Resumen

  • La versión DIR-POL-005.05 obliga a informar de inmediato al Comité de Riesgos del Directorio y a presentar un tratamiento en un plazo no mayor a 90 días; además, fija como objetivo bajar el riesgo de la zona máxima en menos de 120 días.
  • El acta describe los intervalos, no los eventos que los abren y cierran. Un comprobante público con identidad opaca permitiría verificar la secuencia sin revelar el contenido sensible del riesgo.

Una norma más concreta de lo habitual

Las actas institucionales suelen esconder la gestión de riesgos detrás de verbos blandos: revisar, acompañar, monitorear. El acta del Directorio de LACNIC del 23 de febrero de 2026 hizo algo distinto. En el punto 2.8, el staff propuso añadir a la Política de Riesgos una nota para los riesgos residuales en zona de máxima valoración. Esos riesgos debían ser informados de forma inmediata al Comité de Riesgos, recibir un tratamiento en un plazo no mayor a 90 días y tener como objetivo salir de esa zona en menos de 120 días. El Directorio aprobó por unanimidad la versión DIR-POL-005.05.

La secuencia merece reconocimiento. No deja una exposición grave estacionada bajo la fórmula indefinida de “seguimiento”. Identifica un umbral, un órgano de supervisión, una intervención intermedia y un estado deseado. También habla de riesgo residual: el que permanece después de aplicar controles, no una amenaza hipotética tomada en bruto.

Hay una defensa fuerte y razonable. El registro de riesgos de una organización que opera servicios críticos puede contener vulnerabilidades, dependencias, escenarios financieros o planes de respuesta que no deben publicarse. La comunidad no necesita conocer la sustancia de cada caso. El acta, además, muestra una cadena de autoridad real: gestión, Comité de Riesgos y Directorio. En mayo, el staff volvió con un resumen de revalorización, tratamiento y controles de mitigación que ya había presentado al Comité. No estamos ante una ausencia de gobierno.

El problema es de evidencia pública y es mucho más acotado. Sabemos cuánto duran los relojes, pero el acta no identifica el acontecimiento que les da cuerda.

Informar, presentar y bajar no son lo mismo

La frase de febrero reúne tres cambios de estado. El aviso inmediato cambia quién conoce el riesgo y quién puede exigir una respuesta. La presentación de un tratamiento introduce una propuesta en el circuito de decisión. La salida de la zona máxima exige una nueva valoración conforme a una metodología. Un documento entregado no reduce por sí solo la exposición.

Por eso importa el punto de partida. Los 90 y los 120 días podrían contarse desde la clasificación inicial, desde su confirmación, desde el aviso al Comité o desde otra fecha definida en la política completa. Tal vez ambos intervalos empiezan juntos; tal vez no. Una revisión de la valoración podría suspender uno, ninguno o los dos. Un riesgo que baja y luego vuelve a subir podría reabrir el mismo expediente o iniciar otro.

No hay que convertir esas alternativas en acusaciones. El acta pública no las resuelve; eso no significa que LACNIC carezca de reglas internas. La política completa y los sistemas de gestión podrían registrar cada evento con precisión. Esta investigación solo puede afirmar que el rastro público examinado no permite reconstruirlos.

El mismo límite descarta una conclusión todavía más grave. El acta no dice que en febrero existiera un riesgo residual en la zona máxima. Formula una regla general. Sin un caso activado tampoco existe base para afirmar que LACNIC incumplió, prorrogó o completó un plazo.

Mayo prueba continuidad, no cierre

El acta de la reunión del 24 de mayo aporta una pieza posterior. Leticia Bozoglilanian presentó un resumen del trabajo de revalorización de riesgos, su tratamiento y los controles destinados a mitigarlos. El documento añade que esa información se había presentado previamente al Comité de Riesgos del Directorio.

Es una señal útil de funcionamiento institucional. Confirma que el Comité estaba en el circuito y que las conversaciones no se agotaron en la aprobación de febrero. Sin embargo, el resumen no identifica riesgos ni plazos individuales. No dice si había un caso en zona máxima, si se había activado la regla nueva o si algún tratamiento correspondía a uno de los dos relojes.

Leer ese punto como prueba de cumplimiento sería tan imprudente como leerlo como prueba de inacción. Un informe agregado y un comprobante de ciclo de vida son objetos distintos. El primero explica que hubo trabajo. El segundo permite unir un disparador, una fecha límite, una autoridad y un resultado.

El acta del 5 de noviembre de 2024 completa la genealogía: el Directorio había aprobado por unanimidad la versión DIR-POL-005.04. En la discusión inmediatamente posterior sobre otros documentos, la gerencia explicó que las versiones anteriores estaban guardadas en una carpeta separada y un director consideró innecesario dedicar recursos a recopilarlas. Ese intercambio no demuestra que la versión vigente sea secreta ni permite atribuirle campos que no hemos visto. Solo recuerda que un número de versión y un acta son hitos del rastro, no el texto entero de la política.

El comprobante que falta

Un plazo verificable necesita cinco uniones: evento disparador, base de cómputo, autoridad responsable, evento de cumplimiento e historial de correcciones. Es posible publicarlas sin exponer una vulnerabilidad o un plan de defensa.

LACNIC podría crear un comprobante de reloj para riesgos máximos. Cada fila usaría un identificador opaco e incluiría la fecha en que el riesgo residual entró en la zona máxima, la fecha del aviso inmediato al Comité, la regla aplicada a cada intervalo, el vencimiento del tratamiento y el hecho que cuenta como presentación o aceptación. También registraría responsable, autoridad aprobadora, fecha objetivo de salida, zona actual y una clase de evidencia suficientemente general.

Los casos reales rara vez avanzan en línea recta. Por eso hacen falta campos de excepción, pausa, reapertura y corrección. Si una valoración se modifica, el recibo debería decir qué reloj cambió y bajo qué autoridad. Si el riesgo sale de la zona y vuelve, debería distinguir continuidad de reincidencia. El público podría verificar el procedimiento sin saber si el caso afecta un proveedor, una reserva financiera o un sistema técnico.

La redacción original debe conservar su fuerza exacta. “Plazo no mayor a 90 días” se refiere a presentar un tratamiento. “Objetivo” de menos de 120 días se refiere a bajar el riesgo de zona. No son dos garantías equivalentes y tampoco son dos formas de decir “problema resuelto”.

Por qué importa fuera de la sala del Directorio

LACNIC forma parte de la infraestructura institucional de los recursos numéricos de Internet en América Latina y el Caribe. El registro, la asignación, la seguridad de enrutamiento y el trabajo comunitario dependen de continuidad organizativa. Los operadores no necesitan inspeccionar un inventario confidencial para saber si una regla de alta severidad deja huellas comprobables.

Dentro de una red ocurre lo mismo. Detectar una exposición, aprobar un plan y reducir el riesgo residual son eventos diferentes. Cuando se comprimen en un único estado verde o rojo, la responsabilidad se reconstruye después mediante relatos. Cuando cada transición conserva fecha y autoridad, la organización puede ver la demora sin divulgar la materia sensible.

LACNIC ya dio el paso sustantivo al introducir tiempo en la regla. Falta que el rastro público diga qué pone en marcha cada reloj y qué cuenta como llegada. El secreto puede proteger el riesgo; no necesita borrar su ciclo de vida.

Fuentes