Summary

  • CRTCは、必要性、正確性、利用者のプライバシーという原則を満たす限り、通信事業者が任意の遮断手法を使える枠組みに広げた。
  • 第三者サービスを使う場合、その専門性と、独立した運用を損ないかねない利害関係を説明する責任は事業者が負う。
  • 利用者に示すのは手法や委託先の概要だが、製品や利用実績の詳しい情報はCRTCへの機密報告に入る。

ブロックリストを使う場合、審査の対象は比較的見えやすい。ところが、ポート遮断、送信元アドレスの偽装検知、通信量の異常判定まで組み合わせると、どの会社のどのソフトが判断に加わったのかが把握しにくくなる。合法な通信が止まったとき、顧客が理由を特定するのも難しい。だからこそ、遮断機能を担う外部サービスの選定は、単なる調達項目ではなくネットワーク運用の責任問題になる。

カナダの Telecommunications Act 第36条は、CRTCの承認がない限り、通信事業者が公衆向け通信の内容を制御したり、意味や目的に影響を及ぼしたりすることを原則として禁じている。CRTCは2022-170で、ネットワーク上のボットネット遮断をこの規制枠に置き、必要性、正確性、透明性、プライバシー、説明責任の原則を示した。

次の2025-142は、条件を満たすブロックリストを使った遮断を承認した。参加する事業者では利用者ごとの選択肢はなく、遮断は初期設定として適用される。その後の2025-143の意見募集では、ポート、偽装アドレス、ファイル署名、通信量の異常、DPI、個人情報の取扱い、報告義務など、リスト以外の手法も論点になった。

2026年6月18日発効の決定2026-140は、技術を一つに限定しない方式を採った。必要性、正確性、利用者のプライバシーに沿うなら、事業者は任意の手法を採用できる。CRTCはポート遮断、偽装された送信元アドレスの遮断、通信量の異常判定を例に挙げるが、すべての事業者がすべての手法を導入したとは述べていない。特定製品を指定するものでもない。

枠組みの第2.3項は、第三者事業者に必要な技術力を求め、カナダの利益にかなう公正な運用を妨げる可能性のある利益相反を認めない。例として所有関係や地政学的背景も挙げている。第2.2項では、対策が原則に適合することを示す立証責任を通信事業者に置いた。CRTCが事前に認証したベンダーの公開リストを作るのではない。事業者が、誰の技術に依存し、その提供者をなぜ信頼するのかを説明する設計だ。

第三者事業者といっても役割はさまざまだ。脅威指標の配信だけを担う会社もあれば、トラフィック分析ソフト、遮断装置、運用監視を一括して提供する会社もある。枠組みは、遮断に使う第三者のシステム、機器、ソフトウェアを対象にする。事業者は、脅威情報がネットワーク上の遮断判断に変わるまでの経路をつかまなければならない。契約書に製品名があるだけでは、指標の精度も利益相反の有無も説明できない。

公開情報と監督情報は分けられた。事業者のウェブサイトには、遮断の種類と範囲、手法の概要、第三者事業者を使うかどうか、国外に所在する提供者がいるか、誤検知の申立方法を載せる。攻撃者が防御を回避できるほど細かな設定は出さない。利用者には運用の輪郭が示されるが、しきい値やルールの中身までは公開されない。

CRTCには、より詳しい年次報告が機密扱いで提出される。そこには、手法、第三者事業者と製品、遮断した侵害指標の件数、誤検知や過剰遮断の苦情件数、枠組みに適合する理由を含める。報告期限は各期間の終了から30暦日以内。CRTCは一部の数字を公開したり、業界全体の集計を作成したりできる。事業者はシステムを定期的に見直す義務も負う。DPIは例外的な事情に限られ、実施する場合もパケットヘッダーにとどめ、通信内容を読んではならない。また、利用者が正規のVPNや代替DNSを使うことを妨げてはならない。

Bram Abramson委員の反対意見は、この枠組みの弱点を補う視点になる。同委員は手法の拡大には賛成したが、透明性と苦情処理の仕組みが後退すると指摘し、手法やベンダーの変更履歴、苦情の処理結果を報告対象にする案を示した。これらは採用された義務ではない。それでも、CRTCが事業者の説明だけでなく、時間を通じて委託先の役割を評価できるかという問いは残る。

事業者にとって、外部委託そのものが問題なのではない。問題は、誤った遮断が起きても、どの製品がどの情報を使い、誰が変更を承認したかを再現できないことだ。実務的な委託先台帳は、手法の目的、データの出所、提供者、確認日、苦情対応、代替手段を一つにつなぐ。契約には、所有権、再委託、脅威情報源、データ保存方針の変更通知を入れられる。正確性を保証するものではないが、障害後の検証やサービス切替に必要な証拠を残せる。

ベンダー側も評価軸が変わる。脅威を多く検知できると主張するだけでは足りず、専門性、所有関係、扱うデータ、製品の利用状況を事業者が説明できなければならない。監査に応じ、証拠を整えた企業は採用されやすくなる可能性がある。一方、文書化や認証の費用が小規模な提供者の参入を難しくする可能性もある。現時点で、どちらの影響が優勢かは判断できない。

最初の報告期間は2026年12月31日に終わり、その後30日以内に報告が提出される。そこで手法や委託先の申告状況は見えても、遮断の正確性や、正当な通信のうち何割が止まったかが自動的に分かるわけではない。CRTCは技術選択の幅を広げ、説明責任を通信事業者に残した。制度が機能するかは、ベンダーや所有者、データ源、遮断方法が変わるたびに、その責任が継続的な再審査として働くかどうかで決まる。

出典