Summary

  • Решение CRTC 2026-140 допускает разные способы блокировать вредоносный трафик, если соблюдены принципы необходимости, точности и защиты частной жизни абонентов.
  • Оператор обязан обосновать выбор внешнего поставщика и отсутствие конфликта, способного помешать беспристрастной работе; публичного перечня заранее одобренных CRTC компаний не будет.
  • Абоненты увидят общее описание методов и участия поставщиков, а детальные сведения о продуктах и применении поступят регулятору в конфиденциальных годовых отчетах.

Сетевая блокировка может складываться из нескольких звеньев. Одна компания передает индикаторы угроз, другая анализирует сетевые потоки, а оборудование оператора исполняет правило. Абонент видит итог — соединение проходит или прерывается, — но не поставщика, чьи данные могли повлиять на решение. Поэтому расширение перечня методов ставит вопрос не только о технических средствах защиты, но и о том, способен ли оператор объяснить всю цепочку поставок и подтвердить, что она работает в интересах пользователей.

Правовая основа содержится в статье 36 канадского Закона о телекоммуникациях. В общем случае она запрещает оператору контролировать содержание публичных телекоммуникаций или влиять на их смысл и назначение без разрешения CRTC. В решении 2022-170 регулятор применил эти полномочия к блокировке ботнет-трафика на уровне сети и установил принципы необходимости, точности, прозрачности, защиты частной жизни и подотчетности.

Первоначально разрешение было уже. Решение 2025-142 допустило блокировку по квалифицированным спискам индикаторов, подготовленным самим оператором или третьей стороной. У участвующих операторов блокировка включалась по умолчанию, без индивидуальной возможности отказаться или подключиться. Затем в уведомлении о консультации 2025-143 CRTC запросила мнения о других методах: фильтрации портов, поддельных исходных адресах, файловых сигнатурах, аномальных объемах трафика, глубокой инспекции пакетов, обработке данных и отчетности.

Вступившее в силу 18 июня 2026 года решение 2026-140 не привязывает операторов к одной технологии. Можно применять любой метод, если он соответствует принципам необходимости, точности и защиты частной жизни. CRTC приводит фильтрацию портов, блокировку поддельных исходных адресов и правила на основе аномального объема трафика как примеры. Из этого не следует, что все операторы используют каждый метод; регулятор также не предписывает конкретный продукт или источник данных.

Широкий выбор сопровождается обязанностью проверять поставщика. Пункт 2.3 обновленной рамки требует от третьей стороны необходимой технической компетентности и отсутствия потенциальных конфликтов, которые могут помешать беспристрастной работе в интересах жителей Канады. CRTC отдельно упоминает структуру собственности и геополитический контекст. Пункт 2.2 возлагает на оператора бремя доказать соблюдение правил. Это не схема предварительной сертификации компаний самим регулятором. Оператор должен знать, кто предоставляет данные, программное обеспечение или оборудование, и объяснить, почему он считает такую зависимость приемлемой.

Речь идет не только о проверке названия в договоре. Поставщик может вести базу индикаторов компрометации, анализировать трафик, производить устройство фильтрации или управлять службой мониторинга. Правила охватывают системы, оборудование и программное обеспечение третьей стороны, используемые для блокировки. Оператору нужно проследить путь от входящего сигнала до примененного сетевого правила и определить, где в нем находятся данные, полномочия и интересы поставщика. Само упоминание продукта в договоре не доказывает точность индикаторов и не раскрывает влияние владельцев компании.

Публичные и надзорные сведения разделены. На сайте оператор обязан в общих выражениях описать тип и масштаб блокировки, применяемые методы, наличие сторонних поставщиков и то, находится ли кто-либо из них за пределами Канады. Он должен также указать, как сообщить о ложном срабатывании или чрезмерной блокировке. При этом раскрытие не должно помогать злоумышленникам обходить защиту. Пользователи получают представление о границах контроля, но не пороговые значения и рабочие правила каждого продукта.

В конфиденциальный годовой отчет для CRTC включаются применяемые методы, поставщики и продукты, число заблокированных индикаторов компрометации, жалобы на ложные срабатывания или чрезмерную блокировку и подробное обоснование соответствия рамке. Отчет нужно подать в течение 30 календарных дней после окончания периода. Регулятор может опубликовать некоторые числа или подготовить сводные отраслевые данные. Операторы также обязаны периодически пересматривать свои системы. Глубокая инспекция пакетов допускается только в исключительных случаях и тогда ограничивается заголовками пакетов, без чтения содержания сообщений.

Нельзя также препятствовать законному использованию VPN или альтернативных DNS-резолверов для обхода блокировки.

Такой баланс сохраняет технические детали в тайне, но затрудняет общественную оценку надзора. В особом мнении комиссар Брам Абрамсон поддержал расширение перечня методов, однако предложил усилить сведения о жизненном цикле поставщиков и разборе жалоб. Эти предложения не вошли в обязательные правила. Они показывают оставшийся вопрос: сможет ли CRTC проверять качество работы операторов во времени, а не только принимать раз в год объяснение о соблюдении требований?

Для операторов проверка поставщиков становится постоянной функцией. Компетенции нужно увязать с собственниками, конфликтами интересов, доступом к данным, уведомлениями об изменениях, инцидентами и возможностью замены. Небольшим операторам может быть труднее вести такую документацию, если они зависят от общих служб безопасности или вышестоящих поставщиков; это возможное операционное последствие, а не измеренный CRTC расход. Для поставщиков поддержка аудита и ясное описание роли продукта могут стать условием доступа к рынку.

Одновременно возрастет нагрузка по подтверждению надежности и может усилиться преимущество компаний с уже готовыми материалами для проверок. Решение не позволяет заранее определить, какой эффект перевесит.

Первый отчетный период заканчивается 31 декабря 2026 года; первые отчеты должны последовать в течение 30 дней. Они дадут регулятору исходные сведения о методах, поставщиках и жалобах, но не докажут автоматически точность обнаружения угроз или долю ошибочно заблокированных соединений. Количество жалоб зависит в том числе от того, замечает ли абонент блокировку и знает ли канал обращения. Для надзора важны не только итоговые цифры, но и доказательства, по которым можно восстановить ход решения и изменения в системе.

Канада выбрала делегированную модель: оператор выбирает технологию и поставщика, но сам должен обосновать выбор по общим принципам. Ее надежность зависит от того, станет ли проверка поставщика повторяемым контролем при изменении собственников, данных или методов, и сможет ли CRTC превратить закрытые отчеты в действенный надзор. Перечень допустимых способов уже расширен. Теперь испытание — прослеживаемость цепочки, которая превращает данные поставщика в решение о блокировке.

Источники