Resumen

  • La resiliencia institucional no se puede inferir únicamente del tiempo de actividad o las reservas; debe probarse en cuanto a autoridad legal, legitimidad de gobernanza, integridad de datos, finanzas, confianza criptográfica y dependencia de operadores.
  • El conjunto de escenarios central debe combinar elecciones fallidas, insolvencia, sanciones e interrupción de pagos, ciberataque coordinado, migración del ancla de confianza RPKI y un aumento de transferencias disputadas o interregionales.
  • Los ejercicios deben progresar desde pruebas de decisión documentadas hasta ensayos funcionales, servicio espejo, conmutación por error controlada y simulación completa interinstitucional sin arriesgar el control de recursos en vivo.
  • Las condiciones de aprobación deben medir la preservación de registros autoritativos, derechos de decisión legales, restauración del servicio, acceso de los tenedores, equivalencia de seguridad de ruta, capacidad de corrección, autogobierno regional y retorno seguro del control.
  • Los operadores de emergencia deben recibir los poderes temporales mínimos necesarios para la continuidad, con prohibiciones explícitas de cambios de política, reasignación discrecional y retención indefinida de la autoridad.
  • Los operadores deben participar como validadores activos porque un registro puede creer que el servicio se ha restablecido mientras las partes confiantes, la automatización, los directorios y los sistemas de seguridad de enrutamiento aún observan un estado inconsistente.
  • Los informes públicos deben divulgar supuestos, alcance probado, fallos, evidencia, responsables de remediación y fechas de nuevas pruebas, protegiendo credenciales, registros personales y detalles de seguridad explotables.
  • La NRS puede convocar discusión, recopilar cuentas de miembros autorizados y envíos, y publicar comparaciones respaldadas por fuentes de los resultados de ejercicios divulgados. No puede controlar el ejercicio, proporcionar autoridad de conformidad, retener evidencia operativa protegida o desplazar a los RIR, servicios IANA, operadores de emergencia y revisores independientes responsables de la ejecución.

Una década es la unidad de seriedad correcta

Un ejercicio anual es demasiado corto para exponer la pérdida de memoria institucional, la rotación de proveedores, el reemplazo criptográfico, los cambios en la junta y la deriva legal. Diez años es suficiente para que los altos cargos se vayan, los contratos expiren, los sistemas sean reemplazados, las disputas de políticas se repitan y la documentación de emergencia se vuelva obsoleta. También es lo suficientemente corto para asignar hitos, presupuestos y responsabilidad pública ahora.

El programa debe operar como una secuencia, no como diez repeticiones de la misma discusión de mesa. Los primeros años establecen inventarios, mapas de autoridad y objetivos de recuperación medibles. Los años intermedios prueban la sustitución funcional y la coordinación interregional. Los años posteriores combinan fallos y requieren que equipos independientes se recuperen de información incompleta o engañosa. Cada etapa debe incorporar lecciones de incidentes reales y cambios en la ley o los estándares.

El objetivo no es fabricar drama. Una prueba debe ser severa pero plausible. Las reglas electorales pueden producir resultados disputados. Las instituciones sin fines de lucro pueden enfrentar shocks de ingresos, litigios o insolvencia. Las sanciones pueden restringir servicios, banca y contrapartes. Los atacantes sofisticados pueden atacar simultáneamente la identidad, autenticación, registro y sistemas de publicación. Las claves de ancla de confianza eventualmente requieren migración porque el hardware y los algoritmos no duran para siempre. La escasez y la reestructuración corporativa pueden crear oleadas de transferencias.

Ninguna de estas condiciones es especulativa.

Elborrador revisado del Documento de Gobernanza de los RIRpresta atención explícita a la continuidad de emergencia, un Operador de Emergencia, la transferencia y la revisión posterior al evento. Laevaluación preliminar de implementaciónde la NRO identifica la necesidad de acuerdos técnicos, administrativos y legales para un Operador de Emergencia y una transferencia estable. Estos son compromisos institucionales importantes. Una prueba de estrés pregunta si pueden ejecutarse con inventarios reales, autoridades, personal, contratos, credenciales y plazos.

Definir el sistema antes de intentar romperlo

El sistema bajo prueba es más grande que cualquier registro individual. En su centro están los registros autoritativos que vinculan los recursos numéricos con los tenedores reconocidos. Alrededor de ellos se encuentran la identidad de miembros y tenedores, contratos, facturación, revisión de transferencias, servicios de directorio público, DNS inverso, certificación y publicación RPKI, soporte de políticas, elecciones, manejo de disputas, evidencia de auditoría, comunicaciones y coordinación con IANA. Los operadores consumen el estado resultante a través de sistemas humanos y automatizados.

Cada institución participante debe comenzar con un mapa de servicios y autoridades. Para cada función crítica, el mapa identifica la fuente legal de autoridad, propietario de la decisión, propietario operativo, almacén de datos, dependencia de autenticación, proveedor crítico, institución upstream y downstream, interrupción máxima tolerable, intervalo aceptable de pérdida de datos y sustituto autorizado. También debe identificar qué poderes no pueden delegarse bajo la ley actual o los documentos rectores.

El mapa debe distinguir la continuidad del servicio de la continuidad de la gobernanza. Un equipo de emergencia puede mantener un servicio RDAP en línea sin tener autoridad para aprobar transferencias. Puede preservar la publicación RPKI sin tener derecho a emitir nuevos certificados de recursos. Puede cobrar pagos de membresía sin poder cambiar la tarifa. Una prueba de estrés falla si el acceso técnico se confunde con el poder legal.

El inventario debe clasificar las funciones en cuatro niveles de recuperación. El nivel uno contiene preservación de datos autoritativos, acceso de solo lectura al directorio, continuidad del repositorio RPKI, monitoreo de seguridad y comunicación de incidentes. El nivel dos contiene autenticación de tenedores, corrección de registros, cambios urgentes de seguridad de ruta y acciones protectoras dirigidas por tribunales. El nivel tres contiene asignación de rutina, transferencia, facturación y soporte de políticas. El nivel cuatro contiene eventos, capacitación, investigación y proyectos discrecionales.

Las instituciones locales pueden ajustar el orden, pero cada desviación debe tener una razón.

Esta priorización evita un error común en los ejercicios: declarar éxito porque los sitios web visibles vuelven mientras las funciones que establecen la autoridad permanecen no disponibles. También evita que los poderes de emergencia se expandan simplemente porque los negocios ordinarios son inconvenientes. La continuidad es la preservación de derechos y registros esenciales bajo condiciones restringidas, no la recreación de cada servicio el primer día.

El método de resolución necesita fases fijas

Cada escenario debe resolverse a través de seis fases observables. La primera es la detección: ¿cuándo supo la institución y qué evidencia cruzó el umbral? La segunda es la clasificación: ¿qué servicios, autoridades, poblaciones y dependencias externas están afectadas? La tercera es la contención: ¿qué acciones preservan la evidencia y previenen cambios no autorizados? La cuarta es la continuidad: ¿qué acuerdo de servicio temporal se activa, por quién y bajo qué límites? La quinta es la recuperación: ¿cómo se reconcilian el estado autoritativo, el acceso de los tenedores y los servicios dependientes?

La sexta es el retorno: ¿cómo termina la autoridad temporal y cómo se revisa la decisión?

Cada fase necesita un registro de decisión. El registro debe identificar la evidencia disponible en el momento, el tomador de decisiones autorizado, la base legal, la disidencia, los servicios afectados, la condición de caducidad y el próximo punto de revisión. Los ejercicios deben eliminar deliberadamente a un tomador de decisiones esperado para probar la sucesión. También deben introducir evidencia contradictoria para que los participantes distingan entre urgencia y certeza.

Las condiciones de aprobación deben escribirse antes de revelar los detalles del escenario. Incluyen el tiempo máximo para reconocer el evento, congelar cambios inseguros, establecer una instantánea autoritativa, notificar a las instituciones dependientes, activar un sustituto legal, restaurar servicios priorizados y reconciliar el estado downstream. También incluyen condiciones cualitativas: sin asignación no autorizada, sin pérdida silenciosa de derechos de revisión, sin uso de la autoridad de emergencia para alterar políticas, sin destrucción de evidencia y sin control temporal indefinido.

La resolución debe ser reversible cuando sea posible. Una restricción temporal puede levantarse. Un servicio de solo lectura puede volver al modo transaccional después de la reconciliación. Un operador de emergencia puede devolver la autoridad a una institución regional restaurada. Las acciones irreversibles, como la revocación de recursos o la destrucción del ancla de confianza, requieren aprobación y evidencia más sólidas. Las pruebas deben penalizar las decisiones rápidas pero irreversibles que crean un daño mayor a largo plazo.

Escenario uno: una elección no produce autoridad legítima

El primer escenario comienza con una elección ordinaria de la junta. Los datos de elegibilidad se cuestionan poco antes del cierre de la votación. Un proveedor informa que un error de configuración puede haber excluido a algunos miembros y permitido credenciales duplicadas para otros. El margen aparente es estrecho. El mandato de la junta actual expira antes de que pueda finalizar una revisión independiente completa. Al mismo tiempo, la junta debe aprobar un presupuesto y nombrar firmantes para contratos críticos.

Este escenario prueba si la continuidad institucional depende de aceptar un resultado disputado. Los participantes deben determinar qué organismo puede preservar las operaciones, si la autoridad actual continúa temporalmente, qué decisiones pueden diferirse, cómo se asegura la evidencia y cómo los miembros afectados obtienen revisión. La respuesta correcta variará según la ley aplicable y los estatutos. La prueba es si la respuesta se conoce, es legal y moderada antes de que ocurra la disputa.

El éxito no significa producir un ganador rápidamente. Significa preservar la evidencia de la votación, evitar que las partes interesadas controlen la investigación, mantener solo la autoridad corporativa necesaria y completar un remedio creíble. La institución debe poder reemitir papeletas o repetir una elección sin perder las operaciones del registro. Los directores o funcionarios temporales no deben tomar decisiones irreversibles sobre políticas, compensación ejecutiva o activos a menos que la demora cause un daño demostrable.

El paquete de evidencia debe incluir la instantánea de elegibilidad, los recuentos de emisión de credenciales, las fallas de entrega, los denominadores de participación, la verificación independiente, el cronograma de impugnación, las decisiones tomadas durante el interín y el remedio final. Los votos personales permanecen en secreto. El resultado público debe revelar si cada clase elegible recibió el mismo trato y si el acuerdo de continuidad alteró el campo competitivo.

Una variante más difícil combina el fracaso electoral con desinformación. Circulan avisos falsos sobre fechas de votación y retiro de candidatos. La institución debe autenticar las comunicaciones sin otorgar a los titulares un control narrativo exclusivo. Los operadores y miembros deben poder verificar los avisos oficiales a través de más de un canal. El ejercicio prueba la legitimidad, no solo el software de votación.

Escenario dos: el fracaso financiero alcanza la autoridad operativa

El escenario de insolvencia no debe comenzar con una declaración limpia de que los fondos se han agotado. Debe comenzar con señales de deterioro: ingresos concentrados, pagos de miembros atrasados, gastos de litigios, pérdida de moneda, un proveedor que exige el pago por adelantado y un auditor que cuestiona la suposición de empresa en funcionamiento. La gerencia cree que es posible una recuperación. La junta teme que la divulgación acelere el fracaso.

Los participantes deben decidir cuándo el estrés financiero se convierte en un evento de continuidad, qué debe divulgarse y qué gastos reciben prioridad. La nómina para operaciones críticas, seguridad, seguros, instalaciones, custodia de datos, obligaciones legales y proveedores esenciales compite con los programas ordinarios. La prueba debe incluir una congelación de la cuenta bancaria o la retirada del proveedor de pagos para que las reservas nominales no puedan gastarse automáticamente.

La NRO publica elFondo Conjunto de Estabilidad de los RIRcomo un compromiso colectivo de apoyo de emergencia. Su página actual registra promesas voluntarias de las reservas de los RIR, una solicitud formal documentada por la junta del RIR afectado, la aprobación unánime del Consejo Ejecutivo de la NRO y contribuciones hechas solo cuando se necesitan, en lugar de una cuenta mancomunada prefinanciada. Un ejercicio creíble debe probar las condiciones de acceso, el momento, la moneda, la gobernanza, los términos de reembolso o subvención, y qué evidencia necesitan otros RIR antes de liberar el apoyo. Un compromiso que requiere una solicitud formal de la junta podría llegar demasiado tarde si la institución afectada ya ha perdido la capacidad de hacer esa solicitud.

El escenario también debe probar los límites de los tribunales y los acreedores. Los datos de registro, las claves criptográficas, los dominios, el equipo y las cuentas por cobrar pueden tratarse de manera diferente según la ley local. Los participantes deben saber qué activos pueden transferirse, licenciarse o protegerse, y cuáles requieren aprobación judicial. Deben probar si un administrador de insolvencia entiende que los registros autoritativos de recursos numéricos no son un inventario vendible ordinario.

Las condiciones de aprobación incluyen la preservación ininterrumpida de los registros autoritativos, ninguna promesa o venta de control que exceda la autoridad institucional, servicios prioritarios continuados, uso documentado de reservas, activación de asistencia legal y una ruta creíble hacia la rehabilitación u operación interina. La confianza pública no puede depender de ocultar el problema hasta que el efectivo se agote.

Escenario tres: las sanciones fragmentan la ley, los pagos y el servicio

Las sanciones son una prueba de estrés particularmente útil porque combinan incertidumbre legal, riesgo de identidad, dependencia bancaria y presión política. Elinforme de sanciones del RIPE NCC del segundo trimestre de 2026explica que las sanciones aplicables de la UE pueden congelar cambios de registro sin dar de baja los recursos o terminar la membresía, mientras que las restricciones de pago también pueden surgir del tratamiento que los bancos dan a otras listas de sanciones. Esa distinción entre registro, uso, servicio y pago es exactamente lo que un ejercicio debe preservar.

El escenario debe introducir una nueva designación que pueda aplicarse a un miembro a través de control indirecto. El cribado produce una coincidencia posible pero no confirmada. Un banco rechaza pagos de varios miembros no relacionados en la misma jurisdicción. Un tribunal de otro país ordena la continuación del servicio, mientras que un regulador del país donde está constituido el registro amenaza con sanciones. El tenedor afectado solicita un cambio urgente de autorización de origen de ruta después de un incidente de enrutamiento.

Los participantes deben separar los hechos de las interpretaciones legales. Deben establecer quién puede decidir que una coincidencia está confirmada, qué servicios están congelados, qué cambios de seguridad siguen siendo permisibles, cómo se corrigen los falsos positivos y cómo se trata a los miembros en situaciones similares. Deben registrar la hora efectiva de cada restricción y preservar una ruta para la revisión.

El ejercicio debe probar la presentación de informes públicos agregados sin exponer la identidad privada o el asesoramiento legal. También debe probar alternativas de pago que cumplan con la ley aplicable. Un miembro que no puede pagar porque el banco del registro rechaza una transacción legal no debe ser tratado automáticamente como un miembro moroso que elige no pagar. La institución necesita una distinción documentada y una forma de preservar la continuidad mientras se resuelve la incertidumbre.

Las condiciones de aprobación incluyen escalamiento legal oportuno, ninguna baja de registro no autorizada, un tratamiento definido de los cambios de seguridad urgentes, corrección de falsos positivos basada en evidencia, restricciones consistentes y un retorno reversible al servicio ordinario. Una decisión políticamente popular que viola los deberes legales de la institución es un fracaso; también lo es la cautela legal que deja a los operadores incapaces de proteger el enrutamiento sin una revisión razonada.

Escenario cuatro: ciberataque coordinado contra la autoridad

El escenario cibernético debe apuntar a la confianza en lugar de solo a la disponibilidad. Los atacantes comprometen una cuenta de soporte, alteran algunos registros de contacto de tenedores, obtienen una sesión válida para un administrador y publican un aviso fabricado afirmando que los datos del registro han sido corrompidos. Al mismo tiempo, el tráfico de denegación de servicio afecta las consultas del directorio y un punto de publicación RPKI. Existen copias de seguridad, pero su prueba de restauración más reciente no incluyó todos los servicios downstream.

La institución debe determinar qué estado es autoritativo. Debe preservar registros, revocar accesos, congelar cambios de alto riesgo, establecer una instantánea confiable y comunicar la incertidumbre sin invitar a suposiciones inseguras. Un sitio web limpio no es el objetivo. El objetivo es una cadena defendible desde la evidencia hasta la autoridad restaurada.

Los ejercicios deben incluir variantes de riesgo interno y de proveedor. Un empleado privilegiado puede no estar disponible o ser sospechoso. Un proveedor de identidad puede estar comprometido. Un proveedor de nube puede restaurar la infraestructura pero no el ordenamiento preciso de eventos necesario para identificar cambios no autorizados. Los participantes deben verse obligados a usar evidencia independiente, como registros firmados, registros replicados, observaciones externas y confirmación de los tenedores.

La respuesta técnica debe permanecer conectada a los derechos. Si todas las transferencias están congeladas, los tenedores necesitan conocer la base, el tiempo de revisión esperado y la ruta de excepción urgente. Si las credenciales se restablecen, las organizaciones con contactos que han dejado la empresa necesitan una ruta de recuperación sólida. Si los datos del directorio se restauran a partir de una instantánea anterior, las correcciones hechas después de ese punto deben reproducirse y verificarse en lugar de perderse silenciosamente.

Las condiciones de aprobación incluyen pérdida de datos limitada, identificación completa de los registros cambiados, validación independiente de la instantánea restaurada, recuperación de servicios de nivel uno, reautenticación segura de los tenedores, reconciliación del estado de RPKI y el directorio, y un informe público del incidente después de que haya pasado el riesgo inmediato de seguridad. El ejercicio debe medir el percentil 95 del tiempo para que los tenedores afectados recuperen el acceso seguro, no solo el tiempo en que los administradores pueden iniciar sesión.

Escenario cinco: migración de clave de ancla de confianza bajo adopción desigual

La continuidad criptográfica es institucional porque un registro no controla a cada parte confiante.RFC 9691define un objeto de clave de ancla de confianza firmado que puede señalar una clave pública actual y sucesora y apoyar la rotación planificada del ancla de confianza RPKI. Utiliza un período de aceptación para que las partes confiantes puedan observar y validar el sucesor antes de cambiar. El estándar también reconoce que algunas partes confiantes pueden no admitir la transición automática y pueden continuar usando información de confianza anterior.

El escenario comienza con un reemplazo planificado del módulo de seguridad de hardware. La clave privada anterior no se puede exportar al nuevo dispositivo. La institución ha preparado una clave sucesora, pero la medición muestra un apoyo desigual entre las implementaciones de las partes confiantes. Durante el período de aceptación, un anuncio de vulnerabilidad acorta la vida segura del dispositivo antiguo. Un incidente de servicio separado crea contenido inconsistente en el repositorio para un pequeño subconjunto de validadores.

Los participantes deben decidir si continuar, pausar o reiniciar la migración. Necesitan evidencia de que las rutas de confianza antiguas y nuevas producen resultados validados equivalentes. Deben coordinar con los mantenedores de software y los operadores sin permitir que los mensajes no verificados se conviertan en una nueva raíz de confianza. Deben retener la clave anterior el tiempo suficiente para la continuidad mientras limitan la exposición del hardware vulnerable.

El ejercicio debe ejecutar validación real contra repositorios de prueba aislados y versiones representativas de partes confiantes. Debe medir la adopción, la recuperación fallida, la validación inconsistente, los datos de confianza obsoletos y la respuesta del operador. Debe incluir una organización que deliberadamente fija material de confianza antiguo y otra que actualiza solo a través de lanzamientos de software. El resultado no puede juzgarse únicamente desde el validador del propio registro.

Las condiciones de aprobación incluyen cobertura de recursos equivalente bajo ambas claves, aceptación exitosa por parte de los validadores compatibles, una ruta documentada para la transición manual, aviso público autenticado, reversión antes del retiro destructivo de la clave y un momento basado en evidencia para la eliminación de la clave anterior. La prueba debe fallar si alguna clase significativa de operadores se vuelve ciega a un árbol de certificación regional completo sin detección.

Escenario seis: transferencia masiva después de un choque corporativo y de mercado

El escenario de transferencia comienza con la insolvencia de un gran grupo de infraestructura que posee recursos a través de muchas subsidiarias en varias regiones. Los tribunales autorizan ventas en diferentes jurisdicciones. Algunas transferencias son sucesiones corporativas, algunas son ventas de activos, algunas son impugnadas por acreedores y algunas involucran compradores que ya poseen un espacio de direcciones sustancial. Los corredores presentan documentos superpuestos. Una parte de los recursos tiene autorizaciones de origen de ruta activas y usuarios críticos del sector público.

El volumen resultante debe exceder la capacidad ordinaria durante varios meses. La prueba pregunta si las instituciones pueden escalar la revisión sin abandonar las comprobaciones de autoridad, favorecer a los solicitantes con más recursos o convertir una cola en una moratoria oculta. También prueba si los registros interregionales se reconcilian cuando una institución aprueba un paso y otra requiere evidencia adicional.

El escenario necesita un inventario sintético pero internamente consistente de entidades legales, bloques de recursos, contratos, órdenes judiciales, registros históricos, estado de certificación y observaciones de enrutamiento. Los equipos deben recibir documentos por etapas, incluyendo contradicciones que requieren escalamiento. Deben distinguir el control legal de una empresa de la autoridad para transferir un registro de recurso particular.

La capacidad de emergencia no debe significar una revisión de identidad relajada. Las instituciones pueden crear triaje, verificación compartida de documentos, análisis estandarizado de órdenes judiciales y reglas de prioridad transparentes. Los cambios urgentes necesarios para proteger las redes activas pueden separarse de la transferencia final. Cada excepción debe registrarse, tener límite de tiempo y ser revisable.

Las condiciones de aprobación incluyen ninguna disposición duplicada, vinculación completa de los registros de origen y destino, preservación del estado impugnado, retraso de cola limitado, identificadores interregionales consistentes, reconciliación oportuna de certificación y notificación pública de la cola. Los efectos de concentración deben medirse pero no usarse para inventar una prohibición de política durante el evento. Si la política permite una transferencia, el personal de emergencia no debe sustituir su propio juicio de mercado.

Escenario siete: la coordinación con IANA se vuelve incierta

La capa de numeración global tiene un conjunto de transacciones deliberadamente estrecho, y su rendimiento publicado es sólido. Losinformes de rendimiento de recursos numéricos de IANAmuestran acuse de recibo, respuesta, implementación y precisión en relación con los objetivos de servicio, así como propagación y disponibilidad de DNS inverso. Ese historial hace que la coordinación con IANA sea un escenario de control adecuado: el rendimiento ordinario es medible, por lo que la desviación puede detectarse con precisión.

El escenario comienza con solicitudes conflictivas que parecen provenir de contactos autorizados de los RIR durante un evento de continuidad regional. Una solicita un cambio de DNS inverso; otra pide a IANA que no actúe porque la autoridad está en disputa. Una tercera institución afirma que un acuerdo de emergencia ha entrado en vigor, pero el aviso de activación está incompleto. Al mismo tiempo, una interrupción de comunicaciones afecta un canal de verificación establecido.

El equipo de IANA debe preservar la neutralidad mientras decide qué evidencia es suficiente para reconocer, retener, rechazar o implementar una solicitud. La velocidad por sí sola no es éxito. Una instrucción implementada con precisión de un solicitante no autorizado sería un fracaso grave. Rechazar cada solicitud indefinidamente también transferiría el riesgo a la comunidad de numeración. Por lo tanto, la prueba necesita una escalera de verificación de autoridad preacordada, rutas de confirmación fuera de banda y un tratamiento definido de las reclamaciones en conflicto.

Los participantes deben probar si los registros de contacto de emergencia están actualizados, si los cambios en esos registros requieren control dual y si la base para reconocer una autoridad temporal puede auditarse posteriormente. Un servicio RIR sustituto no debe obtener autoridad frente a IANA simplemente porque tiene posesión técnica de datos copiados. Por el contrario, un organismo de emergencia designado formalmente no debe ser bloqueado porque un exfuncionario retiene el acceso a un canal de contacto obsoleto.

El elemento de DNS inverso debe usar zonas sintéticas e infraestructura aislada. Los equipos deben medir la autenticación de la solicitud, el tiempo de decisión, la precisión de la implementación, la propagación y la reversión. El elemento de registro debe probar si el estado de asignación autoritativa permanece inequívoco en toda IANA y todos los participantes de los RIR después del evento. Ninguna asignación o delegación global en vivo necesita estar en peligro.

Las condiciones de aprobación incluyen identificación correcta del solicitante autorizado, evidencia preservada de reclamaciones contradictorias, tiempo de retención limitado, ningún cambio de registro global no autorizado, implementación precisa después de la resolución y estado downstream consistente. El informe público debe divulgar la ruta de autoridad probada y el tiempo, mientras oculta los secretos de autenticación. Este escenario demuestra que la continuidad institucional se extiende a través de los límites en lugar de detenerse en la puerta de la oficina regional.

La prueba decisiva es un escenario compuesto

Probar cada choque por separado es necesario e insuficiente. En 2033 o 2034, el programa debe realizar un ejercicio compuesto en el que la legitimidad electoral esté en disputa, se incumpla un convenio financiero, una actualización de sanciones afecte a un tenedor importante, los atacantes exploten la confusión, una transición de ancla de confianza ya esté en marcha y un caso de transferencia masiva alcance una fecha límite judicial.

El escenario no debe simplemente agregar seis tareas independientes. Las dependencias deben forzar elecciones. Congelar todos los cambios ayuda a la contención cibernética pero puede impedir una corrección necesaria de clave o seguridad de ruta. La divulgación pública puede proteger a los miembros pero empeorar una corrida bancaria. Liberar fondos de estabilidad puede requerir firmas de una junta disputada. Activar un operador de emergencia puede preservar servicios pero desencadenar restricciones legales sobre el acceso transfronterizo a datos.

Extender la clave de ancla de confianza anterior puede ayudar a la compatibilidad pero aumentar la exposición de seguridad.

Los participantes deben recibir información incompleta en plazos realistas. Los controladores independientes pueden inyectar nueva evidencia basada en decisiones. Si un equipo no preserva los registros, la atribución posterior se vuelve imposible. Si emite una congelación legal demasiado amplia, el daño al operador aumenta. Si espera certeza, la restauración del servicio se ralentiza. El propósito es exponer las compensaciones, no recompensar la decisión teatral.

Ninguna organización debe controlar toda la narrativa del ejercicio. Equipos separados deben representar al RIR afectado, otros RIR, servicios de numeración de IANA, un operador de emergencia, operadores, tenedores de recursos, auditores y autoridades legales. La NRS puede participar como observador de defensa o como representante de un miembro que lo haya autorizado expresamente. La NRS no debe recibir credenciales operativas, derechos de decisión o custodia de evidencia protegida. Los límites de autoridad deben coincidir con los arreglos plausibles.

Los observadores deben registrar no solo las decisiones, sino también las solicitudes que quedaron sin respuesta y los supuestos que nadie verificó.

El éxito significa preservar un estado legítimo mínimo: los registros autoritativos permanecen intactos, los cambios inseguros se contienen, los servicios públicos críticos continúan, los derechos urgentes de los tenedores pueden ejercerse, la certificación sigue siendo interpretable, los poderes temporales siguen siendo limitados, la evidencia sobrevive y el control regional regresa cuando se cumplen los criterios de restauración. No significa que todos los servicios rutinarios cumplan con los objetivos normales.

Líneas de base, inyecciones y control del ejercicio

Una prueba de estrés puede ser manipulada antes de comenzar seleccionando una línea de base fácil. Por lo tanto, cada ejercicio compartido debe comenzar a partir de una declaración de inventario firmada: conteos de registros autoritativos, tenedores activos, casos abiertos, certificados, objetos de directorio, cuentas privilegiadas, contratos críticos y dependencias de servicio. Los revisores independientes deben verificar muestras y registrar defectos conocidos. Los equipos no pueden entonces atribuir cada inconsistencia al escenario o excluir silenciosamente a una población incómoda.

Las inyecciones de escenario deben derivarse del riesgo documentado y las dependencias institucionales reales. Pueden incluir una orden judicial, aviso bancario, alerta de proveedor electoral, registro de seguridad, resultado de validador, queja de miembro o cambio de disponibilidad de personal. Cada inyección necesita un tiempo de emisión, rol de fuente, clase de confiabilidad y consecuencia de evidencia prevista.

Los participantes pueden cuestionar la confiabilidad de una inyección, tal como deben cuestionar la evidencia incierta en un evento real, pero los controladores deben preservar la verdad básica necesaria para la evaluación posterior.

Los controladores no deben dirigir a los equipos hacia un resultado de política preferido. Su trabajo es mantener hechos consistentes, aplicar consecuencias, medir decisiones y prevenir el contacto inseguro con sistemas en vivo. Un grupo de evaluación separado debe juzgar las condiciones de aprobación. Otro grupo protegido debe manejar cualquier material técnico confidencial. La separación reduce el riesgo de que quienes diseñaron el escenario declaren correctas sus propias suposiciones.

El reloj del ejercicio debe reflejar la función probada. Un escenario financiero o de sanciones puede comprimir semanas en horas mientras preserva el orden de las decisiones y los períodos de notificación. Una transición de ancla de confianza no puede simplemente comprimir el comportamiento de aceptación si la duración misma proporciona seguridad. Las pruebas funcionales pueden simular intervalos largos, pero el programa final también debe realizar al menos un ensayo extendido en tiempo real que exponga las transferencias entre turnos y regiones.

Cada comunicación debe capturarse a través de canales acordados. Las llamadas informales a menudo llevan contexto decisivo durante los incidentes, pero no dejan registro para la revisión. Los ejercicios deben requerir una breve nota de decisión después de las instrucciones orales y deben probar la falla del servicio principal de conferencia o mensajería. Los avisos públicos deben redactarse y autenticarse como si fueran reales, luego distribuirse solo dentro del entorno del ejercicio a menos que estén claramente etiquetados como pruebas.

Un ejercicio puede detenerse si pone en riesgo servicios en vivo, datos protegidos o la seguridad de los participantes. La autoridad y los criterios de detención deben definirse de antemano. Detenerse por seguridad no es un fracaso; crear un riesgo evitable en vivo sí lo es. La evaluación aún debe registrar qué supuesto de diseño causó la detención y requerir una nueva prueba más segura.

Los métodos de ejercicio deben progresar más allá de la discusión

El primer método es la verificación de documentos. Los revisores independientes inspeccionan si las autoridades, inventarios, contactos, contratos, objetivos de recuperación y poderes de sustitución están actualizados y son mutuamente consistentes. Esto puede revelar contradicciones antes de cualquier simulación. Un documento que nombra a un ex empleado o proveedor vencido debe contar como un hallazgo, no como preparación completa.

El segundo método es la simulación de decisiones. Los líderes y el personal técnico reciben inyecciones cronometradas y deben producir registros de decisión reales, avisos, escalamientos legales y prioridades de servicio. Los observadores comparan las decisiones con los documentos rectores y las condiciones de aprobación. Los participantes no deben recibir la respuesta esperada de antemano.

El tercer método es el ensayo funcional en entornos aislados. Los equipos restauran instantáneas autoritativas, reconstruyen el acceso de identidad, reemiten certificados de prueba, reconcilian directorios y procesan transferencias sintéticas. Los resultados medidos provienen de sistemas y validadores independientes, no de autoinformes. Las credenciales y los datos deben ser sintéticos o estar fuertemente protegidos.

El cuarto método es el servicio espejo. Un equipo sustituto recibe estado no productivo replicado e intenta proporcionar funciones definidas sin ayuda del equipo principal. Los resultados revelan conocimiento no documentado, dependencias propietarias y autoridad ambigua. La institución principal permanece al control de los servicios en vivo.

El quinto método es la conmutación por error controlada. Un servicio estrecho y reversible, como un conjunto de datos públicos de solo lectura o un repositorio RPKI de prueba, se cambia a un alternativo preparado bajo observación. Cualquier elemento en vivo requiere controles de cambio estrictos, aviso previo a los miembros cuando corresponda, reversión y aprobación explícita. Los ejercicios nunca deben crear un riesgo innecesario para el control real de los recursos.

El último método es una simulación interinstitucional con comunicaciones reales, tiempos independientes y sistemas de operador representativos. Debe incluir condiciones nocturnas, de fin de semana y de múltiples zonas horarias. Los planes de recuperación que funcionan solo cuando todos los especialistas están disponibles de inmediato no son resilientes.

Los operadores son validadores, no una audiencia

Las instituciones de registro pueden probar la restauración interna del servicio y aún así pasar por alto el fracaso externo. Los operadores pueden almacenar en caché datos del directorio, ejecutar software diverso de partes confiantes, automatizar cambios de certificados, depender de listas permitidas o interpretar los avisos de incidentes de manera diferente. Sus observaciones determinan si el estado restaurado es utilizable.

El programa debe reclutar operadores de diferentes tamaños, regiones y modelos técnicos. Los participantes deben incluir proveedores de acceso, redes de alojamiento, redes del sector público, redes de contenido, empresas y mantenedores de software de seguridad de ruta. Su función es validar resultados sintéticos, probar comunicaciones e informar consecuencias operativas. La participación no debe otorgar acceso a datos privados de los tenedores.

Las medidas del operador deben incluir el tiempo para autenticar un aviso oficial, el tiempo para recuperar el estado actual del directorio, la convergencia del validador, los resultados inconsistentes de validez de ruta, la automatización fallida, la intervención manual y la incertidumbre residual. Un servicio puede cumplir con un objetivo de disponibilidad interno mientras los operadores reciben resultados contradictorios. Por lo tanto, la convergencia externa es una condición de aprobación.

Los operadores también deben probar la moderación. Las comunicaciones de emergencia no deben alentar a las redes a rechazar rutas basándose en evidencia incierta o incompleta. La autoridad del registro sobre los registros no convierte a una institución en un controlador de enrutamiento universal. Los avisos deben describir el estado observado, la confianza, los servicios afectados y la verificación recomendada sin exagerar el mando.

La autoridad de emergencia debe ser estrecha y temporal

Un Operador de Emergencia necesita suficiente acceso y posición legal para preservar los servicios esenciales. No debe heredar un mandato sin restricciones. El instrumento de activación debe enumerar las funciones permitidas, las acciones prohibidas, los límites de datos, la autoridad de gasto, los intervalos de revisión, las condiciones de caducidad y los criterios de retorno.

Las acciones prohibidas normalmente deben incluir cambiar la política regional de recursos numéricos, reasignar recursos en disputa, alterar las reglas electorales, disponer de activos institucionales, usar datos de miembros para fines no relacionados y extender su propio nombramiento. Las excepciones deben requerir un organismo autorizado por separado y razones públicas. El organismo de emergencia no debe convertirse en juez de su propia necesidad continua.

El retorno de la autoridad merece tanto prueba como la activación. La institución restaurada debe demostrar legitimidad de gobernanza, seguridad, integridad de datos, personal, capacidad financiera y control legal. El organismo de emergencia debe proporcionar registros completos y renunciar a las credenciales. Puede ser necesaria la operación en paralelo para la reconciliación, pero la propiedad de la decisión debe ser inequívoca.

El énfasis del borrador de material de gobernanza en la revisión posterior a la emergencia es importante. Cada ejercicio debe usar la misma disciplina incluso cuando no ocurrió una emergencia en vivo. El informe público debe identificar la duración, los servicios prestados, la autoridad ejercida, las excepciones, los derechos afectados, la decisión de retorno, los defectos no resueltos y las recomendaciones.

La NRS puede convocar instituciones que pueden desconfiar unas de otras, ayudar a los miembros más pequeños a articular su experiencia y publicar investigaciones que comparen las medidas y resultados públicos. No debe mantener activos de prueba, definir conformidad, retener evidencia protegida, operar el ejercicio o controlar una transferencia de autoridad. Esas funciones pertenecen a los RIR participantes, los servicios de IANA, los operadores de emergencia calificados y los revisores independientes. La legitimidad de la NRS es más fuerte cuando su defensa hace que el poder sea más responsable sin adquirir ninguno de ese poder en sí mismo.

Una puntuación debe preservar el fracaso, no ocultarlo

Una calificación única de resiliencia sería atractiva y engañosa. Las instituciones pueden ser fuertes en la recuperación técnica y débiles en la autoridad legal, o financieramente resilientes y criptográficamente frágiles. El resultado debe usar una tarjeta de puntuación multidimensional con condiciones de fracaso duro.

Las dimensiones son autoridad, gobernanza, finanzas, integridad de datos, contención de seguridad, continuidad del servicio, acceso de tenedores, equivalencia RPKI, convergencia externa, comunicación, reversibilidad y aprendizaje. Cada dimensión debe mostrar el objetivo, el resultado observado, la fuente de evidencia y la confianza. Los fracasos duros incluyen cambio de recurso no autorizado, pérdida de datos autoritativos, incapacidad para identificar un tomador de decisiones legal, poder de emergencia ilimitado, divergencia de certificación no detectada y fracaso en preservar los derechos de revisión.

Las medidas de tiempo deben informar distribuciones. La recuperación del tenedor no puede representarse por el primer inicio de sesión exitoso. La recuperación de transferencia no puede representarse por un caso fácil. La convergencia del validador no puede representarse por la propia implementación de la institución. Los resultados de la cola revelan quién soporta el costo del estrés institucional.

Los hallazgos deben clasificarse por consecuencia y recurrencia. Un defecto de documentación puede ser menor hasta que bloquea la autoridad del firmante de emergencia. Una prueba fallida no es una derrota reputacional si produce una remediación oportuna y una nueva prueba exitosa. Ocultar o estrechar la prueba después del fracaso es más grave que descubrir debilidad.

La remediación y la nueva prueba son parte del resultado

Un informe de ejercicio sin remediación financiada es una observación, no una mejora de la resiliencia. Cada hallazgo material debe tener un propietario responsable, recursos aprobados, tratamiento de riesgo interino, fecha objetivo y método de nueva prueba. Si la gerencia acepta el riesgo, el organismo aprobador debe indicar por qué la exposición residual es tolerable y cuándo expira ese juicio. Los hallazgos críticos deben regresar a la junta u organismo rector equivalente en lugar de desaparecer en el mantenimiento técnico.

Las nuevas pruebas deben reproducir la condición fallida lo suficientemente cerca para probar la corrección. Un nuevo documento no es suficiente cuando el fracaso se refería a la restauración real. Una carta de garantía del proveedor no es suficiente cuando el fracaso se refería a la sustitución entre proveedores. Un validador interno exitoso no es suficiente cuando los operadores observaron resultados RPKI divergentes. La evidencia debe coincidir con la condición de aprobación original.

El programa debe distinguir la contención inmediata, la corrección duradera y el aprendizaje sistémico. La contención inmediata reduce la exposición presente, como actualizar contactos de emergencia o preservar una copia de seguridad adicional. La corrección duradera cambia la capacidad, como establecer una autoridad delegada legal o una ruta de restauración probada independientemente. El aprendizaje sistémico cambia las instituciones relacionadas o los estándares para que la misma debilidad no se repita en otro lugar.

El tiempo de la nueva prueba debe reflejar la gravedad. Un fracaso duro que involucra datos autoritativos, poder ilegal o divergencia criptográfica debe volverse a probar dentro de seis meses. Una debilidad mayor de continuidad debe volverse a probar dentro de un año. Los hallazgos de menor gravedad pueden seguir el próximo ejercicio anual, pero los elementos atrasados deben permanecer públicos. Las instituciones no deben esperar al próximo hito de la década del mismo escenario.

El fracaso repetido necesita escalamiento. Si dos nuevas pruebas fallan por la misma causa subyacente, los revisores independientes deben examinar si el remedio declarado aborda la causa, si los recursos son adecuados y si los líderes tienen incentivos para retrasar. La asistencia colectiva puede ser apropiada, especialmente para capacidades criptográficas o legales especializadas. La asistencia debe fortalecer a la institución regional afectada antes de considerar el reemplazo.

Las nuevas pruebas exitosas no deben borrar los hallazgos originales. El registro de diez años debe mostrar descubrimiento, tratamiento interino, corrección, evidencia y cierre. Este historial permite a los miembros distinguir las instituciones que aprenden de aquellas que solo rotan el lenguaje. También protege al personal que informa debilidades: un registro de mejora transparente hace que el descubrimiento sea una señal de control efectivo en lugar de una razón para suprimir malas noticias.

Para 2036, la medida de éxito más persuasiva puede ser la tasa de cierre de hallazgos difíciles en varias instituciones. Esa medida captura la voluntad de financiar la resiliencia poco glamorosa, aceptar evidencia independiente y regresar después de un fracaso inicial. Un primer ejercicio perfecto es menos creíble que un programa exigente que encuentra defectos reales y demuestra que fueron reparados.

La evidencia pública y el detalle protegido pueden coexistir

El informe público debe declarar los supuestos del escenario, los participantes por función, los servicios probados, el alcance excluido, las condiciones de aprobación, las decisiones, los resultados observados, los fracasos, los derechos afectados, los propietarios de la remediación y las fechas de nuevas pruebas. Debe incluir suficientes datos de tiempo y reconciliación para que los externos entiendan el resultado.

No debe publicar credenciales, registros personales, asesoramiento legal privilegiado, vulnerabilidades detalladas, claves privadas, arquitectura explotable o evidencia confidencial de miembros. Los auditores independientes pueden examinar esos materiales y emitir una declaración de aseguramiento limitada. Los hallazgos de seguridad pueden retrasarse hasta la remediación cuando la divulgación crearía un riesgo inmediato, pero la existencia y gravedad del hallazgo no deben desaparecer.

La evidencia debe ser duradera. Los registros del ejercicio deben preservar instantáneas firmadas, registros de eventos, resultados de validadores, registros de decisiones, comunicaciones y revisiones bajo custodia controlada. Los informes públicos deben enlazar a artefactos estables y verificados por integridad cuando sea seguro. Las nuevas pruebas posteriores deben citar el hallazgo original y mostrar lo que cambió.

El público también debe ver el desacuerdo. Si los asesores legales, los operadores y los líderes institucionales interpretan una condición de aprobación de manera diferente, el informe debe explicar la divergencia y la decisión final. El teatro de consenso no es resiliencia. Las instituciones ganan confianza al mostrar cómo se resolvió la evidencia impugnada.

El calendario de pruebas 2026-2036

2026:establecer la carta conjunta, mapas de autoridad, niveles de servicio, términos compartidos, condiciones de aprobación y reglas de evidencia protegida. Publicar brechas a nivel institucional.

2027:probar disputa electoral, sucesión y comunicaciones en cada institución participante. Requerir revisión independiente de la boleta y la autoridad.

2028:probar dificultades financieras, interrupción bancaria, acceso al fondo de estabilidad y límites judiciales. Reconciliar supuestos de costos y liquidez de servicios principales.

2029:probar sanciones, falsos positivos, barreras de pago, excepciones de seguridad urgentes y conflicto legal transfronterizo.

2030:realizar ejercicios funcionales cibernéticos coordinados, incluida la recuperación de instantáneas autoritativas, la reautenticación de tenedores y la reconciliación downstream.

2031:realizar pruebas planificadas de migración de ancla de confianza RPKI contra diversas implementaciones de partes confiantes y rutas de transición manual.

2032:ejecutar una oleada de transferencia masiva con sucesión corporativa, insolvencia, casos interregionales y autoridad impugnada.

2033:operar servicios de continuidad espejo y probar la preparación legal, administrativa y técnica de un Operador de Emergencia.

2034:realizar el primer escenario internacional compuesto con control independiente y operadores representativos.

2035:remediar, volver a probar fracasos duros y repetir escenarios seleccionados con personal y proveedores no disponibles de forma no anunciada.

2036:realizar un segundo escenario compuesto, comparar evidencia de diez años, revisar los arreglos de continuidad y establecer el próximo ciclo de pruebas.

Los ejercicios anuales a nivel institucional deben continuar entre los hitos. El calendario identifica el enfoque compartido, no el único trabajo de resiliencia. Los incidentes reales deben desencadenar nuevas pruebas específicas. Los cambios materiales en el sistema, la ley, el proveedor o las claves no deben esperar al año programado.

Cómo sería un éxito creíble

Para 2036, un miembro debería poder preguntar quién puede actuar cuando una junta está en disputa y recibir una respuesta precisa y legal. Un auditor debería poder rastrear cómo los fondos de emergencia apoyan los servicios principales. Un tenedor sancionado o con una coincidencia falsa debería conservar una ruta de revisión documentada. Un operador debería poder validar una transición de ancla de confianza a través de más de un canal. Un proveedor de servicios sucesor debería poder restaurar funciones priorizadas a partir de inventarios probados sin heredar poder de política.

Las instituciones también deben conocer sus límites irreductibles. Algunos conflictos judiciales no pueden resolverse mediante coordinación técnica. Algunas partes confiantes seguirán siendo lentas para actualizarse. Algunos proveedores no pueden ser reemplazados de inmediato. Alguna evidencia confidencial no puede hacerse pública. Las pruebas de estrés no eliminan la incertidumbre. Hacen que la incertidumbre sea limitada, propia y visible.

El peor resultado sería una serie pulida de ejercicios en los que los escenarios nunca amenazan los derechos de decisión, los altos líderes siempre están disponibles, los equipos sustitutos reciben instrucciones perfectas y los informes declaran éxito sin validación externa. Eso probaría la presentación, no las instituciones.

El mejor resultado es más modesto y más exigente: evidencia repetida de que el sistema de registro puede degradarse de manera segura, preservar la autoridad, proteger los derechos urgentes, recuperar un estado técnico coherente y devolver el poder temporal. Los RIR siguen siendo responsables regionalmente. Los servicios de numeración de IANA se mantienen estables y medibles. La NRS contribuye con defensa, convocatoria, representación de miembros autorizados y comparación pública sin adquirir autoridad operativa. Los operadores validan lo que las instituciones no pueden ver desde adentro.

La legitimidad institucional a menudo se discute como consentimiento en tiempos normales. Su prueba más aguda es la moderación en tiempos anormales. Un organismo demuestra su idoneidad no solo actuando, sino sabiendo qué poderes le faltan, qué decisiones deben esperar, qué evidencia debe sobrevivir y cuándo se debe devolver el control. Una prueba de estrés de diez años haría observables esas virtudes antes de que el sistema de registro de Internet tenga que aprenderlas en público bajo presión real.

Base de evidencia