Las actas del consejo antes de la revelación del fraude de AFRINIC

Resumen

• Las actas publicadas de AFRINIC muestran un consejo que contaba con maquinaria de auditoría formal y discutió control interno, salud organizacional y capacidad de auditoría interna antes de que se divulgara públicamente el escándalo de las direcciones, pero el alcance formal no produjo automáticamente una garantía oportuna sobre los Registration Services.
• La cronología del conocimiento público se agudizó en 2019: un informe posterior de AFRINIC data la actividad sospechosa alrededor de marzo; informes secundarios dicen que el exdirector ejecutivo informó al consejo en abril; el consejo aprobó una política de fraude y corrupción en mayo; en julio llegó una investigación con asistencia externa; y las actas de agosto registran explícitamente un debate sobre la asignación sospechosa de IP.
• Las actas del 23 de agosto son el artefacto decisivo previo a la divulgación. Registran un informe del auditor interno previsto para finales de septiembre, urgencia, asistencia técnica externa y seguimiento del Comité de Auditoría, pero no registran públicamente la contención inmediata del acceso, las decisiones de preservación de pruebas, un alcance a nivel de bloque o una regla de notificación a los miembros.
• El silencio en las actas no es prueba de inacción. AFRINIC utilizó tachaduras, sesiones ejecutivas, versiones abreviadas y aprobaciones retrasadas. Por lo tanto, la rendición de cuentas requiere los documentos subyacentes, el registro de decisiones, las acciones de acceso privilegiado y las pruebas de cierre, no una acusación construida a partir de prosa omitida.
• Los directores deben ser juzgados mediante un reloj de conocimiento y acción: qué información creíble les llegó, qué clasificación de riesgo siguió, con qué rapidez ordenaron una investigación independiente y contención, qué verificó el Comité de Auditoría y cómo protegieron la continuidad del registro mientras los reclamos permanecían sin resolver.

Las actas son evidencia de gobernanza, no la gobernanza en sí

Las actas del consejo son documentos inusualmente seductores. Presentan fechas, asistentes, puntos del orden del día, resoluciones y responsables de acciones. Su tono formal hace que el pasado parezca resuelto. En un escándalo, los lectores las escanean en busca del momento en que un director debería haber sabido, la frase que demuestra negligencia u la omisión que sugiere ocultación. Esto puede producir una acusación ordenada y un análisis deficiente.

Las actas son un registro selectivo. Pueden resumir horas de discusión en una línea. El asesoramiento legal, los asuntos de personal y las investigaciones pueden pasar a sesión ejecutiva o ser tachados. Los borradores pueden aprobarse meses después de la reunión. Una "versión abreviada" puede excluir documentos de respaldo. La fecha en que ocurrió una reunión, la fecha en que se aprobaron sus actas y la fecha en que el público pudo leerlas pueden diferir. Una ausencia en el texto público no puede establecer que no ocurrió ninguna discusión o acción privada.

El error contrario es tratar la incompletitud como inmunidad. Un consejo que elige actas resumidas debe conservar un registro de decisiones suficiente para demostrar que cumplió con su supervisión. La confidencialidad puede justificar la omisión de nombres, pruebas y detalles tácticos. No elimina la necesidad de registrar el riesgo considerado, la decisión tomada, el responsable, el plazo y la verificación posterior. Si nada de eso puede producirse incluso bajo una revisión adecuada, el problema no es solo la transparencia pública. La institución no puede probar lo que hizo.

Por lo tanto, las actas de AFRINIC deben leerse en capas. La primera capa es lo que el consejo representó públicamente en ese momento. La segunda es lo que las declaraciones posteriores de AFRINIC dicen que el consejo sabía y hacía. La tercera es lo que añade el periodismo de investigación, con atribución y cautela. Cuando las capas entran en conflicto, la tarea es identificar el registro primario faltante en lugar de forzar la certeza.

Este enfoque cambia la pregunta central. No es si una reunión en particular contiene la palabra fraude. Es si el sistema de control del consejo convirtió advertencias cada vez más específicas en investigación, contención, aseguramiento independiente, comunicación y reparación duradera. La responsabilidad reside en los intervalos entre esos actos.

El registro anterior a 2019 era intensivo en auditoría y operativamente ligero

AFRINIC no entró en 2019 sin un Comité de Auditoría. Su archivo del consejo de 2015 registra una intensa preocupación por los estados financieros, la calidad de la auditoría y la posibilidad de que un análisis financiero más profundo pudiera exponer mala administración. El consejo amplió el Comité de Auditoría, negoció con auditores externos y resolvió que las actas se publicaran dentro de los siete días posteriores a su aprobación. Esas fueron medidas genuinas de rendición de cuentas. También revelan dónde se concentraba la atención de aseguramiento: la información financiera y la regularidad corporativa.

El activo operativo decisivo de un registro de números es diferente. Es la integridad del registro de autoridad que conecta el inventario disponible o la custodia histórica con la organización que aparece en WHOIS. Las cuentas financieras pueden ser precisas mientras ese registro de autoridad está comprometido. El espacio de direcciones no es un stock convencional propiedad del registro y vendido por él, por lo que un cambio no respaldado puede no producir una entrada contable obvia. Una cultura de auditoría organizada en torno al calendario financiero puede pasar por alto el mayor riesgo de legitimidad de la institución.

Para 2017, el informe anual de AFRINIC describía un mandato más amplio. Se decía que el Comité de Auditoría revisaba el control financiero interno, la gestión de riesgos, la auditoría y control internos, los sistemas de información y la gobernanza tecnológica. Las actas publicadas de abril de 2017 incluyen a un director preguntando si se había realizado una auditoría de tecnología de la información.

Las actas de mayo dicen que el comité había presentado un informe extenso en la reunión anterior y no había recibido comentarios del consejo; el presidente pidió a los directores que lo leyeran, mientras que el Comité de Finanzas había tomado nota de algunos puntos y actuado en consecuencia. El texto público no establece qué cubría el extenso informe ni si abordaba los privilegios del registro.

Ese episodio ilustra una distinción recurrente en gobernanza. Recibir un informe no es revisarlo. Revisarlo no es asignar una remediación. Asignar una remediación no es verificar el cierre. Las actas que dicen que un comité "informó" o que el consejo "tomó nota" proporcionan evidencia de transmisión, no de resultado. Para un hallazgo operativo de alto riesgo, el registro debe mostrar gravedad, responsable, plazo y prueba de cierre, incluso si los detalles permanecen confidenciales.

Las actas presenciales de agosto de 2018 hacen más explícitas las preocupaciones de capacidad. El Comité de Auditoría discutió los términos para contratar un auditor interno, proponiéndose la contratación para el último trimestre de 2018. Un director sugirió una auditoría del desempeño de la organización en su conjunto. El consejo aprobó un estatuto del comité modificado. En otra parte de la reunión, los directores solicitaron informes trimestrales de gestión, debatieron la salud organizacional y enfatizaron un plan de continuidad del negocio consolidado.

Las mismas actas contienen una "Actualización sobre investigación" y acciones para desarrollar un mecanismo de denuncia y un índice de políticas organizacionales. El tema se asoció con una controversia anterior de personal y gobernanza en el registro público, no identificada en estas actas como asignación sospechosa de recursos numéricos. Sería irresponsable colapsar cada investigación de AFRINIC en el caso posterior de direcciones. Su relevancia es institucional: para agosto de 2018, los directores ya habían reconocido la necesidad de un control interno más fuerte y una ruta de denuncia protegida.

Por lo tanto, la imagen previa a 2019 no es ni complacencia ni aseguramiento. El consejo tenía comités, estatutos, informes y elementos de acción. Todavía estaba desarrollando capacidad de auditoría interna e infraestructura de control básica mientras gestionaba tensiones de gobernanza repetidas. Esa condición debería haber elevado, no reducido, el escrutinio de las operaciones centrales del registro.

Un estatuto puede prometer más de lo que un comité puede cumplir

El estatuto del Comité de Auditoría de AFRINIC de enero de 2019 era amplio. Cubría la efectividad del control interno y la auditoría, la gestión de riesgos, los sistemas de información y la gobernanza tecnológica. Autorizaba la comunicación directa con el auditor interno. Requería que el comité revisara el plan anual, recibiera resultados periódicos, supervisara la respuesta de la administración y asegurara que el auditor tuviera recursos y acceso. También se refería a la salvaguarda de activos contra uso o disposición no autorizados y a la supervisión de investigaciones sobre fraude, mala conducta o conflictos de interés de empleados.

En teoría, ese mandato era capaz de abordar el problema de asignación de direcciones. No confinaba al comité a los estados financieros. Le daba autoridad para preguntar si los cambios en el registro estaban autorizados, si los privilegios del personal eran excesivos, si existían conflictos y si la administración cerraba los hallazgos. El consejo no podía decir razonablemente que la integridad de WHOIS era una categoría de otra persona.

Sin embargo, un estatuto amplio crea su propio peligro: cobertura aparente sin capacidad práctica. Un comité que se reúne al menos dos veces al año en torno al ciclo de informes financieros puede dedicar la mayor parte de su tiempo a las cuentas y a la auditoría externa. Los directores no ejecutivos pueden carecer de una comprensión detallada de los sistemas de registro. Un auditor interno recién contratado puede enfrentarse a un universo enorme, personal limitado y documentación inmadura. "Sistemas de información" puede convertirse en una línea en un estatuto en lugar de un dominio probado.

Por lo tanto, el deber del consejo era traducir el estatuto en prioridades de riesgo. ¿Qué sistemas podían cambiar la custodia de recursos? ¿Quién tenía acceso privilegiado? ¿Cuántas asignaciones grandes o cambios heredados eludían las interfaces ordinarias? ¿Podía rastrearse una entrada pública de WHOIS hasta una solicitud aprobada? ¿Se reconciliaban las discrepancias entre los registros de miembros, el inventario interno y las estadísticas públicas? ¿Se registraron y escalaron las quejas externas? Estas preguntas no requerían que los directores se convirtieran en hostmasters. Requerían que definieran el aseguramiento que necesitaban.

El comité también necesitaba independencia de hecho, no solo de forma. Debería haber controlado el alcance y el acceso del auditor interno, recibido informes sin filtro de la administración y reunido en privado con el auditor. Si un empleado operativo senior estaba implicado, ese empleado y sus gerentes de línea no podían seleccionar archivos ni explicar cada anomalía sin corroboración. El estatuto anticipaba el acceso directo. Las actas necesitaban mostrar que se usó ese poder.

Por lo tanto, la responsabilidad formal no puede medirse por si el estatuto contenía los sustantivos correctos. Debe medirse por si el comité encargó las pruebas correctas antes de que el riesgo madurara, actuó sobre los hallazgos e informó al consejo completo sobre lo que permanecía expuesto.

Abril de 2019: Registration Services finalmente entra en el plan

Las actas de las reuniones del consejo del 3, 10 y 17 de abril registran el plan de auditoría interna de 2019. El programa incluía cumplimiento corporativo, finanzas y contabilidad, Registration Services y el plan de continuidad del negocio. El Comité de Auditoría había aprobado el plan; el consejo no planteó objeciones y señaló que la aprobación pertenecía al comité.

Este es un hito importante. Registration Services no estaba oculto fuera del universo de auditoría. Estaba nombrado. La institución tenía un auditor interno y un plan aprobado por el comité. La pregunta es qué se programó, qué trabajo de campo comenzó, qué registros se probaron y cuándo llegaron los hallazgos a los tomadores de decisiones.

Las actas no responden. "Registration Services" puede describir una revisión de procesos, una muestra de cumplimiento de políticas, un examen de control de acceso o una reconstrucción completa de asignaciones. Esos no son equivalentes. Una revisión de procesos puede confirmar que el personal conoce los pasos escritos mientras pierde los cambios directos fuera de ellos. Una pequeña muestra aleatoria puede pasar por alto un conjunto concentrado de grandes excepciones. Una revisión de acceso puede listar usuarios sin probar lo que hicieron.

El consejo necesitaba un alcance basado en riesgos que reflejara la escasez de IPv4, la fragilidad de los registros heredados y el privilegio interno.

El momento es igualmente importante. El informe posterior de AFRINIC de 2021 dice que alrededor de marzo de 2019, una orden judicial de Mauricio tras una solicitud del FBI alertó a la organización sobre actividad sospechosa relacionada con varios bloques de direcciones, y que un examen interno preliminar indicó una posible acción no autorizada del personal con terceros. Si esa cronología posterior es precisa, la discusión del plan de auditoría de abril ocurrió después de que la institución tuviera una señal específica. El plan debería entonces haber pasado de una cobertura anual rutinaria a un aseguramiento vinculado al incidente.

MyBroadband informó más tarde que el exdirector ejecutivo Alan Barrett informó al consejo en abril sobre la manipulación de datos de WHOIS. La actualización del consejo de diciembre de AFRINIC utilizó una formulación diferente, diciendo que el asunto se llevó al consejo por primera vez después de la renuncia del exdirector ejecutivo, cuando dijo que podrían haber ocurrido cambios no autorizados y que las investigaciones internas estaban en curso. El informe de precisión posterior dice que el consejo encargó una investigación asistida por APNIC en julio. Estas fuentes no producen una fecha perfectamente alineada.

La discrepancia importa. Si el consejo recibió un aviso específico en abril, los directores tenían más tiempo y un deber diferente que si se enteraron por primera vez después de la partida de Barrett en julio. La evidencia primaria debería ser una comunicación fechada, un documento del consejo, una nota de reunión o un registro de incidentes. La rendición de cuentas pública no debería depender de reconstruir el aviso a partir de resúmenes posteriores con redacción diferente.

Una discusión de compromiso del personal en abril creó un comité ad hoc separado para evaluar el estado de las operaciones de AFRINIC e informar a finales de mes. El informe anual de 2019 dice que completó su trabajo y se disolvió en mayo. La Resolución 201905.483 aceptó el informe, y el consejo aprobó por separado una política de fraude y corrupción. El registro público no muestra que el mandato de salud organizacional del comité ad hoc incluyera asignaciones sospechosas de IP. No debe tratarse retroactivamente como la investigación de fraude sin evidencia.

Lo que sí muestra es un consejo que enfrentaba múltiples signos de tensión institucional a la vez: compromiso del personal, transición de liderazgo, planificación de auditoría, continuidad y, según relatos posteriores, actividad sospechosa de recursos. Los comités fragmentados pueden abordar cada síntoma mientras nadie asume el riesgo combinado. El presidente y el consejo completo eran responsables de unirlos.

De mayo a julio: política, cambio de liderazgo e investigación independiente

El 31 de mayo, el consejo aprobó una política de fraude y corrupción propuesta por el Comité de Auditoría. El momento es notable porque siguió a las señales de marzo y abril reportadas posteriormente. Una política puede definir conducta prohibida, denuncia e investigación. No puede contener una amenaza activa por sí misma. Las preguntas inmediatas eran si el personal relevante reconoció conflictos, si se revisó el acceso, si se preservaron las transacciones pasadas y si la investigación era independiente.

El liderazgo también estaba cambiando. La partida de Barrett se anunció en julio, y un director ejecutivo interino asumió la responsabilidad mientras el consejo buscaba un reemplazo. Las transiciones de liderazgo aumentan tanto el riesgo como la oportunidad. La transferencia puede exponer problemas no resueltos, pero la autoridad puede volverse difusa. El consejo debería especificar quién posee las decisiones sobre incidentes, quién puede suspender el acceso, quién preserva las pruebas y quién se comunica con los expertos externos.

El informe de 2021 de AFRINIC dice que el consejo encargó una investigación en julio con la asistencia de APNIC. La actualización del consejo de diciembre de 2019 dice similarmente que se seleccionó a APNIC para liderar una evaluación independiente. Elegir un registro hermano era sensato en principio: otro RIR podría entender los registros de asignación, los controles de WHOIS y la continuidad operativa de una manera que un investigador corporativo general podría no hacerlo.

La independencia requiere más que un nombre externo. Los términos deben definir quién seleccionó el alcance, si los investigadores recibieron registros completos y tickets, si el personal implicado podía influir en el acceso, cómo se protegió la integridad de la evidencia, qué hallazgos provisionales desencadenaron contención y si el Comité de Auditoría recibió informes directamente. La fecha de entrega del informe final y los derechos de decisión adjuntos a los hallazgos preliminares importan tanto como sus conclusiones eventuales.

Las actas públicas disponibles para estos meses no proporcionan ese mandato. Eso puede reflejar confidencialidad. Deja a los miembros incapaces de juzgar si la investigación comenzó como una revisión limitada de varios bloques o un examen institucional de asignaciones y cambios heredados. El alcance determina qué tan rápido puede saber el consejo si el caso aparente está aislado.

La auditoría posterior finalmente examinó todo el espacio IPv4 administrado por AFRINIC y verificó los registros de membresía y recursos de 2005 a 2019. Ese alcance integral era apropiado para la restauración. Llegó después de la crisis inicial. La tarea del consejo en 2019 era identificar suficiente del patrón rápidamente para contenerlo mientras se preservaban los servicios.

23 de agosto: las actas se vuelven específicas

Las actas del 23 de agosto de 2019 son el registro del consejo más claro antes de la divulgación. Bajo el informe del Comité de Auditoría, dicen que el consejo debatió la asignación sospechosa de IP. Registran que el auditor interno presentaría un informe antes de finales de septiembre. El director ejecutivo interino enfatizó la urgencia y la necesidad de experiencia técnica externa; las actas añaden que, por ejemplo, ARIN había aceptado una solicitud para ayudar. Los elementos de acción indicaron al Comité de Auditoría que siguiera el plan del auditor interno y preparara un informe sobre un acuerdo de registro heredado.

Declaraciones posteriores de AFRINIC identifican a APNIC, no a ARIN, como líder de la evaluación independiente. Las dos declaraciones pueden describir ofertas separadas de asistencia, una opción temprana que cambió, o una redacción imprecisa de las actas. No deben armonizarse en silencio. La correspondencia de compromiso de la investigación resolvería qué registro hizo qué y cuándo.

Varias características positivas son visibles. El asunto llegó al consejo completo, se conectó con el Comité de Auditoría y el auditor interno, se etiquetó como urgente y provocó la búsqueda de experiencia externa. Los arreglos heredados se reconocieron como un tema distinto. Estas no son acciones triviales.

Las actas también exponen preguntas sin respuesta. No indican cuántos bloques o direcciones estaban en alcance. No identifican si la sospecha concernía a asignaciones de pool, cambios heredados o ambos. No registran una revisión inmediata de acceso privilegiado, aprobación dual, suspensión de cuentas, retención de pruebas, notificación a titulares potencialmente afectados, o un plazo más corto que finales de septiembre para asesoramiento de contención preliminar. La ausencia no prueba que esas acciones no se tomaran. Significa que las actas públicas no pueden demostrarlas.

La fecha propuesta del informe merece escrutinio. Para una auditoría rutinaria, cinco semanas pueden ser rápidas. Para una amenaza creíble de insider al registro autoritativo, esperar hasta finales de septiembre para un informe podría ser demasiado lento a menos que los controles provisionales ya estuvieran activos. Un mandato sensato requeriría preservación inmediata y una evaluación preliminar rápida, seguida de un informe más completo. Los consejos deben distinguir el plazo para el análisis final del plazo para detener cambios no autorizados adicionales.

La reunión también creó un Comité Técnico para abordar la infraestructura y otros problemas técnicos que enfrentaba AFRINIC. De nuevo, la estructura no es acción. La pregunta importante es si ese comité tenía un papel definido en el asunto de asignaciones sospechosas o si el Comité de Auditoría mantuvo la propiedad. La doble propiedad sin un único líder de incidente puede ralentizar las decisiones.

Un detalle fuera del tema de fraude ilumina la capacidad de control del consejo. Las mismas actas especificaron cuidadosamente las combinaciones de firmas bancarias y nombraron roles de acceso a la banca por Internet después de una transición de liderazgo. Los directores entendían que la autoridad financiera requería revocación explícita, concesión, rol y umbrales. Se debería haber aplicado una precisión comparable a las cuentas privilegiadas del registro: revocar el acceso anterior, nombrar roles permitidos, requerir control dual para cambios de alto riesgo y definir umbrales para revisión del consejo o ejecutiva.

El contraste no es prueba de que se ignorara el acceso al registro. Es un punto de referencia de gobernanza extraído de la propia práctica del consejo. Lo que era explícito para el dinero debería haber sido al menos tan explícito para la autoridad de cambiar registros de recursos escasos.

De septiembre a diciembre: investigación y divulgación avanzan en relojes diferentes

MyBroadband publicó su primera gran investigación el 1 de septiembre. La información pública amplió la audiencia y le dio al consejo un nuevo riesgo: los miembros y las organizaciones afectadas ahora podían comparar las acusaciones con el silencio de AFRINIC. El consejo tenía que equilibrar la integridad de la investigación, la equidad hacia los empleados, las restricciones legales y la necesidad de los miembros de proteger los recursos.

El 26 de septiembre, AFRINIC honró públicamente a personal de larga trayectoria, incluido Ernest Byaruhanga. El reconocimiento no establece lo que sabían el director ejecutivo interino o el equipo de comunicaciones. Sí muestra que un proceso público de personal podía continuar mientras las actas del consejo ya habían registrado asignación sospechosa e investigación urgente. Una estructura de incidentes coordinada debería decidir si se pausan los reconocimientos públicos de personas dentro del alcance, no como castigo, sino para evitar señales institucionales contradictorias.

El registro público entonces se acelera. Informes más profundos a principios de diciembre nombraron a Byaruhanga y conectaron registros históricos, empresas y transacciones. AFRINIC dice que APNIC presentó hallazgos en diciembre. El asunto se informó a la policía de Mauricio el 10 de diciembre. Posteriormente, AFRINIC dijo que se llevó a cabo una audiencia disciplinaria el 13 de diciembre y la administración despidió sumariamente a Byaruhanga. El consejo emitió su actualización amplia el 16 de diciembre.

Esa actualización dijo que el consejo inició investigaciones tan pronto como se enteró del asunto, APNIC confirmó algunas acusaciones y se encargó al director ejecutivo que limitara el acceso, evitara la manipulación y suspendiera o revocara el acceso de las partes implicadas o sospechosas. También dijo que el exdirector ejecutivo informó por primera vez al consejo después de su renuncia. La declaración es importante porque asigna el punto de conocimiento reclamado por el propio consejo y describe la contención.

También es una narrativa de la institución bajo escrutinio. "Tan pronto como" es una conclusión, no un intervalo medible. Los miembros necesitan fechas: aviso inicial, triaje, nombramiento del investigador, preservación de pruebas, primera restricción de acceso, hallazgo preliminar, escalada al consejo, referencia policial y aviso público. Con esas fechas, la afirmación puede evaluarse. Sin ellas, la velocidad se autocertifica.

La divulgación pública llegó después de la referencia policial y los hallazgos de APNIC, lo que puede reflejar precaución legal. Sin embargo, alguna comunicación puede preceder a un hallazgo final. El registro podría decir a los titulares que estaba examinando registros sospechosos, pedirles que verificaran contactos, aumentar los controles de cambio y explicar cómo informar anomalías sin nombrar a un empleado ni prejuzgar un caso. La auditoría integral posterior de AFRINIC adoptó comunicación y verificación amplias. La pregunta es si un aviso acotado más temprano podría haber reducido la exposición.

La comunicación tiene costos. Alertar a un insider sospechoso puede afectar las pruebas; las declaraciones públicas pueden desencadenar reclamos oportunistas sobre espacio inactivo; las acusaciones prematuras pueden dañar a empleados y contrapartes. El consejo necesitaba un umbral de divulgación documentado, no transparencia automática. Ese umbral debería sopesar la capacidad de los miembros para protegerse, el número y estado de los recursos afectados, el acceso continuo, el secreto de la investigación y el asesoramiento legal.

El reloj de conocimiento y acción

La responsabilidad del consejo debe evaluarse mediante un reloj con cinco manecillas. La primera marca el aviso: ¿cuándo llegó una señal creíble a la administración, al presidente, al Comité de Auditoría y al consejo completo? La segunda marca la clasificación: ¿cuándo se convirtió el asunto en un incidente de riesgo interno en lugar de una discrepancia ordinaria de asignación? La tercera marca la contención: ¿cuándo se protegieron las pruebas y los sistemas privilegiados? La cuarta marca la escalada: ¿cuándo entraron en la respuesta los investigadores independientes, la policía y los titulares afectados?

La quinta marca la remediación: ¿cuándo verificó el consejo que los controles y registros se corrigieron?

Se aplican diferentes umbrales de evidencia a cada manecilla. Una sola anomalía puede justificar la preservación y una revisión tranquila, pero no una acusación pública. Múltiples cambios no respaldados vinculados por actor o método pueden justificar control dual e investigación externa. Un hallazgo creíble de uso intencional indebido puede justificar suspensión y referencia policial. Una corrección final de recursos puede requerir un proceso debido específico del titular. El consejo no necesitaba pruebas completas antes de cada acción protectora.

Este marco también previene el sesgo retrospectivo. Los directores en marzo pueden no haber sabido lo que AFRINIC concluyó en 2021. Deben ser juzgados por la información disponible en cada fecha y si su respuesta fue proporcionada. Un hallazgo posterior grande no puede hacer que una señal temprana ambigua sea obvia retrospectivamente. Puede revelar que el proceso de triaje de la institución era demasiado débil para descubrir lo que significaba la señal.

El reloj debe incluir a la administración. El consejo supervisa; los ejecutivos operan. El director ejecutivo o el interino pueden tener autoridad para restringir el acceso, preservar registros y asignar personal sin esperar una resolución formal. Los directores se vuelven responsables cuando no definen la autoridad, no exigen informes, toleran demoras o aceptan garantías sin evidencia. La administración se vuelve responsable cuando oculta hechos materiales, retrasa la contención o no ejecuta las decisiones del consejo.

El Comité de Auditoría ocupa el puente. Debe recibir los hallazgos del auditor interno directamente, probar la respuesta de la administración e informar al consejo sobre lo que permanece sin resolver. No puede reemplazar la gestión de incidentes, y el estatuto dice que no debe asumir funciones de gestión. Puede asegurar que las personas que gestionan el incidente no están también certificando su éxito.

Lo que contendría un registro suficiente del consejo

Un registro confidencial defendible para marzo-diciembre de 2019 comenzaría con un libro de avisos fechado. Cada advertencia identificaría la fuente, los prefijos afectados, el mecanismo alegado, la evaluación de credibilidad y los destinatarios. Mostraría cuándo se vincularon informes separados y cuándo se elevó el asunto de una disputa de bloques a un posible patrón habilitado por el personal.

La siguiente sección registraría las decisiones protectoras. Enumeraría los sistemas y custodios preservados, los registros copiados, las rotaciones de credenciales, los cambios de privilegios, los requisitos de aprobación dual, las reglas de monitoreo y los arreglos de continuidad. Explicaría por qué se ordenó o no la suspensión total en cada etapa. Los nombres sensibles podrían permanecer sellados mientras la decisión y la fecha permanecieran revisables.

El mandato de investigación identificaría el alcance, la independencia, el acceso, la línea de reporte y las obligaciones de informe provisional. Distinguiría el rol del auditor interno del trabajo técnico del registro hermano y la investigación policial. Preservaría los desacuerdos sobre el alcance en lugar de aplanarlos en una sola conclusión institucional.

El paquete del consejo contendría una tabla de exposición ponderada por direcciones: bloques de pool, registros heredados, estado actual, uso actual, contacto del titular, disputa legal, actor sospechoso y riesgo de cambio inmediato. No asumiría que el enrutamiento prueba el derecho. Ayudaría a los directores a decidir dónde un bloqueo protegía el registro y dónde una acción abrupta amenazaba a redes inocentes.

El documento de comunicación establecería umbrales para el aviso al personal, aviso a los miembros, declaración pública, referencia a las autoridades y notificación a los titulares históricos nombrados. Registraría las restricciones legales sin usar el asesoramiento legal como excusa genérica para el silencio. La confidencialidad y la transparencia son decisiones que deben equilibrarse, no lemas.

Finalmente, el registro de cierre rastrearía cada recomendación. Una política aprobada no es un control operativo. Una credencial revocada no es un registro restaurado. Una auditoría completada no es un hallazgo remediado. Los directores deben recibir evidencia de que se realizaron revisiones de acceso, se reconciliaron discrepancias, se adjudicaron los archivos afectados mediante procesos apropiados y las pruebas repetidas no encontraron cambios no respaldados similares.

Si AFRINIC posee tales registros, las actas públicas subestiman una respuesta más sólida. Si no los posee, el problema del consejo va más allá de la divulgación: la memoria institucional es demasiado débil para respaldar la rendición de cuentas.

La membresía era un principal, no una audiencia

Los miembros de AFRINIC no eran meros lectores esperando un comunicado de prensa. Financiaban la institución, elegían directores a través de las estructuras aplicables y confiaban en la representación del registro de la custodia de recursos numéricos. Algunos también poseían información que el consejo no tenía: documentos de asignación históricos, contactos antiguos, fusiones, arreglos de enrutamiento actuales e intentos de terceros de afirmar control. Una estrategia de divulgación que tratara a los miembros solo como una audiencia reputacional desperdiciaría una fuente distribuida de verificación.

La participación de los miembros requería diseño. Una alarma general podría invitar a reclamos especulativos sobre espacio inactivo. Nombrar bloques sospechosos demasiado pronto podría interrumpir redes o comprometer pruebas. El silencio, sin embargo, dejaba a los titulares legítimos incapaces de verificar si sus contactos y mantenedores habían cambiado.

El consejo podría haber utilizado un aviso graduado: primero contactar a los titulares a través de canales previamente verificados; luego pedir a todos los miembros que revisaran una declaración segura de recursos y contactos autorizados; luego publicar categorías agregadas y una ruta protegida para informar anomalías.

La respuesta a un informe debería haber sido trazable. Un miembro que dice "este bloque es nuestro" no es una prueba, pero tampoco es ruido. El personal debe registrar la afirmación, preservar el material de respaldo, compararlo con los registros históricos y declarar si el caso está pendiente, rechazado o escalado. Los informes que involucran a un miembro del personal, un dominio de contacto repetido o una contraparte común deben ser unidos por personal de aseguramiento fuera de la cola de servicio ordinaria.

Las actas del consejo deben registrar la política para este compromiso incluso si los casos individuales permanecen confidenciales. ¿Cuántos titulares fueron contactados? ¿Cuántos respondieron? ¿Cuántos impugnaron un cambio? ¿Qué antigüedad tenían los casos no resueltos? ¿Qué volumen de direcciones representaban? Estas medidas permitirían a los miembros juzgar el progreso sin exponer pruebas ni prejuzgar el título.

La rendición de cuentas de la membresía también significa explicar los límites del conocimiento del consejo. Una declaración interina honesta puede decir que el alcance es incierto, que un examen independiente está en curso, que se han reforzado controles específicos y que los titulares existentes deben verificar los registros. Tal declaración es más sólida que una declaración de que todo está contenido, porque invita a la corrección mientras preserva la incertidumbre.

La resolución de 2015 del consejo de publicar actas reflejaba un principio similar: los miembros necesitan visibilidad de cómo se ejerce la autoridad. La crisis de 2019 requería que ese principio alcanzara las operaciones. Las elecciones y las reuniones anuales son dispositivos de rendición de cuentas débiles si los miembros se enteran de una amenaza al registro solo después de que los periodistas nombran al presunto actor.

La continuidad era parte de la contención, no una razón para retrasarla

Los directores que enfrentaban asignaciones sospechosas tenían que proteger dos cosas a la vez: la integridad del registro y la continuidad de los servicios del registro. Una contención mal diseñada puede perjudicar a titulares legítimos. Deshabilitar a un empleado senior sin transferencia de conocimiento puede retrasar solicitudes urgentes. Bloquear un bloque en disputa puede impedir que una organización genuina corrija los contactos de abuso. Revertir WHOIS inmediatamente puede crear una nueva declaración falsa. Eliminar objetos relacionados con el enrutamiento o certificados puede tener efectos más allá de la oficina.

Estos riesgos abogan por una contención preparada, no una exposición continua. El consejo ya había enfatizado un plan de continuidad del negocio consolidado en agosto de 2018, y el plan de auditoría interna de abril de 2019 incluía continuidad. La respuesta a la asignación sospechosa debería haber probado si las funciones críticas de Registration Services tenían sustitutos capacitados, si las credenciales privilegiadas podían rotarse sin interrupción y si los cambios de alto riesgo podían pasar a control dual mientras el servicio ordinario continuaba.

Un plan de continuidad para riesgo interno difiere de un plan para incendio o fallo de equipo. La persona amenazada puede tener conocimientos únicos, comprender el monitoreo y mantener autoridad social sobre sus colegas. El material de traspaso no puede aceptarse sin verificación independiente. Las credenciales de recuperación deben estar fuera de la misma línea de reporte. Los registros deben copiarse a una ubicación que el sujeto no pueda alterar. El personal al que se le pide asumir el trabajo necesita una ruta protegida para informar inconsistencias.

Las soluciones a nivel de bloque también necesitan una clasificación de continuidad. Un cambio sospechoso en un pool no asignado sin dependencia legítima activa puede ponerse en cuarentena rápidamente. Un bloque heredado utilizado por un hospital, operador de red o institución pública puede requerir un bloqueo en los cambios administrativos mientras el enrutamiento y los servicios permanecen estables. Un bloque con reclamantes comerciales en competencia puede requerir aviso y una retención neutral. El consejo debe aprobar principios; el personal calificado y el asesor legal deben aplicarlos a la evidencia.

El silencio de las actas sobre estos detalles no puede establecer que se ignoraran. Identifica lo que los documentos de respaldo deberían contener. Si los directores retrasaron las restricciones de acceso porque un empleado era operativamente indispensable, esa dependencia era en sí misma un hallazgo de control material. Si impusieron restricciones con éxito sin degradación del servicio, la evidencia mostraría que la contención y la continuidad eran compatibles.

El riesgo judicial refuerza la misma conclusión. Una vez que los registros han sido utilizados por compradores, redes o titulares históricos, la corrección puede generar medidas cautelares y reclamaciones de daños. Un registro de decisiones contemporáneo que muestre preservación, aviso, proporcionalidad y revisión le da a la institución una posición más sólida que una afirmación retrospectiva abrupta. La disciplina de gobernanza antes del litigio es parte de la continuidad porque reduce la probabilidad de que un tribunal tenga que gestionar las operaciones del registro mediante órdenes de emergencia.

Por lo tanto, la responsabilidad del consejo no era elegir entre detener el abuso sospechoso y mantener AFRINIC en funcionamiento. Era asegurar que la institución pudiera hacer ambas cosas. Un registro que puede continuar solo mientras un sospechoso retiene un acceso amplio ya ha sufrido una falla de continuidad, incluso antes de que ningún sistema se desconecte.

Un veredicto justo es condicional pero no vacío

El material público no respalda decir que los directores de AFRINIC sabían durante 2015-2018 que un empleado estaba malversando direcciones. Sí muestra que sabían que la organización necesitaba una capacidad de auditoría más sólida, control interno, denuncia y arreglos de continuidad. Esas preocupaciones generales deberían haber dado forma a una supervisión basada en riesgos de Registration Services.

El registro se vuelve más específico en 2019. La fecha exacta del aviso inicial al consejo sigue siendo inconsistente entre los relatos posteriores. Sin embargo, para el 23 de agosto, no hay ambigüedad en las actas públicas: los directores debatieron la asignación sospechosa de IP, reconocieron la urgencia y buscaron informes y experiencia externa. A partir de ese momento, su responsabilidad puede probarse contra acciones protectoras concretas.

Las actas demuestran investigación. No demuestran públicamente el momento de la contención. La actualización de diciembre describe instrucciones de contención pero no fecha su primera ejecución. El período entre el conocimiento específico del consejo y la restricción de acceso verificada es, por lo tanto, la cuestión de gobernanza central no resuelta.

El consejo también merece crédito por obtener experiencia externa en registros, aprobar una política de fraude, utilizar el Comité de Auditoría y finalmente remitir el asunto a la policía. El crédito no termina la revisión. Una investigación que confirma acusaciones después de informes públicos puede aún haber comenzado demasiado lentamente, haber tenido un alcance demasiado limitado o haber carecido de salvaguardas provisionales. Por el contrario, una investigación puede ser responsable incluso si la divulgación espera, siempre que la institución contuviera el riesgo y tuviera un umbral de comunicación justificado.

El estándar no debe ser ni la exoneración por comité ni la condena por omisión. Debe ser documental: mostrar el aviso, la decisión, el responsable, el plazo y la verificación para cada paso material. Cuando la confidencialidad sigue siendo necesaria, un revisor independiente o un organismo autorizado por los miembros puede inspeccionar el registro completo y publicar hallazgos acotados.

La lección escrita entre líneas

Las actas de AFRINIC antes de la divulgación muestran una organización que construía maquinaria de gobernanza mientras riesgos graves se movían a través de su función central. Los estatutos se ampliaron. Se contrató un auditor interno. Registration Services entró en el plan. Se aprobó una política de fraude. Comenzó una investigación técnica independiente. El consejo finalmente debatió las asignaciones sospechosas explícitamente.

El escándalo expone la distancia entre esos sustantivos institucionales y los verbos que importan. ¿Probó el auditor? ¿Escaló el comité? ¿Revocó la administración? ¿Verificó el consejo? ¿Recibieron los miembros suficiente aviso para proteger sus reclamos? ¿La remediación cerró la ruta exacta que había fallado?

Las actas pueden identificar cuándo esas preguntas se volvieron inevitables. No pueden responderlas todas. Por eso la demanda correcta no es una narrativa más halagadora ni una más acusatoria. Es una cronología completa de conocimiento y acción, respaldada por registros primarios y medida contra las obligaciones de continuidad de un Registro Regional de Internet.

Un consejo no necesita predecir cada acto deshonesto. Debe construir un sistema en el que una advertencia sobre el registro autoritativo no pueda permanecer simplemente como un punto del orden del día. En el momento en que la sospecha se volvió específica, el reloj comenzó. La rendición de cuentas es el registro de lo que sucedió antes de que se agotara.

Fuentes y límites analíticos

El análisis utiliza lasactas del consejo de agosto de 2018publicadas por AFRINIC, elestatuto del Comité de Auditoría de enero de 2019, lasactas del consejo de abril de 2019, lasactas del consejo del 23 de agosto de 2019y laactualización del consejo del 16 de diciembre de 2019. Los archivos anteriores del consejo y los hallazgos de auditoría posteriores de AFRINIC proporcionan contexto, pero no anulan el registro contemporáneo.

El artículo no asume que las actas públicas reproduzcan cada discusión o acción confidencial. No confunde la investigación de personal anterior de AFRINIC con el caso posterior de direcciones. No determina la responsabilidad individual, el custodio legítimo de ningún prefijo o la legalidad de una transacción en disputa. Cuando los relatos posteriores de AFRINIC y la cronología de los medios difieren sobre cuándo el consejo supo por primera vez de cambios sospechosos, la diferencia se indica en lugar de resolverse sin evidencia primaria.