要約

  • Ofcomは2024年7月22日、BTが通信法2003年105A条(1)(c)と電気通信（セキュリティ措置）規則2022の規則9に違反したと認定し、£17,500,000の罰金を科した。緊急アクセス義務（一般条件A3.2）は調査の範囲に入っていたが、認定はそこから出ていない。
  • 決め手になった規則9は2022年10月1日に発効しており、障害の9か月前から効いていた。事故後に書かれた義務ではなく、事故前に備えを証明させる義務で裁かれた、というのがこの事例の核心だ。

2023年6月25日6時24分、BTが999の緊急通報を処理する主系システムで問題が始まった。BT自身が6月29日14時30分（Europe/London）に公表したレビューは、原因をこれまで見たことのない複雑なソフトウェアの問題だったとし、こう記している。"It was causing a 'caching' issue which resulted in impacted calls not being routed correctly and the user's call being disconnected." 影響を受けた通話は正しい経路に乗らず、発信者の通話は切断された、という。(BT Group review, 29 June 2023)

主系で緊急通報の処理が戻ったのは16時56分。6時24分からの10時間32分である。BTは22時14分にサービス復旧を確認し、バックアップ系への依存を終えたと述べている。接続できなかった通話について、BTは暫定値として11,470件を挙げた。これはBT自身の数え方であり、規制当局が別に述べた発信者数や試行回数と同一ではない。

Ofcomは6月28日、調査の開始を公表した。(Ofcom investigation announcement, 28 June 2023) 当初の範囲は、一般条件A3.2と通信法2003年の105A条・105C条。7月13日の範囲更新で、テキストリレー、緊急ビデオリレー、モバイルSMSによる緊急機関へのアクセス、および一般条件C5.8からC5.12が加わった。(Ofcom enforcement case page)

2024年7月22日の認定はこう書かれている。"BT has contravened section 105A(1)(c) of the Act and Regulation 9" 同じケースページは、105C条、一般条件A3.2、C5.8からC5.12について、"At this time, we do not propose to pursue making a finding" と記す。ここは正確に読む必要がある。これは「決定の外に置いた」という意味でも、「Ofcomの権限外だった」という意味でもない。その時点で認定を追わない、という当局自身の文言だ。罰金については、"As a result of BT's failures, Ofcom has decided to fine the company £17,500,000." (Ofcom penalty announcement, 22 July 2024)

条文を並べる。Ofcomの一般条件（2022年12月15日時点の非公式統合版）A3.2はこう定める。"Regulated Providers must take all necessary measures to ensure: (b) uninterrupted access to Emergency Organisations as part of any Voice Communications Services offered." 同じ統合版はA3.4で、112と999によるエンドユーザーの無料アクセスを別に置く。(Ofcom consolidated General Conditions, 15 December 2022)

規則9(1)はこうだ。"A network provider or service provider must take such measures as are appropriate and proportionate to prepare for the occurrence of security compromises" 公式の番号はSI 2022/933。2022年9月1日に制定され、9月5日に議会へ提出され、10月1日に発効した。(Electronic Communications (Security Measures) Regulations 2022, SI 2022/933) 規則9(2)は、英国国内に保持するオンラインとオフラインの複製、その交換、そしてセキュリティ侵害を特定し、評価し、緩和し、対応し、復旧するための手段と手順を求める。ここは要約であって引用ではない。

日付の順序がすべてを説明する。準備義務は2022年10月1日に効力を持った。障害は2023年6月25日。

Ofcomが最後に頼った道具は、事故の前に書かれ、事故の前に証拠を残せるように設計されていた。緊急アクセス義務のほうは、事故のあとに調査範囲として機能した。

これはBTに有利な話ではない。むしろ厳しい。事前準備義務は、事後に「回線が落ちた」と示すより重い。何を用意し、複製をどこに置き、どの手順で侵害を特定し、誰が復旧を担うのか。9(2)が求める成果物は、事故が起きる前の日付で存在していなければならない。£17,500,000は10時間32分の停止そのものへの値札ではなく、その10時間32分に備えていなかったことへの値札だ。

だから、次の障害でBTや他の事業者を問い詰めるとき、使える材料はA3.2の「中断のないアクセス」だけではない。事故前の日付が入った複製、手順、復旧の記録があるかどうかが問われる。逆に、緊急通報が止まったという事実だけでは、この種の認定には届かない。Ofcom自身の2024年7月22日の処理が、その線引きを示している。

本稿が引くA3.2の文言は2022年12月15日時点の統合版による。その後の統合版は存在するが本稿では読んでおらず、条番号や文言が後年にどう変わったかは主張しない。Ofcomの完全な決定文書も読んでいない。当局に関する記述は、実際に読んだ公表ページ、ケースページ、罰金のページに基づく。対象企業の記録はディレクトリ項目にある。

999は止まった。罰金の根拠は、止まったことではなかった。規制の記録が値段をつけたのは、止まる前に何を用意していたか、という別の問いだ。