Кратко

  • 22 июля 2024 года Ofcom заключила, что BT нарушила статью 105A(1)(c) Communications Act 2003 и Regulation 9 Electronic Communications (Security Measures) Regulations 2022, и наложила штраф 17 500 000 фунтов. Общее условие A3.2 о доступе к экстренным службам входило в предмет проверки, но решения на себе не вынесло.
  • Regulation 9 действовала с 1 октября 2022 года, то есть за девять месяцев до сбоя. Инструмент, который сработал, был написан до происшествия и требует датированных доказательств подготовки, а не замера длительности падения.

В 06:24 25 июня 2023 года дала сбой основная система BT, через которую проходят вызовы экстренных служб. Собственный разбор BT, опубликованный 29 июня 2023 года в 14:30 по времени Europe/London, объясняет сбой сложной программной проблемой, которой раньше не встречали: "It was causing a 'caching' issue which resulted in impacted calls not being routed correctly and the user's call being disconnected." То есть затронутые вызовы уходили не по тому маршруту, а соединение у звонящего обрывалось. (BT Group review, 29 June 2023)

В 16:56 основная система снова обрабатывала вызовы экстренных служб — через десять часов и 32 минуты после начала. В 22:14 BT подтвердила восстановление сервиса и прекращение зависимости от резервной системы. По несостоявшимся вызовам BT назвала предварительную цифру 11 470. Это собственный подсчёт компании, и он не совпадает с тем, как регулятор позже отдельно описывал число звонящих и попыток.

Ofcom объявила о проверке 28 июня. (Ofcom investigation announcement, 28 June 2023) Первоначальный предмет включал общее условие A3.2 и статьи 105A и 105C Communications Act 2003. 13 июля его расширили: текстовый релей, видеорелей экстренных служб, доступ к экстренным организациям через SMS в мобильной сети и общие условия C5.8–C5.12. (Ofcom enforcement case page)

Решение от 22 июля 2024 года звучит буквально: "BT has contravened section 105A(1)(c) of the Act and Regulation 9". На той же странице дела Ofcom отмечает по статье 105C, общему условию A3.2 и условиям C5.8–C5.12: "At this time, we do not propose to pursue making a finding". Здесь нужна точность. Это не значит, что данные нормы остались за пределами решения, и не значит, что они вне полномочий регулятора. Это формулировка самого органа о том, что в тот момент он не намерен был доводить до установления нарушения. О штрафе сказано: "As a result of BT's failures, Ofcom has decided to fine the company £17,500,000." (Ofcom penalty announcement, 22 July 2024)

Теперь инструменты рядом. Общее условие A3.2 в неофициальной консолидированной редакции от 15 декабря 2022 года гласит: "Regulated Providers must take all necessary measures to ensure: (b) uninterrupted access to Emergency Organisations as part of any Voice Communications Services offered." В той же редакции есть отдельное условие A3.4 о бесплатном доступе конечного пользователя к 112 и 999. (Ofcom consolidated General Conditions, 15 December 2022)

Regulation 9(1) звучит так: "A network provider or service provider must take such measures as are appropriate and proportionate to prepare for the occurrence of security compromises". Официальный номер — SI 2022/933: принят 1 сентября 2022 года, внесён в парламент 5 сентября, действует с 1 октября. (Electronic Communications (Security Measures) Regulations 2022, SI 2022/933) Regulation 9(2) добавляет обязанности о копиях, хранимых в Великобритании в онлайн- и офлайн-виде, об их замене, а также о средствах и процедурах выявления, оценки, смягчения последствий, реагирования и восстановления при нарушениях безопасности. Это пересказ, а не цитата.

Порядок дат объясняет исход. Обязанность готовиться действовала с 1 октября 2022 года. Сбой произошёл 25 июня 2023 года. Инструмент, на который Ofcom в итоге опёрлась, был написан раньше и устроен так, чтобы доказательства существовали тоже раньше. Условие о доступе к экстренным службам после события работало как граница проверки.

Для BT это не хорошая новость, а более жёсткая. Обязанность готовиться заранее весит больше, чем последующая демонстрация того, что сеть упала. Что было подготовлено, где лежали копии, какой процедурой выявлялось бы нарушение, кто отвечал за восстановление: артефакты, которых требует Regulation 9(2), должны иметь дату до происшествия. 17 500 000 фунтов — не цена десяти часов и 32 минут простоя. Это цена неготовности к ним.

Поэтому тот, кто захочет предъявить счёт BT или другому оператору при следующем сбое, не должен смотреть только на "uninterrupted access" из A3.2. Нужно спрашивать датированные копии, процедуры и протоколы восстановления. И наоборот: сам факт остановки экстренных вызовов к такому выводу не ведёт.

Путь от 22 июля 2024 года, как его зафиксировала Ofcom, показывает эту границу.

Приведённая здесь редакция A3.2 — от 15 декабря 2022 года. Существует более поздняя консолидированная редакция, для этого материала её не читали, и о нумерации или формулировке условия в последующих версиях ничего не утверждается. Полный документ решения Ofcom тоже не прочитан: все утверждения регулятора взяты со страниц объявления, дела и штрафа, которые действительно читались. Запись компании — в записи справочника.

999 остановился. Штраф был не за это.

Цену регуляторный архив поставил другому вопросу: что было готово до остановки.