Résumé

  • La version DIR-POL-005.05, approuvée à l’unanimité, prévoit une information immédiate du Comité des risques du Conseil, la présentation d’un traitement sous 90 jours au plus et l’objectif de sortir le risque de la zone maximale en moins de 120 jours.
  • Le procès-verbal rend les durées publiques, pas les événements de départ, d’acceptation et de sortie. Un reçu de cycle de vie pseudonymisé rendrait la règle vérifiable sans dévoiler le risque.

La précision remarquable tient en une phrase

Dans son procès-verbal du 23 février 2026, le Conseil de LACNIC consacre quelques lignes à une modification de la politique de gestion des risques. Le personnel propose d’ajouter une note visant les risques résiduels situés dans la zone d’évaluation maximale. Ils doivent être signalés immédiatement au Comité des risques. Un traitement doit être présenté dans un délai ne dépassant pas 90 jours. L’objectif consiste à ramener le risque hors de cette zone en moins de 120 jours. Le Conseil adopte la version DIR-POL-005.05 à l’unanimité.

Ce passage est plus substantiel qu’il n’y paraît. Il remplace le confortable « suivi » par une chaîne d’états. Il désigne un seuil, un destinataire institutionnel, un livrable intermédiaire et une situation cible. Il porte sur le risque résiduel, c’est-à-dire l’exposition qui demeure après les contrôles, et non sur n’importe quelle menace encore théorique.

LACNIC dispose d’une défense solide contre l’idée d’une publication détaillée. Un registre des risques peut révéler une faiblesse, une dépendance critique, un scénario de continuité ou une mesure de protection. Le rendre intégralement public pourrait accroître le danger. Le procès-verbal montre par ailleurs que plusieurs niveaux d’autorité interviennent : l’équipe opérationnelle, un comité du Conseil, puis le Conseil lui-même. En mai, le personnel a présenté un bilan de la réévaluation des risques, de leur traitement et des contrôles d’atténuation, déjà communiqué au Comité. Il serait faux d’en déduire une absence d’activité.

La question est donc plus fine. Les chiffres de 90 et 120 jours sont publics, mais leur origine temporelle ne l’est pas dans le document consulté.

Le piège d’une chronologie sans événement

Une durée n’est pas encore un délai vérifiable. Il lui faut un événement qui la lance. Le risque entre-t-il officiellement dans la zone maximale au moment du premier calcul, après validation méthodologique, après arbitrage ou lors de la notification au Comité ? Les deux horloges partent-elles du même fait ? Le texte du procès-verbal ne le dit pas.

Il faut aussi séparer les verbes. Informer modifie le périmètre de connaissance et de surveillance. Présenter un traitement place une option devant l’autorité compétente. Faire baisser le risque hors de la zone suppose une nouvelle évaluation. Une note peut être présentée sans être acceptée ; un traitement peut être accepté sans être encore appliqué ; une action appliquée peut ne pas produire immédiatement la baisse attendue.

Les trajectoires réelles comportent en outre des détours. Une classification peut être contestée. Une exception peut être accordée. Une mesure externe peut dépendre d’un fournisseur. Un risque sorti de la zone peut y revenir. Selon les règles complètes, ces situations pourraient suspendre, maintenir ou relancer un compte à rebours.

Ce ne sont pas des affirmations sur les pratiques internes de LACNIC. La politique complète peut définir exactement ces cas, et les outils de gestion peuvent conserver toutes les dates. La seule constatation permise est que le procès-verbal public ne livre pas ces champs. Un lecteur extérieur connaît la durée, mais ne peut pas reproduire le calcul.

Il serait tout aussi abusif d’annoncer un retard. Le document ne dit pas qu’un risque de niveau maximal existait en février. Il ne fournit ni identifiant, ni date d’entrée, ni échéance. L’approbation d’une règle générale n’active pas à elle seule un cas particulier.

Le compte rendu de mai change l’angle, pas le niveau de preuve

Le procès-verbal de la réunion du 24 mai fait apparaître le prochain signal public. La responsable présente un résumé des travaux de réévaluation, des traitements et des contrôles destinés à atténuer les risques. Le Conseil note que l’information avait déjà été transmise à son Comité des risques.

Cette mention confirme une cadence et un canal de supervision. Elle n’offre pas la jonction nécessaire pour suivre un risque précis. Aucun passage ne dit qu’un dossier se trouvait dans la zone maximale, que le nouveau mécanisme avait été déclenché, que la présentation intervenait avant une échéance ou qu’une réévaluation avait fait franchir le seuil.

Il faut résister aux deux récits faciles. L’absence de détail ne prouve pas l’inaction. L’existence d’un exposé général ne prouve pas la clôture de chaque cas. Le résumé de mai est une preuve d’activité agrégée ; le reçu recherché serait une preuve de transition individuelle.

La réunion du 5 novembre 2024 fournit un repère historique. Le Conseil y approuvait la quatrième version, DIR-POL-005.04. Lors d’un échange voisin sur l’historique des documents, la direction expliquait que les versions antérieures étaient conservées à part, tandis qu’un administrateur jugeait inutile de consacrer du temps à les regrouper. Cette remarque ne prouve ni que la politique actuelle serait cachée, ni ce qu’elle contient. Elle rappelle seulement qu’un numéro de version, une archive et un procès-verbal sont trois pièces différentes.

Rendre le mouvement visible, pas la menace

Un reçu public peut être suffisamment abstrait pour protéger la sécurité et suffisamment précis pour protéger la responsabilité. Il attribuerait à chaque risque un identifiant opaque. Il indiquerait l’heure d’entrée dans la zone maximale, celle de l’information du Comité, le fait servant de base à chaque compteur, l’échéance du traitement et l’événement retenu comme présentation ou acceptation.

Le même enregistrement nommerait le responsable, l’autorité d’approbation, la date cible de sortie, la zone actuelle et une catégorie générale de preuve. Il conserverait aussi les exceptions, les pauses, les réouvertures et les corrections. Si une appréciation change, le public saurait quelle horloge a été recalculée et sous quelle autorité, sans apprendre pourquoi le risque existe.

Ce format évite deux glissements. La présentation d’un traitement sous 90 jours ne signifie pas la réduction du risque. L’objectif de sortie en moins de 120 jours n’est pas une garantie absolue. Garder les deux formulations distinctes respecte le texte adopté et évite de transformer une ambition en résultat acquis.

Une question d’infrastructure institutionnelle

LACNIC gère une partie essentielle de l’environnement des ressources numériques de l’Internet en Amérique latine et dans les Caraïbes. Le registre, les allocations, la sécurité du routage et les services à la communauté reposent sur une organisation capable de traiter ses propres risques. La nature confidentielle d’un dossier ne retire donc pas tout intérêt public à son cycle de gouvernance.

Les exploitants de réseaux connaissent la différence entre une alerte, un plan approuvé, une mesure déployée et une nouvelle mesure du risque résiduel. Fusionner ces étapes dans un statut unique rend le retard invisible et brouille l’autorité. Les relier par des dates permet au contraire d’apprendre sans diffuser les éléments sensibles.

En février, LACNIC a déjà accompli le geste important : inscrire le temps dans la règle. Il reste à montrer ce qui met ce temps en marche et quel fait l’arrête. La transparence utile n’est pas le contenu du risque. C’est le cadran.

Sources