, refuserait l'accès à un site d'opérations, rendrait un ticket de changement récent trompeur et exigerait que les intervenants localisent les bons dispositifs par le chemin indépendant. Il mesurerait le temps pour établir le commandement, récupérer des journaux fiables, identifier le rayon de l'explosion, contacter les autorités publiques, publier des conseils aux clients et commencer un retour limité.

Une affirmation sur table que des cartes SIM de sauvegarde existent n'est pas la même chose que de prouver qu'elles sont chargées, attribuées, joignables et connues des intervenants à 5 h du matin.

Les appels d'urgence ont révélé un écart entre la radio et le service

L'impact le plus grave a été la perte d'accès aux urgences. Le réseau d'accès radio de Rogers restait opérationnel dans certaines parties du pays tandis que le cœur était en panne. Cela a créé un état contre-intuitif: un téléphone pouvait encore voir et s'attacher à son réseau radio domestique suffisamment pour ne pas rechercher automatiquement un autre opérateur, tandis que le chemin nécessaire pour passer un appel au 9-1-1 via Rogers était indisponible. Certains appels ont réussi sur une infrastructure 2G ou 3G plus ancienne lorsque des parties du cœur étaient intermittemment joignables;

certains appareils plus récents ont trouvé un autre réseau; une grande proportion n'a pas abouti.

L'évaluation publique ne divulgue pas le pourcentage précis d'appels réussis, donc un compte rendu responsable ne devrait pas en inventer un. Elle établit que la connectivité aux fournisseurs de réseau 9-1-1 et aux centres d'appels d'urgence a été coupée et que de nombreux clients n'ont pas pu joindre les services d'urgence. Elle n'a également trouvé aucune route de cœur et de bord dédiée à la préservation du trafic d'urgence dans cette condition de panne.

La notification a aggravé le problème d'accès. Rogers n'a pas notifié les fournisseurs de réseau 9-1-1 avant 8 h 39, près de quatre heures après le déclencheur, et s'est appuyé sur eux pour transmettre l'avertissement aux centres d'appels. La première lettre du CRTC a critiqué l'absence de conseils pratiques au public sur les moyens alternatifs de joindre le 9-1-1. Les alertes publiques sans fil ont également été affectées: Rogers a ensuite confirmé à l'agrégateur national d'alertes que les messages d'urgence ne seraient pas délivrés aux utilisateurs sans fil connectés à son réseau pendant la panne.

La lettre de suivi du comité parlementaire de l'industrie a appelé à des mécanismes pour transférer le service d'urgence, une notification adéquate des clients et une redondance suffisante pour réduire la population affectée. La distinction entre priorité et survie est centrale. Prioriser un paquet 9-1-1 sur un réseau en fonctionnement ne fait rien lorsque le cœur ne peut pas le router. La continuité des urgences nécessite un chemin qui reste joignable, un déclencheur fiable pour l'itinérance ou le transfert, une capacité sur le réseau récepteur et des instructions que les gens peuvent suivre sans données mobiles fonctionnelles.

La réponse de l'industrie a été un Protocole d'entente sur la fiabilité des télécommunications couvrant l'itinérance d'urgence, l'assistance mutuelle et les communications avec les gouvernements et le public. Il reconnaît l'itinérance d'urgence lorsque techniquement faisable et inclut l'accès au 9-1-1. Cette qualification est importante. Un réseau radio qui semble disponible pendant que son cœur est indisponible est précisément le scénario qui peut empêcher le comportement d'itinérance ordinaire. Xona a donc recommandé de tester le PE contre la condition de juillet 2022, pas seulement de confirmer que des accords existent.

Le service d'urgence est une chaîne partagée. Rogers doit faire en sorte que son réseau échoue de manière sécurisée et notifier rapidement. Les autres opérateurs doivent être capables d'accepter le trafic d'urgence faisable sans déstabiliser leurs propres réseaux. Le comportement des appareils et des normes doit soutenir le choix d'une autre route. Les autorités publiques et les centres d'appels ont besoin d'une notification directe et authentifiée. Le public a besoin de conseils simples et accessibles diffusés par la radio, la télévision, des canaux web hébergés indépendamment et des institutions locales.

La responsabilité échoue si chaque entité pointe vers le maillon suivant.

Montréal montre à quoi ressemble la dépendance du secteur public de près

Le langage national peut rendre les effets abstraits. L' examen de l'impact opérationnel ultérieur de la Ville de Toronto fournit une image concrète des dépendances d'un gouvernement. Plus de 55 % des employés municipaux disposant d'appareils mobiles professionnels dépendaient de Rogers.

La panne a perturbé la coordination initiale entre la gestion des incidents technologiques et le Centre des opérations d'urgence, a affecté les fonctions de sécurité incendie et de sécurité des personnes, et a touché les soins de longue durée, les refuges, les cliniques de vaccination, le Wi-Fi public, les paiements dans les installations municipales et le contrôle du trafic à distance.

Les détails montrent comment la concentration des télécommunications traverse les frontières départementales. Les équipes de dix foyers de soins de longue durée exploités directement ont perdu l'accès aux dossiers électroniques pour plus de 2 600 résidents. Le personnel malade ou en quarantaine ne pouvait pas appeler un service de planification centralisé. Certaines cliniques de vaccination ont utilisé des points d'accès d'un autre opérateur; d'autres ont enregistré les informations manuellement pour un téléchargement ultérieur.

Plus de 600 intersections ont continué à exécuter leur synchronisation temporelle locale, mais la surveillance centrale et le réglage à distance via les liaisons cellulaires de Rogers étaient indisponibles jusqu'au retour de la connectivité. La ville a envisagé d'annuler les activités de loisirs car l'appel d'urgence fiable était incertain, puis a continué après que des téléphones d'un autre opérateur aient été fournis.

Ce n'était pas une défaillance totale du gouvernement municipal. Toronto a activé son Centre des opérations d'urgence, a déplacé le travail lorsque possible, a déployé plus de 75 appareils de sauvegarde, a utilisé des réseaux secondaires et a maintenu les responsabilités essentielles. Ces adaptations réussies sont aussi importantes que les échecs. Elles montrent que la continuité est un ensemble d'alternatives limitées, pas une promesse que le service numérique normal restera inchangé.

Le document d'information d'ISDE préparé pour l'audience parlementaire du 25 juillet note les effets sur Service Canada et les services municipaux et explique le rôle de coordination fédérale. ISDE a activé son équipe d'urgence en télécommunications et le manuel du groupe de travail de l'industrie; Bell et TELUS ont fourni une certaine assistance; Rogers n'a pas demandé d'aide fédérale. Le département pouvait coordonner l'information et aider avec des besoins tels que les fréquences ou le déplacement de ressources, mais il ne possédait pas le réseau défaillant ni n'avait la capacité de le réparer.

La responsabilité du secteur public commence avant l'approvisionnement. Un contrat spécifiant la disponibilité et les crédits ne garantit pas la diversité opérationnelle. Les agences doivent cartographier la propriété des opérateurs derrière les revendeurs, les liaisons privées, les forfaits mobiles, l'accès au cloud, les alarmes des bâtiments, les terminaux de paiement et les points d'accès de secours. Deux factures ne signifient pas deux réseaux. Elles ont besoin de procédures manuelles minimales pour les fonctions de santé, d'hébergement, de transport et d'information publique; des inventaires d'appareils alternatifs;

des contacts de rétablissement prioritaires testés; et un plan de communication qui ne repose pas sur le service de données de l'opérateur défaillant.

Le bon objectif de continuité n'est pas de dupliquer chaque service à tout prix. C'est d'identifier les fonctions critiques pour la sécurité des personnes et le temps, et de donner à ces fonctions une véritable diversité de chemin. Un feu de signalisation peut conserver sa synchronisation locale sans sa liaison centrale. Une clinique peut enregistrer une vaccination sur papier pour une réconciliation ultérieure. Un foyer de soins peut avoir besoin de dossiers, de communications avec le personnel et d'appels d'urgence via des mécanismes séparés car le retard a des conséquences plus graves.

La conception de la continuité doit suivre la conséquence, pas l'organigramme.

Interac a transformé une panne d'opérateur en panne de paiement

La panne a également désactivé Interac Débit et Interac virement. Cela signifiait que l'effet atteignait les personnes et les commerçants qui n'étaient pas eux-mêmes abonnés à Rogers. Un magasin pouvait avoir Internet d'un autre opérateur et être toujours incapable d'accepter le moyen de paiement que ses clients attendaient. Un ménage pouvait avoir un Wi-Fi fonctionnel et être toujours incapable d'envoyer un virement. La dépendance au fournisseur résidait à l'intérieur d'un service de paiement national plutôt qu'à la périphérie visible de l'utilisateur.

La déclaration sur la panne et les mises à jour correctives d'Interac sont inhabituellement directes. Elle a déclaré que ses plateformes disposaient de réseaux redondants et d'une diversité de circuits, avec des engagements de disponibilité des fournisseurs, mais le 8 juillet a montré que ces arrangements étaient encore trop vulnérables à la maintenance du cœur de Rogers. Elle a également indiqué avoir facilité près de 25 millions de transactions un jour comme le 8 juillet. C'est un contexte de volume de transactions, pas un décompte des paiements échoués ou une perte mesurée.

Interac n'a pas traité « l'opérateur est en panne » comme une excuse pour cesser sa responsabilité. Elle a ajouté un deuxième opérateur et une troisième liaison avec une capacité de sauvegarde suffisante pour le volume réseau, a activé un mode de sauvegarde privé sécurisé pour les entités aux virements, et a révisé ses pratiques de continuité des activités et de réponse aux crises. Sa mise à jour indique que le projet de diversité des opérateurs a été achevé en juin 2023 et l'alternative privée pour les virements en janvier 2023.

C'est un dossier de correction plus solide qu'une déclaration générique selon laquelle les liaisons existantes étaient redondantes.

L'événement illustre pourquoi la diversité doit être tracée de bout en bout. Les circuits peuvent emprunter des routes locales différentes et toujours dépendre d'un seul cœur de fournisseur. Un service peut contracter avec plus d'un fournisseur tandis que les banques participantes ou les points d'accès conservent un opérateur partagé. La capacité de sauvegarde peut exister mais être trop faible pour un basculement national. Un test de continuité qui bascule une liaison pendant des conditions normales peut manquer la poussée opérationnelle et de trafic d'une perte d'opérateur à l'échelle du système.

Les opérateurs de paiement et les institutions financières devraient donc prouver le chemin de basculement complet lors d'une panne d'opérateur à l'échelle, y compris les connexions des entités, les contrôles d'identité et de fraude, la messagerie de règlement, la communication avec les clients et la capacité. Ils devraient savoir quelles fonctions dégradées sont plus sûres que l'indisponibilité totale. L'autorisation hors ligne ou des limites de sans contact plus élevées peuvent préserver un certain commerce, mais elles modifient également l'exposition à la fraude et au crédit.

La résilience n'est pas une demande d'accepter chaque transaction aveuglément; c'est un équilibre préétabli entre continuité et contrôle financier.

Les petites entreprises ont subi des pertes qu'un crédit de service ne pouvait réparer

Pour de nombreuses PME, la panne a supprimé plusieurs canaux à la fois: Internet fixe, service mobile, voix, commandes en ligne, tablettes de livraison de repas, accès au cloud pour les points de vente, paiements par débit, coordination du personnel et contact avec les clients. La diversité apparente de ces outils masquait une dépendance télécom commune. Un remboursement de cinq jours sur une facture mensuelle compensait le service Rogers indisponible selon une politique client large. Il ne remplaçait pas les ventes d'une journée, une réservation manquée, un inventaire perdu, le temps de paie ou les dommages à la réputation.

Un reportage contemporain de la Presse canadienne sur les effets sur les petites entreprises citait la Fédération canadienne de l'entreprise indépendante et des propriétaires qui décrivaient des pertes allant de centaines à des milliers de dollars. Les entreprises ne pouvaient pas traiter les commandes en ligne ou les transactions par carte, et un café a laissé ses clients réguliers reporter leur paiement lorsque le débit était indisponible. Ce sont des exemples crédibles de mécanismes de perte, pas un total national statistiquement représentatif.

Le rapport annuel 2022 de Rogers indique que les remboursements aux clients associés à la panne étaient d'environ 150 millions de dollars et note les litiges liés à l'événement. Le chiffre comptable est concret pour Rogers. Il ne devrait pas être présenté comme le coût économique total. Il exclut les pertes supportées par les non-clients, les agences publiques, les entités d'Interac, les employés et les entreprises dont les frais de service étaient faibles par rapport au commerce interrompu. Les allégations dans les litiges ne sont pas des conclusions de responsabilité, et cet article ne déduit pas un résultat juridique de leur existence.

Les PME ont moins de ressources que les banques ou les villes pour acheter des réseaux gérés entièrement diversifiés, mais elles peuvent encore faire des choix de continuité proportionnés à leur exposition. Un commerçant peut conserver un point d'accès testé sur un opérateur vraiment différent, savoir comment son terminal de point de vente se comporte sans la liaison principale, maintenir une petite procédure de trésorerie, conserver une liste hors ligne des clients et fournisseurs, et publier des mises à jour via un canal hébergé séparément.

Un cabinet de services professionnels peut conserver des copies locales des rendez-vous du lendemain et un arbre d'appel en dehors de la messagerie d'entreprise. Un restaurant dépendant des livraisons peut connaître quelles plateformes de commande et quels chemins de paiement partagent sa connexion fixe.

L'objectif n'est pas une duplication coûteuse pour chaque propriétaire unique. C'est d'éviter de découvrir pendant une panne que chaque chemin de revenus a un seul parent caché. Les propriétaires devraient poser aux fournisseurs une question simple: si le cœur national de cet opérateur est indisponible, quelles parties de mon service fonctionnent encore et comment avez-vous testé cette affirmation? Un fournisseur qui répond seulement avec un pourcentage de disponibilité n'a pas répondu à la question de la continuité.

La communication était un contrôle opérationnel, pas des relations publiques

La communication de Rogers avec les clients était contrainte par la même panne qu'elle devait expliquer. Les équipes d'entreprise ne pouvaient pas contacter les clients de manière fiable directement, bien que certains employés disposant d'une connectivité alternative aient pu utiliser des outils de gestion de la clientèle dans le cloud. L'entreprise n'avait pas d'estimation de rétablissement fiable et ne voulait pas en publier une qui pourrait se révéler erronée. Cette prudence est compréhensible.

L'absence d'estimation utile n'excuse pas l'absence de conseils pratiques de sécurité, d'un périmètre clair et d'intervalles de mise à jour programmés.

La lettre du CRTC du 12 juillet était directe: pendant les premières heures, Rogers était incapable ou inefficace pour rassurer les clients et a fourni peu de détails sur son site ou ses comptes sociaux. Le régulateur a souligné l'incapacité à dire aux gens comment chercher un accès alternatif au 9-1-1. Un bon message de panne ne nécessite pas une cause première connue. Il peut indiquer quels services sont affectés, quand l'incident a commencé, quelles régions sont concernées, si l'appel d'urgence est altéré, quelles alternatives vérifiées existent, quand la prochaine mise à jour arrivera et quelles informations sont encore inconnues.

Le PE post-panne de l'industrie inclut un protocole de communication pour le public et les autorités gouvernementales. En septembre 2022, la déclaration du gouvernement fédéral sur le programme de fiabilité des télécommunications a décrit l'accord comme une première étape et a encadré le programme autour de réseaux robustes, d'une préparation coordonnée et de la responsabilité. Le PE a créé un cadre commun, mais une communication efficace dépend toujours d'outils spécifiques au fournisseur, de listes de contacts à jour, de formats accessibles et d'un chemin de publication en dehors du réseau défaillant.

La capacité de statut d'un opérateur national devrait être architecturalement séparée de son cœur de production. Le DNS, l'hébergement, l'authentification, l'accès du personnel et la notification sortante ne devraient pas tous dépendre du réseau dont l'état est rapporté. Les intervenants autorisés ont besoin d'un moyen de publier depuis des opérateurs alternatifs sans l'authentification unique d'entreprise normale. Les messages devraient atteindre les agences d'urgence directement plutôt que d'attendre la découverte publique sur les réseaux sociaux.

Les modèles devraient couvrir le 9-1-1, les alertes, les services d'accessibilité, les dépendances de paiement et les clients de gros, avec des faits remplis pendant l'incident.

La communication crée également une piste de preuves. Le délai jusqu'à la première déclaration de périmètre précise, le délai jusqu'aux conseils de sécurité, le délai de notification pour chaque autorité, l'historique des corrections, la cadence des mises à jour et la couverture de l'accessibilité peuvent être mesurés. Ce sont des indicateurs de résilience au niveau du conseil d'administration car ils montrent si l'organisation peut encore exercer sa responsabilité tandis que son système technique principal est indisponible.

La remédiation doit être séparée des dépenses d'investissement

La réponse de Rogers contenait à la fois des contrôles spécifiques et des chiffres d'investissement très importants. Lors de l'audience parlementaire, l'entreprise a décrit un plan de fiabilité renforcé, la séparation physique des réseaux, davantage de surveillance et de tests, des partenariats technologiques et un programme réseau de plusieurs milliards de dollars. Les grands chiffres signalent une capacité d'action, mais ils peuvent brouiller la différence entre l'expansion ordinaire et la réduction des risques spécifiques à la panne.

L'évaluation de Xona fait cette distinction. Les dépenses pour la couverture du réseau d'accès et la technologie n'atténueraient pas nécessairement la panne du 8 juillet. La séparation des cœurs pourrait réduire la perte simultanée sans fil et filaire, mais elle servait également des objectifs plus larges de performance et stratégiques.

Les remédiations les plus directes étaient plus étroites: des limites sur la redistribution BGP et les entrées de base de données OSPF, un accès de gestion indépendant, une connectivité de fournisseur alternatif, une révision des changements renforcée, des laboratoires représentatifs de la production, un volume de changements réduit, un retour automatique, une priorisation des alarmes et des communications de sauvegarde pour les intervenants.

Cette distinction est importante pour la responsabilité car l'argent est un intrant. Un conseil d'administration peut approuver des milliards et laisser le contrôle défaillant inchangé. Les preuves de clôture devraient montrer qu'une tentative de redistribution complète de la table est rejetée à plus d'un niveau; que le modèle de risque ne peut pas rétrograder une suppression de politique de routage central parce que les phases précédentes ont réussi; qu'un changement est arrêté dans une région limitée avant la propagation nationale; que les journaux restent accessibles lorsque le cœur est absent;

et que les intervenants peuvent communiquer et se rétablir sans le service Rogers.

L'évaluation indépendante a conclu que la combinaison de mesures post-panne traitait de manière satisfaisante la cause profonde et améliorait la fiabilité. La lettre du CRTC de 2024 a indiqué que les mesures avaient traité la cause et exigeait un rapport continu. C'est une assurance externe significative et ne devrait pas être minimisée. La question de responsabilité restante est la durabilité: si les contrôles continuent de fonctionner à mesure que la topologie, les fournisseurs, l'automatisation, le personnel et les priorités commerciales changent.

Les propriétaires de contrôle devraient signaler les exceptions et les tests échoués, pas seulement les projets achevés. Les limites des routeurs peuvent être relevées. Les modèles de laboratoire peuvent s'écarter de la production. La revue par les pairs peut devenir une approbation de routine. Les circuits alternatifs peuvent être consolidés lors des achats. Les cœurs séparés peuvent partager un nouvel orchestrateur. Les cartes SIM de sauvegarde peuvent expirer. Une remédiation est maintenue par la conformité de la configuration, des cas de test adverses, des exercices, un échantillonnage indépendant et des actions correctives suivies.

La régulation est passée d'une enquête ad hoc à des obligations permanentes

La réponse immédiate du CRTC reposait sur des questions détaillées à Rogers et le dossier public. En février 2023, le Conseil a ouvert l' Avis de consultation en télécoms 2023-39 et a imposé des attentes provisoires pour que les opérateurs signalent les pannes majeures dans les deux heures et soumettent un rapport post-panne dans les 14 jours. La procédure a interrogé sur les impacts sur le 9-1-1, les alertes publiques, l'accessibilité, la communication avec les consommateurs, la compensation, les mesures techniques et les pénalités.

En septembre 2025, la Décision de télécoms CRTC 2025-225 a établi des exigences définitives de notification et de rapport pour les pannes majeures de télécommunications. Les fournisseurs doivent notifier le CRTC, ISDE et les autorités compétentes dans des conditions définies, fournir des mises à jour, confirmer le rétablissement et soumettre des informations post-panne. Le cadre transforme certaines attentes exposées par Rogers en obligations sectorielles permanentes.

Le signalement n'est pas une prévention, mais il modifie la responsabilité de trois manières. Il crée une horloge commune pour la notification. Il donne aux autorités publiques les informations nécessaires pour coordonner la sécurité et la continuité. Il produit des registres grâce auxquels les causes récurrentes, les remédiations faibles et les dépendances sectorielles peuvent être identifiées. Un opérateur ne peut plus traiter la communication avec les gouvernements comme une courtoisie improvisée lors d'une crise de cette ampleur.

Les limites sont tout aussi claires. Un rapport déposé à temps ne préserve pas le 9-1-1. Les soumissions techniques confidentielles peuvent laisser les clients incapables de tester les affirmations générales de résilience. Les définitions de seuils peuvent encourager l'attention sur le point de savoir si un événement est signalable plutôt que sur s'il est dangereux.

Les régulateurs ont besoin d'une capacité technique suffisante pour contester les catégories de causes profondes, distinguer un correctif direct d'un investissement général, comparer les remédiations entre opérateurs et exiger de nouveaux tests lorsque l'exposition en mode commun persiste.

Le cas Rogers met également en garde contre l'utilisation de la concurrence comme explication complète. Un marché national concentré peut augmenter la portée sociale d'une panne d'un seul opérateur et réduire les alternatives pratiques pour certains utilisateurs. Plus de fournisseurs à eux seuls n'auraient pas empêché une suppression de filtre approuvée chez Rogers, et un client achetant deux services nominaux peut encore sélectionner le même cœur sous-jacent. La structure du marché et le contrôle technique sont des questions de risque liées, mais aucune ne se substitue à l'autre.

Ce qu'un leadership responsable devrait être en mesure de montrer

Tony Staffieri a déclaré au Parlement qu'en tant que PDG, il était responsable de la panne. Cette déclaration plaçait correctement la responsabilité au-dessus de l'ingénieur le plus proche du changement. La responsabilité exécutive devient significative lorsqu'elle produit des preuves que l'organisation a modifié les conditions qui ont rendu l'incident national et l'ont prolongé.

Un ensemble d'assurance au niveau du conseil d'administration devrait répondre à des contrefactuels concrets:

1. Autorité de changement:Quelles commandes, modèles et tâches d'automatisation actuels peuvent affecter plus d'une région ou les deux cœurs? Quelles limites immuables contraignent leur impact maximal sur les routes et les services?
2. Classification des risques:Quelles caractéristiques techniques imposent une notation à haut risque indépendamment de l'historique du projet? Comment le modèle de notation est-il testé par rapport à la configuration de juillet 2022 et à d'autres cas catastrophiques connus?
3. Indépendance de la validation:Le laboratoire, le vérificateur de politique, la revue par les pairs, la limite de l'appareil, le déploiement par étapes et le retour automatique reposent-ils sur des données et des hypothèses de défaillance différentes, ou une seule méprise peut-elle tous les vaincre?
4. Séparation des destins:Les services sans fil, filaires, 9-1-1, les alertes publiques, l'accès de gestion, les communications d'entreprise et la publication de statut peuvent-ils échouer indépendamment? Quels plans de contrôle partagés subsistent?
5. Indépendance du rétablissement:Les intervenants désignés peuvent-ils accéder aux journaux, dispositifs, identifiants, installations, fournisseurs et communications publiques lorsque le cœur de production et les services d'identité normaux sont indisponibles?
6. Continuité des urgences:L'itinérance d'urgence a-t-elle été testée avec le réseau radio opérationnel et le cœur domestique en panne? Combien d'appareils et de chemins d'appel ont fonctionné comme prévu, et quelles populations résiduelles ont besoin d'autres conseils?
7. Dépendance externe:Quels clients institutionnels et de gros peuvent créer des effets secondaires nationaux? Les dépendances de type Interac ont-elles été cartographiées et soumises à des exercices conjoints?
8. Clôture durable:Qui échantillonne indépendamment les limites des routeurs, les décisions de risque, la fidélité des laboratoires, les circuits alternatifs, les inventaires de SIM, les actions d'exercice et les frontières de séparation? Quelles exceptions sont en retard?

Ces questions ne demandent pas aux administrateurs de configurer le routage. Elles demandent à la direction de traduire la résilience technique en preuves de décision. Un tableau de bord montrant une disponibilité moyenne peut rester vert tandis qu'un changement non testé conserve un rayon d'explosion national. Le conseil a besoin de mesures de risque extrême: portée maximale par changement, nombre de dépendances de contrôle communes, délai d'accès à la gestion indépendante, délai de notification d'urgence, pourcentage d'intervenants critiques joignables hors réseau et temps pour rétablir un service minimal de sécurité.

La responsabilité devrait également distinguer la faute du blâme. Les preuves soutiennent des conclusions sur les processus, les choix d'architecture et les contrôles de gestion de Rogers. Elles n'établissent pas qu'un employé a agi de manière imprudente ou qu'un fournisseur nommé a causé l'incident. Retirer un individu peut être approprié pour des raisons non dans le dossier public, mais ce n'est pas un substitut à la correction de l'autorité organisationnelle. Inversement, une culture d'apprentissage ne devrait pas protéger les hauts dirigeants des conséquences si des faiblesses avérées à haute conséquence restent ouvertes.

Les obligations de continuité ne s'arrêtent pas à la frontière de l'opérateur

Rogers avait le devoir principal d'exploiter et de rétablir son réseau en toute sécurité. La panne montre néanmoins pourquoi les clients ayant des fonctions publiques ou économiques ne peuvent pas externaliser complètement la continuité. Une ville, un hôpital, un opérateur de paiement ou un commerçant choisit quelle partie de son activité partage un seul fournisseur, même lorsque les options d'achat et les budgets sont contraints.

Pour les organismes publics, l'ensemble de contrôle minimal est pratique. Tenir un inventaire faisant autorité des dépendances télécoms critiques jusqu'à l'opérateur sous-jacent. Attribuer un service diversifié aux rôles de sécurité des personnes et de commandement des incidents. Stocker les informations essentielles de contact et de procédure hors ligne. Tester le service manuel pendant une période définie. Maintenir la messagerie publique via des canaux d'hébergement indépendants et de diffusion.

Exercer la condition exacte dans laquelle le service mobile du personnel, Internet au bureau, l'accès au cloud et l'acceptation des paiements disparaissent ensemble.

Pour les PME, la liste devrait être plus courte et liée au chiffre d'affaires. Identifier les deux ou trois fonctions dont la perte arrête le commerce. Tester un point d'accès d'un deuxième opérateur avant qu'il ne soit nécessaire. Savoir si le fournisseur de paiement a une diversité d'opérateurs, pas seulement une redondance de circuits. Conserver les dossiers du prochain jour ouvrable disponibles localement. Décider quand accepter des espèces, un paiement différé ou aucun paiement, et fixer des limites à l'avance. Conserver un moyen d'informer les clients de ce qui se passe sans la connexion principale du bureau.

Pour les intermédiaires tels que les banques, les fournisseurs de services gérés, les grossistes et les fournisseurs de communications cloud, l'obligation est de divulguer la dépendance significative. « Redondant » devrait indiquer si les chemins utilisent des installations d'accès, des cœurs d'opérateur, des plans de gestion et des domaines d'alimentation différents, et si la capacité a été testée en cas de basculement complet. Les clients ne peuvent pas prendre de décisions proportionnées si la diversité n'est qu'un adjectif marketing.

Les crédits et les contrats comptent toujours. Ils allouent un certain risque de service direct et donnent aux fournisseurs une incitation à rétablir. Ce sont de faibles contrôles de continuité car les plus grandes pertes du client peuvent être consécutives et exclues. Une institution devrait comparer le prix d'une véritable diversité avec la conséquence de l'indisponibilité de sa fonction la plus importante, pas seulement avec la facture télécom mensuelle.

Le signal durable

La panne de Rogers de juillet 2022 est souvent rappelée comme le jour où une erreur de codage ou de maintenance a mis le Canada hors ligne. Cette description est trop étroite. L'événement a commencé par une erreur de configuration, mais il est devenu catastrophique car une frontière de routage protectrice pouvait être supprimée sans limite de surcharge indépendante; un modèle de risque a ignoré le danger après un succès non lié; le trafic sans fil et filaire partageait le cœur affecté; les communications de gestion et du personnel dépendaient du réseau en détresse; et les clients critiques avaient des dépendances communes cachées.

L'incident a également produit des preuves d'amélioration. Rogers a accepté la responsabilité exécutive, a financé des crédits, a installé des protections de routage, a séparé l'accès de gestion, a étendu la connectivité alternative et les communications de réponse, a modifié son processus de contrôle et a poursuivi la séparation des cœurs. Interac a ajouté une diversité d'opérateurs et une connectivité de sauvegarde privée. Toronto a renforcé la redondance après avoir exercé des replis réels. Les opérateurs ont signé des accords d'itinérance d'urgence et d'assistance mutuelle.

Le CRTC s'est orienté vers une notification et un rapport obligatoires à l'échelle nationale des pannes.

Aucune de ces mesures ne promet qu'un réseau de télécommunications national ne tombera jamais en panne. Ce n'est pas un standard crédible. Le standard responsable est qu'une erreur humaine ou logicielle prévisible ne peut pas passer d'une seule action de maintenance à une perte à l'échelle du pays sans franchir des barrières indépendantes; que les chemins d'urgence et de rétablissement survivent au réseau principal; que les autorités et les clients reçoivent des informations rapides et utiles; et que la remédiation est testée aussi longtemps que le système continue d'évoluer.

La leçon la plus profonde concerne la propriété de la continuité. Rogers ne pouvait pas transférer la responsabilité de son cœur à la personne qui a modifié un filtre. Interac ne pouvait pas transférer la responsabilité des paiements à Rogers. Une ville ne pouvait pas transférer la continuité du service public à son contrat d'opérateur. Une petite entreprise ne pouvait pas récupérer le commerce perdu par cinq jours de crédit de service. Chaque acteur possédait une partie différente de la même chaîne de dépendance.

La question qui mérite d'être retenue n'est pas de savoir si un autre routeur peut tomber en panne. C'est de savoir si, lorsqu'il tombe en panne, le reste du système laisse encore aux gens un moyen d'appeler à l'aide, aux institutions publiques un moyen de fonctionner, aux entreprises un moyen de commercer et aux ingénieurs un moyen de revenir.