Resumen

  • El borrador de las actas del Directorio de ARIN de enero de 2026 dice que la revisión periódica de Registration Services no encontró tickets auditados fuera del NRPM y que el departamento seguía funcionando de manera eficiente.
  • El borrador de abril recoge otra revisión, encargada a Baker Tilly después del error de asignación 4.10 de diciembre de 2025. Allí se habla de inconsistencias en todas las áreas observadas, pero también se aclara que los diez criterios eran recientes y no habían sido un foco anterior.
  • Un resultado evalúa conformidad de tickets con política; el otro, controles estructurales derivados de un incidente y medidos con criterios nuevos. Los registros públicos no revelan población, muestra, método, denominadores ni severidad suficiente para convertirlos en una sola calificación.
  • ARIN debería publicar una matriz versionada que conecte cada encargo con su detonante, periodo, unidad de análisis, regla o criterio, clase y número de excepciones, responsable, fecha objetivo, repetición de la prueba y alcance transaccional de cualquier Registry Control Plane.

Una frase de auditoría no es un indicador autónomo

Los dos titulares caben en una línea: «ningún ticket fuera de política» y «inconsistencias en todas las áreas». El problema es que, solos, informan menos de lo que aparentan.

El borrador del 13 de enero presenta el informe de auditoría 2025 del Registration Services Department. Según el CXO, una firma externa revisa cada dos años documentación, pasos de trabajo y estructura. El acta afirma que la auditoría de tickets no encontró ninguno fuera del Number Resource Policy Manual y describe al departamento como eficiente.

Esa redacción pública no permite calcular cobertura. No dice cuántos tickets formaban la población, cuántos entraron en la muestra, cómo se eligieron, de qué periodo procedían ni qué tipos de trámite estaban representados. «Ninguno» es el numerador de excepciones observadas, no una prueba de que se examinó todo el universo.

El borrador del 19 de abril parte de otro origen. El error de diciembre reveló un control que podía ejecutar una sola persona; ARIN pidió una auditoría externa y contrató a Baker Tilly. Mike Cullen presentó un borrador. El acta dice que se encontraron inconsistencias en todas las áreas revisadas, pero añade que los diez criterios se habían creado hacía poco y antes no habían sido un punto de atención.

La salvedad no elimina el hallazgo. Impide darle un significado retroactivo. Un control recién formalizado puede identificar una debilidad importante sin demostrar que la práctica anterior violaba una obligación ya vigente. De la misma manera, un ticket conforme con el NRPM puede registrar una decisión política correcta aunque la ejecución sistémica de esa decisión tenga una separación de funciones débil.

Por eso no hay base pública para decir que un informe rectificó al otro. Son planos de prueba distintos y ambos pueden ser verdaderos dentro de sus límites.

El incidente 4.10 permite ver qué plano faltaba

El informe de ARIN del 12 de diciembre describe una cadena, no un dato aislado.

23.150.164.0/24 estaba correctamente asignado a un cliente. El 2 de diciembre de 2025, durante el proceso de distribución 4.10, el bloque fue retirado y vuelto a asignar a otro. ARIN trabajaba con un inventario manual, parcialmente desconectado del sistema principal: un registro electrónico y una hoja de cálculo. Al retirar el bloque también desaparecieron servicios asociados del registro, entre ellos la ROA y el DNS inverso. Un proveedor externo anunció después el prefijo bajo la inscripción equivocada.

No hubo detección automática. El cliente original avisó el 9 de diciembre, unos siete días después. ARIN restauró la asignación, entregó un /24 alternativo al segundo cliente, coordinó el retiro de la ruta y completó acciones correctivas ese día. Como el informe no contiene una declaración de impacto técnico para los clientes, no corresponde convertir el episodio en una afirmación de interrupción o pérdida de tráfico medida.

La explicación tampoco se reduce a una persona que se equivocó. La propia narración identifica una combinación: inventario híbrido, reglas de negocio no integradas y posibilidad de ejecutar una acción sensible con control unipersonal. Las medidas inmediatas ya declaradas como completas incluyen reservar los tickets con eliminación de red a analistas experimentados, aplicar doble revisión y efectuar una segunda comprobación en horarios definidos.

Ahora resulta más claro por qué un muestreo de tickets y una auditoría de controles pueden divergir. El primer ejercicio pregunta si la decisión documentada corresponde a la política. El segundo pregunta si aplicaciones, inventarios, roles y aprobaciones hacen difícil que una transición inválida llegue a existir, y si la detectan cuando ocurre. Ninguno sustituye al otro.

Lo que falta no es otra conclusión, sino las coordenadas

Una divulgación útil no exige publicar datos de clientes ni manuales de seguridad. Exige que la frase final lleve consigo la ficha de la prueba.

Coordenada Contenido público mínimo
Encargo Identidad del informe, órgano que lo solicitó, auditor y estado borrador/final
Pregunta Detonante, objetivo, periodo y alcance de la garantía buscada
Universo Población, tamaño de muestra, selección y unidad analizada
Norma Sección y versión del NRPM o versión del criterio de control
Excepción Área, definición, cantidad, denominador y severidad acotada
Corrección Recomendación, propietario, vencimiento, dependencia y estado
Comprobación Método y fecha de nueva prueba, resultado y riesgo residual
Cobertura técnica Aplicación y transacción sometidas al Registry Control Plane

La ficha de enero remite a los anexos W y X y menciona recomendaciones, pero la página pública no los desarrolla. La de abril menciona un borrador, diez criterios y varias áreas, pero no enumera criterios, áreas, cantidades ni severidades. No se puede inferir que esa información faltara en la sala. Sí se puede afirmar que falta en el registro público disponible para comparar ambos hallazgos.

La matriz impondría límites saludables. Enero no demuestra que se auditara cada ticket ni que todos los controles fueran efectivos. Abril no demuestra que hubiera diez fallos, uno por criterio, o defectos graves en cada área. Tampoco prueba que los criterios recién creados fueran obligaciones anteriores. Los documentos consultados no establecen que Baker Tilly produjera un único informe público que combinara los dos encargos, ni que los anexos citados estén publicados.

En vez de rebajar la transparencia por esos límites, la matriz mejora el seguimiento. Un mismo campo permite saber si una recomendación cambió de responsable, si un criterio cambió de versión y si la nueva prueba cubrió el mismo universo que dio lugar al hallazgo.

El plano de control propuesto todavía debe ganar un perímetro

Abril añadió una respuesta arquitectónica. El personal de ARIN propuso un Registry Control Plane entre aplicaciones para centralizar la aplicación de controles definidos por el Directorio y la dirección, reducir la ejecución unipersonal y mejorar la auditabilidad.

La idea ataca un problema reconocible: cuando cada aplicación incorpora sus propias reglas y existe además un inventario paralelo, una misma transición puede ser autorizada de forma distinta según el camino. Una capa común puede evaluar reglas y registrar decisiones de forma coherente.

Pero el acta también muestra que el proyecto no estaba especificado. Los miembros preguntaron qué haría exactamente, cuál sería el primer sistema, aplicación o integración, cómo se conectaría y qué otras prioridades se verían afectadas. Quedaban por definir tiempo y coste. En consecuencia, no hay base para describir el plano como aprobado, financiado, contratado, desplegado, probado ni eficaz.

Su valor debe medirse por transacciones concretas. Para el mecanismo de diciembre, el mapa tendría que abarcar retirada de inventario, eliminación de ROA y DNS inverso, reasignación, expedición del reemplazo y cualquier excepción. Cada paso debería conservar regla y versión, identidad que solicita, identidad que aprueba, aplicación que ejecuta y evidencia de reconciliación posterior.

Un registro central que no resuelva qué inventario es autoritativo solo documentaría mejor una transición incorrecta. Un bloqueo que admita un atajo opaco concentraría el riesgo en el atajo. El nombre «Control Plane» no demuestra control: lo demuestran el límite de autoridad, el modo de fallo, la supervisión de excepciones y la repetición independiente de la prueba.

Los documentos son borradores, no expedientes completos

Las actas de enero y abril siguen marcadas como borrador. Sirven para atribuir lo que se presentó al Directorio, pero no equivalen a los informes de auditoría ni a sus anexos. La formulación correcta es que las actas «informan» de un hallazgo; no que el público haya recibido toda la evidencia que lo sustenta.

El índice de reuniones observado el 31 de agosto lista para 2026 las páginas de enero y abril. En abril se dijo que los siguientes pasos se presentarían en la próxima reunión, prevista para agosto. La ausencia de otra entrada en ese índice no prueba que no hubiera reunión ni avance. Las normas de reunión explican el marco institucional, no el estado del proyecto.

La referencia política debe ser igualmente precisa. El NRPM cambia mediante el proceso comunitario. Si un hallazgo se conserva junto con la versión y sección usadas, un futuro lector podrá separar una variación de la norma de una variación del desempeño.

Sources