Resumen

  • El 18 de septiembre de 2026, la junta de ARIN aprobó por 10–0 el proyecto Registry Control Plane y facultó al director ejecutivo a contratarlo con un tope de 5 millones de dólares, que requerirá fondos de reservas a largo plazo.
  • Un error de diciembre de 2025 había retirado un /24 y su ROA del titular original. Una auditoría previa evaluó el sistema con diez criterios fijados por la junta; las actas públicas consultadas no publican el mapa de criterios, resultados iniciales y pruebas de recepción.

En una junta es sencillo votar un máximo. Cuesta más establecer la frase que autorice decir «el registro ya es más seguro». ARIN fijó lo primero con unanimidad; lo segundo exige que las medidas técnicas sobrevivan a una prueba que no haya redactado únicamente el equipo que construyó el proyecto.

Las actas del 18 de septiembre consignan el acuerdo de contratar la realización del Registry Control Plane hasta un límite de 5 millones de dólares y recurrir para ello a reservas de largo plazo. El resultado fue 10–0. El personal presentó un programa de 18 meses. El director ejecutivo explicó que comenzar en octubre crearía gastos fuera del presupuesto sin aquella autorización y que el contrato no podía tratarse como una decisión mensual. El límite aprobado no es la factura pagada: las actas no dan un valor contractual firmado ni un retiro realizado.

ARIN tenía un motivo más serio que la moda de modernizar software. Su informe público de diciembre de 2025 relata que, durante una asignación conforme a 4.10, retiró por error un /24 al cliente original y lo asignó a otro. Borró también el registro y el ROA del primer titular. El estado equivocado duró unos siete días hasta que ese cliente avisó. ARIN no recibió del cliente un informe de impacto técnico. La gravedad verificable está en la cadena administrativa: una operación interna alcanzó tanto el registro de titularidad como la autorización de origen.

En las actas provisionales de agosto, ARIN describe un auditor externo que calificó el sistema existente, criterio por criterio, frente a diez exigencias futuras establecidas por la junta. Los consejeros pidieron hitos, entregables y seguimiento; el personal habló de otra auditoría tras la reforma. Las actas publicadas no dicen cuáles fueron los diez criterios ni el resultado de cada uno. Si el proyecto pretende corregir un riesgo, esa lista es el principio de su recibo: estado inicial, trabajo efectuado, prueba repetida y excepción que siga abierta.

La elección financiera tampoco sucede en el vacío. En el resumen oficial de ARIN 58, el tesorero situó las inversiones en 38,5 millones de dólares a agosto de 2026, frente a una reserva operativa objetivo de 26 millones, y el déficit operativo acumulado en 0,5 millones. ARIN proyecta financiar déficits anuales intermedios con inversiones mientras busca el equilibrio para 2030, apoyada entre otras cosas en aumentos RSP de hasta 5 % por año. Ese saldo de agosto no incorpora un gasto demostrado del proyecto aprobado en septiembre. Sí muestra que la reserva ya tiene varios trabajos y que cada nuevo uso merece evidencia de su rendimiento operativo.

Hubo una tensión visible en la compra. Chris Tacit preguntó por la reducción del universo de proveedores causada por exigir personal presencial. El director ejecutivo respondió que la integración con los equipos actuales y el riesgo de errores en el registro justificaban el requisito. La proximidad física puede mejorar una implementación; no verifica por sí misma los permisos, las reglas compartidas o la capacidad de deshacer un cambio erróneo.

John Curran había dicho en el encuentro ARIN 57 que varios sistemas actuaban directamente sobre la base de datos sin reunir las reglas de negocio en un único lugar. El proyecto puede medirse contra ese diagnóstico: ¿una modificación peligrosa recibe la misma comprobación en todos los accesos? ¿Se conserva un registro antes y después? ¿Se detecta un ROA incoherente y se restaura el estado correcto con rapidez? Son preguntas de aceptación, no afirmaciones de que la nueva arquitectura ya exista.

La junta debe publicar la relación entre sus diez criterios, el resultado anterior y la nueva comprobación independiente. Un informe de código entregado y presupuesto respetado serviría al contratista. Un informe de control corregido serviría al titular cuyo bloque figura en la base.