Я пока в провайдере работал, так и не понял, что такое СОРМ и где он установлен. Органы периодически запрашивали логи файрвола, который писал, что с такого-то айпи к такому-то айпи было во столько-то подключение. И всё. Причём хранилось это нихера не 12 часов, а днями. Но в принципе им этого было достаточно.