Summary

  • CRTC 允许运营商采用任何符合必要性、准确性与消费者隐私原则的网络拦截方式。
  • 运营商须证明第三方服务商具备必要的技术能力，也不存在可能妨碍公正运行的利益冲突。
  • 面向公众的信息只需概述拦截方法和外部服务商情况；供应商、产品与实际使用数据则进入提交给 CRTC 的保密年度报告。

一条网络拦截规则可能来自多个环节：威胁指标清单、识别流量特征的软件、执行策略的设备，或受托运营的安全服务。对用户而言，最终结果都是连接通过或被拦；对运营商而言，真正需要负责的是从威胁信号到拦截动作的整条链路。只知道软件名称，不能说明指标是否准确，也不能证明服务商的所有权和利益关系不会影响判断。

加拿大《Telecommunications Act》第36条原则上禁止运营商在未经 CRTC 批准的情况下控制面向公众的通信内容，或影响其含义与目的。CRTC 在 2022-170 号决定中把网络层僵尸网络拦截纳入这一授权框架，确立了必要性、准确性、透明度、消费者隐私和问责原则，并要求行业技术委员会研究具体实施方式。

最初的执行范围较窄。2025-142 号决定授权运营商依照规定使用内部或第三方指标清单，并要求对参与运营商的用户默认启用；用户不能逐一选择加入或退出。随后，2025-143 号咨询征求对其他技术的意见，包括端口拦截、伪造源地址、文件签名、流量量级异常、深度包检测、个人信息处理以及报告制度。监管机构面对的不是一个尚未出现的技术设想，而是运营商称已在使用、但需要纳入共同授权边界的工具。

2026-140 号决定于 2026 年 6 月 18 日生效，选择技术中立的方式：只要符合必要性、准确性和消费者隐私原则，运营商即可采用任何拦截方式。决定举例列出端口拦截、伪造源地址拦截和基于流量异常的措施。它没有证明每家运营商都部署了这些方式，也没有指定唯一产品或威胁情报来源。

扩大方法范围后，供应商审查变成运营商的治理责任。框架第2.3节要求第三方服务商具备必要的技术专长，且不得存在可能妨碍其为加拿大公众公正运行的利益冲突；CRTC 明确将所有权和地缘政治背景列为可能因素。第2.2节规定，运营商承担证明其措施符合原则的责任。这不是一份由 CRTC 事先认证、供运营商照单采购的供应商名单。监管框架要求的是运营商自己说明：谁提供了信号、谁维护了系统、服务商的利益与控制权怎样进入拦截链路。

这一区分会影响采购、审计与网络安全运营。服务商可能仅提供威胁指标，也可能把指标、流量分析、设备策略和外包监控打包。运营商需要了解数据从何而来、系统由谁维护、哪些行为由软件自动触发，以及服务商变化后谁有权调整规则。采购合同写有产品名称，并不能替代对技术能力、数据来源、利益冲突和退出条件的审查。

信息披露分为两层。运营商的网站需要用通俗语言说明拦截的类型与范围、一般方法、是否使用第三方服务商，以及服务商是否位于加拿大境外；同时还要说明如何申诉误判或过度拦截。监管机构也要求披露不能细到足以帮助攻击者绕过防护。因此公众看到的是控制方式的大致轮廓，而非具体阈值、规则库或每一次判断的依据。

运营商向 CRTC 提交的保密年度报告更具体：列出所有拦截方式、第三方服务商及产品，统计被拦截的威胁指标数量和误拦/过度拦截投诉，并说明措施如何符合框架。报告应在每个报告期结束后30个日历日内提交。CRTC 可公开部分统计，也可以把保密材料汇总为行业报告。运营商还须定期检查系统。深度包检测只可用于特殊情形，且只能查看包头，不得检查通信内容；运营商也不能阻止用户通过合法 VPN 或替代 DNS 服务绕过拦截。

委员 Bram Abramson 的异议意见指出了信息不对称问题。他支持扩大可用的网络安全方法，但认为新框架减少了公开信息和结构化问责，并建议报告供应商与方法的生命周期变化、投诉处理结果等。那些建议没有成为现行要求。它们提出的关键问题仍然存在：CRTC 能否根据运营商保存的证据持续评估服务商的作用，而不只是每年收到一次供应商名称和合规说明？

对运营商来说，外包本身不等于风险。风险在于系统已经依赖某个供应商，出了问题却无法复原它用过什么数据、何时更改规则、谁批准了更新。一份可审计的供应商档案应把每种方法与用途、输入数据、服务商、审查日期、投诉渠道和替代方案连起来。合同还可以要求供应商报告所有权变更、分包、威胁源或数据留存方式的改变。这些措施不能保证每次拦截都正确，却能在发生争议时定位责任，也能在替换服务商时减少保护能力中断。

对供应商而言，竞争条件也变了。运营商不仅需要威胁覆盖率，还要能解释供应商的专业能力、所有权和利益关系，并在保密报告中列明相关产品。能提供审计证据、说明数据来源并配合持续复核的企业更容易满足采购要求；但合规成本也可能使具备成熟认证与文档团队的厂商更占优势。现有监管材料还不足以判断哪种影响会更强。

首个报告期将于 2026 年 12 月 31 日结束，随后30天内应提交首批报告。这些报告可以展示运营商申报的方法和供应商，却不能自动证明识别准确率，也不能给出被误拦合法流量的比例。CRTC 扩大了技术选择空间，运营商则要为供应商链条及其证据负责。真正的检验，是当服务商、所有权、数据源或拦截方法改变时，这种责任能否落实为持续的复核，而不是一次性的采购审批。

来源