Les procès-verbaux du conseil avant la divulgation de la fraude d'AFRINIC

Résumé

• Les procès-verbaux publiés d'AFRINIC montrent un conseil qui disposait d'une machinerie d'audit formelle et qui a discuté du contrôle interne, de la santé organisationnelle et de la capacité d'audit interne avant que le scandale des adresses ne soit divulgué publiquement, mais le champ formel n'a pas automatiquement produit une assurance en temps opportun sur les services d'enregistrement.
• La chronologie des connaissances publiques s'est précisée en 2019: un rapport ultérieur d'AFRINIC date l'activité suspecte vers mars; des reportages secondaires indiquent que l'ancien directeur général a informé le conseil en avril; le conseil a approuvé une politique de fraude et de corruption en mai; juillet a apporté une enquête assistée de l'extérieur; et les procès-verbaux d'août enregistrent explicitement un débat sur l'attribution IP suspecte.
• Les procès-verbaux du 23 août sont l'artefact décisif avant la divulgation. Ils enregistrent un rapport d'audit interne dû pour fin septembre, l'urgence, l'assistance technique externe et le suivi du comité d'audit, mais ils n'enregistrent pas publiquement le confinement immédiat des accès, les décisions de conservation des preuves, un périmètre au niveau des blocs ou une règle de notification aux membres.
• Le silence dans les procès-verbaux n'est pas une preuve d'inaction. AFRINIC a utilisé des caviardages, des séances à huis clos, des versions courtes et des approbations différées. La responsabilité exige donc les documents sous-jacents, le journal des décisions, les actions d'accès privilégié et les preuves de clôture, et non une accusation construite à partir de prose omise.
• Les administrateurs devraient être jugés par une horloge connaissance-action: quelles informations crédibles leur sont parvenues, quelle classification des risques a suivi, à quelle vitesse ils ont ordonné une enquête indépendante et un confinement, ce que le comité d'audit a vérifié, et comment ils ont protégé la continuité du registre pendant que les réclamations restaient non résolues.

Les procès-verbaux sont une preuve de gouvernance, pas la gouvernance elle-même

Les procès-verbaux du conseil sont des documents inhabituellement séduisants. Ils présentent des dates, des entités, des points à l'ordre du jour, des résolutions et des responsables d'actions. Leur ton formel donne l'impression que le passé est réglé. Dans un scandale, les lecteurs les parcourent à la recherche du moment où un administrateur aurait dû savoir, de la phrase qui prouve la négligence, ou de l'omission qui suggère la dissimulation. Cela peut produire un acte d'accusation net et une analyse médiocre.

Les procès-verbaux sont un enregistrement sélectionné. Ils peuvent résumer des heures de discussion en une ligne. Les conseils juridiques, les questions de personnel et les enquêtes peuvent passer en séance à huis clos ou être caviardés. Les projets peuvent être approuvés des mois après la réunion. Une « version courte » peut exclure les documents justificatifs. La date à laquelle une réunion a eu lieu, la date à laquelle ses procès-verbaux ont été approuvés et la date à laquelle le public a pu les lire peuvent différer. Une absence dans le texte public ne peut établir qu'aucune discussion ou action privée n'a eu lieu.

L'erreur inverse consiste à traiter l'incomplétude comme une immunité. Un conseil qui choisit des procès-verbaux sommaires doit néanmoins conserver un enregistrement des décisions suffisant pour montrer qu'il s'est acquitté de sa surveillance. La confidentialité peut justifier de cacher des noms, des preuves et des détails tactiques. Elle ne supprime pas la nécessité d'enregistrer le risque considéré, la décision prise, le responsable, l'échéance et la vérification ultérieure. Si rien de tout cela ne peut être produit même après un examen approprié, le problème n'est pas uniquement la transparence publique.

L'institution ne peut pas prouver ce qu'elle a fait.

Les procès-verbaux d'AFRINIC doivent donc être lus en couches. La première couche est ce que le conseil a représenté publiquement à l'époque. La deuxième est ce que les déclarations ultérieures d'AFRINIC disent que le conseil savait et faisait. La troisième est ce que les reportages d'investigation ajoutent, avec attribution et prudence. Là où les couches entrent en conflit, la tâche est d'identifier le document primaire manquant plutôt que de forcer la certitude.

Cette approche change la question centrale. Il ne s'agit pas de savoir si une réunion particulière contient le mot fraude. Il s'agit de savoir si le système de contrôle du conseil a converti des avertissements de plus en plus spécifiques en enquête, confinement, assurance indépendante, communication et réparation durable. La responsabilité réside dans les intervalles entre ces actes.

Le dossier avant 2019 était lourd d'audit et léger en opérations

AFRINIC n'est pas entré en 2019 sans comité d'audit. Ses archives du conseil à partir de 2015 montrent une préoccupation intense concernant les états financiers, la qualité de l'audit et la possibilité qu'une analyse financière plus approfondie puisse exposer une mauvaise administration. Le conseil a élargi le comité d'audit, négocié avec les auditeurs externes et décidé que les procès-verbaux devraient être publiés dans les sept jours suivant leur approbation. C'étaient de véritables mesures de responsabilité. Elles révèlent également où l'attention de l'assurance était concentrée: les rapports financiers et la régularité corporative.

L'actif opérationnel décisif d'un registre de numéros est différent. C'est l'intégrité du registre d'autorité reliant l'inventaire disponible ou la garde historique à l'organisation indiquée dans le WHOIS. Les comptes financiers peuvent être exacts tandis que ce registre d'autorité est compromis. L'espace d'adresses n'est pas un stock conventionnel possédé et vendu par le registre, donc une modification non justifiée peut ne pas produire d'entrée comptable évidente. Une culture d'audit organisée autour du calendrier financier peut manquer le plus grand risque de légitimité de l'institution.

En 2017, le rapport annuel d'AFRINIC décrivait un mandat élargi. Le comité d'audit était censé examiner le contrôle financier interne, la gestion des risques, l'audit interne et le contrôle, les systèmes d'information et la gouvernance technologique. Les procès-verbaux publiés d'avril 2017 incluent un administrateur demandant si un audit des technologies de l'information avait été effectué.

Les procès-verbaux de mai disent que le comité avait soumis un long rapport lors de la réunion précédente et n'avait pas reçu de commentaires du conseil; le président a demandé aux administrateurs de le lire, tandis que le comité des finances avait noté des points et agi sur certains. Le texte public n'établit pas ce que couvrait le long rapport ni s'il traitait des privilèges du registre.

Cet épisode illustre une distinction de gouvernance récurrente. Recevoir un rapport n'est pas l'examiner. L'examiner n'est pas assigner une remédiation. Assigner une remédiation n'est pas vérifier la clôture. Les procès-verbaux qui disent qu'un comité a « fait rapport » ou que le conseil a « pris note » fournissent une preuve de transmission, pas de résultat. Pour une constatation opérationnelle à haut risque, le dossier devrait montrer la gravité, le responsable, l'échéance et le test de clôture même si les détails restent confidentiels.

Les procès-verbaux en face à face d'août 2018 rendent les préoccupations de capacité plus explicites. Le comité d'audit a discuté des conditions de recrutement d'un auditeur interne, avec un recrutement proposé pour le dernier trimestre 2018. Un administrateur a suggéré un audit de la performance de l'organisation dans son ensemble. Le conseil a approuvé une charte modifiée du comité. Ailleurs dans la réunion, les administrateurs ont demandé des rapports de gestion trimestriels, débattu de la santé organisationnelle et mis l'accent sur un plan de continuité des activités consolidé.

Les mêmes procès-verbaux contiennent une « Mise à jour sur l'enquête » et des actions pour développer un mécanisme de signalement et un index des politiques organisationnelles. Le sujet était associé à une controverse antérieure sur le personnel et la gouvernance dans le dossier public, non identifié dans ces procès-verbaux comme une allocation suspecte de ressources numériques. Il serait irresponsable de réduire chaque enquête d'AFRINIC au cas ultérieur des adresses. Sa pertinence est institutionnelle: en août 2018, les administrateurs avaient déjà reconnu le besoin d'un contrôle interne plus fort et d'une voie de signalement protégée.

Le tableau d'avant 2019 n'est donc ni complaisance ni assurance. Le conseil avait des comités, des chartes, des rapports et des éléments d'action. Il construisait encore la capacité d'audit interne et l'infrastructure de contrôle de base tout en gérant des tensions de gouvernance répétées. Cette condition aurait dû élever, et non réduire, l'examen des opérations centrales du registre.

Une charte peut promettre plus qu'un comité ne peut livrer

La charte du comité d'audit d'AFRINIC de janvier 2019 était large. Elle couvrait l'efficacité du contrôle interne et de l'audit, la gestion des risques, les systèmes d'information et la gouvernance technologique. Elle autorisait la communication directe avec l'auditeur interne. Elle exigeait que le comité examine le plan annuel, reçoive les résultats périodiques, surveille la réponse de la direction et s'assure que l'auditeur dispose de ressources et d'accès.

Elle faisait également référence à la sauvegarde des actifs contre une utilisation ou une disposition non autorisée et à la supervision des enquêtes sur la fraude, la mauvaise conduite ou les conflits d'intérêts des employés.

Sur le papier, ce mandat était capable d'atteindre le problème d'allocation d'adresses. Il ne confinait pas le comité aux états financiers. Il donnait au comité l'autorité de demander si les changements du registre étaient autorisés, si les privilèges du personnel étaient excessifs, si des conflits existaient et si la direction fermait les constatations. Le conseil ne pouvait pas raisonnablement dire que l'intégrité du WHOIS était la catégorie de quelqu'un d'autre.

Pourtant, une charte large crée son propre danger: une couverture apparente sans capacité pratique. Un comité se réunissant au moins deux fois par an autour du cycle de reporting financier peut consacrer la plupart de son temps aux comptes et à l'audit externe. Les administrateurs non exécutifs peuvent manquer de compréhension détaillée des systèmes d'enregistrement. Un auditeur interne nouvellement recruté peut faire face à un univers énorme, un personnel limité et une documentation immature. Les « systèmes d'information » peuvent devenir une ligne dans une charte plutôt qu'un domaine testé.

Le devoir du conseil était donc de traduire la charte en priorités de risque. Quels systèmes pouvaient changer la garde des ressources? Qui avait un accès privilégié? Combien d'allocations importantes ou de changements hérités contournaient les interfaces ordinaires? Une entrée WHOIS publique pouvait-elle être retracée jusqu'à une demande approuvée? Les écarts entre les dossiers d'adhésion, l'inventaire interne et les statistiques publiques étaient-ils rapprochés? Les plaintes externes avaient-elles été enregistrées et escaladées? Ces questions n'exigeaient pas que les administrateurs deviennent des gestionnaires de réseau.

Elles exigeaient qu'ils définissent l'assurance dont ils avaient besoin.

Le comité avait également besoin d'indépendance dans les faits, pas seulement dans la forme. Il aurait dû contrôler le périmètre et l'accès de l'auditeur interne, recevoir les rapports sans filtrage de la direction et rencontrer l'auditeur en privé. Si un employé opérationnel senior était impliqué, cet employé et ses gestionnaires ne pouvaient pas sélectionner les fichiers ou expliquer chaque anomalie sans corroboration. La charte anticipait l'accès direct. Les procès-verbaux devaient montrer que le pouvoir était utilisé.

La responsabilité formelle ne peut donc pas être mesurée par le fait que la charte contenait les bons noms. Elle doit être mesurée par le fait que le comité a commandé les bons tests avant que le risque ne mûrisse, a agi sur les constatations et a informé le conseil complet de ce qui restait exposé.

Avril 2019: les services d'enregistrement entrent enfin dans le plan

Les procès-verbaux des réunions du conseil des 3, 10 et 17 avril enregistrent le plan d'audit interne 2019. Le programme comprenait la conformité corporative, les finances et la comptabilité, les services d'enregistrement et le plan de continuité des activités. Le comité d'audit avait approuvé le plan; le conseil n'a soulevé aucune objection et a noté que l'approbation appartenait au comité.

C'est une étape importante. Les services d'enregistrement n'étaient pas cachés en dehors de l'univers de l'audit. Ils étaient nommés. L'institution avait un auditeur interne et un plan approuvé par le comité. La question devient ce qui était programmé, quel travail de terrain a commencé, quels dossiers ont été testés et quand les constatations sont parvenues aux décideurs.

Les procès-verbaux ne répondent pas. « Services d'enregistrement » peut décrire une revue de processus, un échantillon de conformité aux politiques, un examen du contrôle d'accès ou une reconstruction complète des allocations. Ce ne sont pas équivalents. Une revue de processus peut confirmer que le personnel connaît les étapes écrites tout en manquant des modifications directes en dehors de celles-ci. Un petit échantillon aléatoire peut manquer un ensemble concentré de grandes exceptions. Un examen des accès peut lister les utilisateurs sans tester ce qu'ils ont fait.

Le conseil avait besoin d'un périmètre basé sur les risques qui reflète la rareté de l'IPv4, la fragilité des dossiers hérités et le privilège des initiés.

Le timing est également important. Le rapport ultérieur d'AFRINIC en 2021 indique qu'environ mars 2019, une ordonnance du tribunal mauricien suite à une demande du FBI a alerté l'organisation d'une activité suspecte concernant plusieurs blocs d'adresses, et qu'un examen interne préliminaire a indiqué une possible action non autorisée du personnel avec des tiers. Si cette chronologie ultérieure est exacte, la discussion du plan d'audit d'avril a eu lieu après que l'institution a eu un signal spécifique. Le plan aurait alors dû passer d'une couverture annuelle de routine à une assurance liée à l'incident.

MyBroadband a rapporté plus tard que l'ancien directeur général Alan Barrett a informé le conseil en avril de la manipulation des données WHOIS. La mise à jour du conseil d'AFRINIC de décembre utilisait une formulation différente, disant que le problème avait été porté à l'attention du conseil pour la première fois après la démission de l'ancien directeur général, lorsqu'il a dit que des modifications non autorisées avaient pu se produire et que des enquêtes internes étaient en cours. Le rapport d'exactitude ultérieur indique que le conseil a commandé une enquête assistée par APNIC en juillet.

Ces sources ne produisent pas une date parfaitement alignée.

La divergence compte. Si le conseil a reçu un avis spécifique en avril, les administrateurs avaient plus de temps et un devoir différent que s'ils avaient appris pour la première fois après le départ de Barrett en juillet. La preuve primaire devrait être une communication datée, un document du conseil, une note de réunion ou un journal d'incident. La responsabilité publique ne devrait pas dépendre de la reconstruction d'un avis à partir de résumés ultérieurs avec une formulation différente.

Une discussion sur l'engagement du personnel en avril a créé un comité ad hoc distinct pour évaluer l'état des opérations d'AFRINIC et faire rapport d'ici la fin du mois. Le rapport annuel 2019 indique qu'il a terminé ses travaux et a été dissous en mai. La résolution 201905.483 a accepté le rapport, et le conseil a séparément approuvé une politique de fraude et de corruption. Le dossier public ne montre pas que le mandat de santé organisationnelle du comité ad hoc incluait les allocations IP suspectes. Il ne faut pas le traiter rétroactivement comme l'enquête sur la fraude sans preuve.

Ce qu'il montre, c'est un conseil confronté à plusieurs signes de tension institutionnelle à la fois: engagement du personnel, transition de leadership, planification de l'audit, continuité et, selon des récits ultérieurs, activité suspecte sur les ressources. Des comités fragmentés peuvent chacun traiter un symptôme tandis que personne n'est propriétaire du risque combiné. Le président et le conseil complet étaient responsables de les rassembler.

Mai à juillet: politique, changement de leadership et enquête indépendante

Le 31 mai, le conseil a approuvé une politique de fraude et de corruption proposée par le comité d'audit. Le timing est notable car il a suivi les signaux de mars et avril rapportés plus tard. Une politique peut définir la conduite interdite, le signalement et l'enquête. Elle ne peut pas contenir une menace active par elle-même. Les questions immédiates étaient de savoir si le personnel concerné avait reconnu les conflits, si l'accès avait été examiné, si les transactions passées avaient été conservées et si l'enquête était indépendante.

Le leadership changeait également. Le départ de Barrett a été annoncé en juillet, et un directeur général par intérim a pris la responsabilité pendant que le conseil cherchait un remplaçant. Les transitions de leadership augmentent à la fois le risque et l'opportunité. La passation peut exposer des problèmes non résolus, mais l'autorité peut devenir diffuse. Le conseil devrait spécifier qui possède les décisions d'incident, qui peut suspendre l'accès, qui préserve les preuves et qui communique avec les experts externes.

Le rapport 2021 d'AFRINIC indique que le conseil a commandé une enquête en juillet avec l'assistance d'APNIC. La mise à jour du conseil de décembre 2019 indique également qu'APNIC a été choisi pour mener une évaluation indépendante. Choisir un registre sœur était sensé en principe: un autre RIR pouvait comprendre les enregistrements d'allocation, les contrôles WHOIS et la continuité opérationnelle d'une manière qu'un enquêteur corporatif général pourrait ne pas.

L'indépendance nécessite plus qu'un nom externe. Les conditions devraient définir qui a choisi le périmètre, si les enquêteurs ont reçu des journaux et tickets complets, si les employés impliqués pouvaient influencer l'accès, comment l'intégrité des preuves a été protégée, quelles constatations intermédiaires ont déclenché le confinement et si le comité d'audit a reçu des rapports directement. La date de livraison du rapport final et les droits de décision attachés aux constatations préliminaires comptent autant que ses conclusions finales.

Les procès-verbaux publics disponibles pour ces mois ne fournissent pas ce mandat. Cela peut refléter la confidentialité. Cela laisse les membres incapables de juger si l'enquête a commencé comme un examen limité de plusieurs blocs ou comme un examen à l'échelle de l'institution des allocations et des changements hérités. Le périmètre détermine à quelle vitesse un conseil peut savoir si le cas apparent est isolé.

L'audit ultérieur a finalement examiné tout l'espace IPv4 administré par AFRINIC et vérifié les enregistrements d'adhésion et de ressources sur 2005-19. Ce périmètre complet était approprié pour la restauration. Il est arrivé après la crise initiale. La tâche du conseil en 2019 était d'identifier suffisamment de le motif rapidement pour le contenir tout en préservant les services.

23 août: les procès-verbaux deviennent spécifiques

Les procès-verbaux du 23 août 2019 sont le dossier le plus clair avant la divulgation. Sous le rapport du comité d'audit, ils indiquent que le conseil a débattu de l'attribution suspecte d'IP. Ils enregistrent que l'auditeur interne soumettrait un rapport d'ici la fin septembre. Le directeur général par intérim a souligné l'urgence et le besoin d'expertise technique externe; les procès-verbaux ajoutent que, par exemple, ARIN avait accepté une demande d'assistance. Les éléments d'action demandaient au comité d'audit de suivre le plan de l'auditeur interne et de préparer un rapport sur un accord d'enregistrement hérité.

Les déclarations ultérieures d'AFRINIC identifient APNIC, et non ARIN, comme menant l'évaluation indépendante. Les deux déclarations peuvent décrire des offres d'assistance séparées, une option précoce qui a changé, ou une rédaction lâche des procès-verbaux. Elles ne devraient pas être harmonisées silencieusement. La correspondance d'engagement de l'enquête établirait quel registre a fait quoi et quand.

Plusieurs caractéristiques positives sont visibles. La question a atteint le conseil complet, a été connectée au comité d'audit et à l'auditeur interne, a été qualifiée d'urgente et a incité à rechercher une expertise externe. Les arrangements hérités ont été reconnus comme un problème distinct. Ce ne sont pas des actions triviales.

Les procès-verbaux exposent également des questions sans réponse. Ils ne précisent pas combien de blocs ou d'adresses étaient dans le périmètre. Ils n'identifient pas si le soupçon concernait les allocations de pool, les changements hérités ou les deux. Ils n'enregistrent pas un examen immédiat des accès privilégiés, une double approbation, une suspension de compte, une conservation des preuves, une notification aux titulaires potentiellement affectés, ou un délai plus court que la fin septembre pour des conseils de confinement préliminaires. L'absence ne prouve pas que ces actions n'ont pas été prises.

Cela signifie que les procès-verbaux publics ne peuvent pas les démontrer.

La date de rapport proposée mérite un examen. Pour un audit de routine, cinq semaines peuvent être rapides. Pour une menace interne crédible contre le registre faisant autorité, attendre jusqu'à fin septembre pour un rapport pourrait être trop lent à moins que des contrôles intérimaires ne soient déjà actifs. Un mandat sensé exigerait une conservation immédiate et une évaluation préliminaire rapide, suivies d'un rapport plus complet. Les conseils devraient distinguer le délai pour l'analyse finale du délai pour arrêter d'autres modifications non autorisées.

La réunion a également créé un comité technique pour traiter de l'infrastructure et d'autres questions techniques auxquelles AFRINIC est confronté. Encore une fois, la structure n'est pas l'action. La question importante est de savoir si ce comité avait un rôle défini dans l'affaire d'allocation suspecte ou si le comité d'audit en a conservé la propriété. Une double propriété sans un seul responsable d'incident peut ralentir les décisions.

Un détail en dehors de l'élément de fraude éclaire la capacité de contrôle du conseil. Les mêmes procès-verbaux spécifiaient soigneusement les combinaisons de signatures bancaires et nommaient les rôles d'accès à la banque en ligne après une transition de leadership. Les administrateurs comprenaient que l'autorité financière nécessitait une révocation explicite, une attribution, un rôle et des seuils.

Une précision comparable aurait dû être appliquée aux comptes privilégiés du registre: révoquer l'accès antérieur, nommer les rôles autorisés, exiger un double contrôle pour les modifications à haut risque et définir des seuils pour l'examen du conseil ou de la direction.

Le contraste n'est pas une preuve que l'accès au registre a été ignoré. C'est un point de référence de gouvernance tiré de la propre pratique du conseil. Ce qui était explicite pour l'argent aurait dû être au moins aussi explicite pour l'autorité de modifier des enregistrements de ressources rares.

Septembre à décembre: enquête et divulgation avancent sur des horloges différentes

MyBroadband a publié sa première grande enquête le 1er septembre. La couverture publique a élargi l'audience et a donné au conseil un nouveau risque: les membres et les organisations affectées pouvaient désormais comparer les allégations avec le silence d'AFRINIC. Le conseil devait équilibrer l'intégrité de l'enquête, l'équité envers les employés, les contraintes légales et le besoin des membres de protéger leurs ressources.

Le 26 septembre, AFRINIC a honoré publiquement des employés de longue date, dont Ernest Byaruhanga. La reconnaissance n'établit pas ce que le directeur général par intérim ou l'équipe de communication savait. Cela montre qu'un processus de personnel public pouvait continuer alors que les procès-verbaux du conseil avaient déjà enregistré une allocation suspecte et une enquête urgente. Une structure d'incident coordonnée devrait décider si les approbations publiques de personnes dans le périmètre sont suspendues, non pas comme punition, mais pour éviter des signaux institutionnels contradictoires.

Le dossier public s'accélère ensuite. Des reportages plus approfondis début décembre ont nommé Byaruhanga et connecté des enregistrements historiques, des sociétés et des transactions. AFRINIC indique qu'APNIC a soumis ses conclusions en décembre. L'affaire a été signalée à la police mauricienne le 10 décembre. AFRINIC a ensuite indiqué qu'une audience disciplinaire avait eu lieu le 13 décembre et que la direction avait licencié Byaruhanga avec effet immédiat. Le conseil a publié sa large mise à jour le 16 décembre.

Cette mise à jour indiquait que le conseil avait initié des enquêtes dès qu'il avait eu connaissance de l'affaire, qu'APNIC avait confirmé certaines allégations et que le directeur général était chargé de limiter l'accès, d'empêcher la manipulation et de suspendre ou révoquer l'accès des parties impliquées ou suspectées. Elle indiquait également que l'ancien directeur général avait d'abord informé le conseil après sa démission. La déclaration est importante car elle attribue le point de connaissance revendiqué par le conseil et décrit le confinement.

C'est aussi un récit de l'institution sous examen. « Dès que » est une conclusion, pas un intervalle mesurable. Les membres ont besoin de dates: avis initial, triage, nomination de l'enquêteur, conservation des preuves, première restriction d'accès, constatation préliminaire, escalade au conseil, référence à la police et avis public. Avec ces dates, l'affirmation peut être évaluée. Sans elles, la vitesse est auto-certifiée.

La divulgation publique est venue après la référence à la police et les conclusions d'APNIC, ce qui peut refléter une prudence légale. Pourtant, une certaine communication peut précéder une conclusion finale. Le registre pourrait dire aux titulaires qu'il examinait des enregistrements suspects, leur demander de vérifier les contacts, augmenter les contrôles de modification et expliquer comment signaler des anomalies sans nommer un employé ni préjuger d'une affaire. L'audit complet ultérieur d'AFRINIC a adopté une communication et une vérification larges. La question est de savoir si un avis limité plus précoce aurait pu réduire l'exposition.

La communication a des coûts. Alerter un initié suspect peut affecter les preuves; des déclarations publiques peuvent déclencher des réclamations opportunistes sur des espaces dormants; des accusations prématurées peuvent nuire aux employés et aux contreparties. Le conseil avait besoin d'un seuil de divulgation documenté, pas d'une transparence automatique. Ce seuil devrait peser la capacité des membres à se protéger, le nombre et le statut des ressources affectées, l'accès continu, le secret de l'enquête et les conseils juridiques.

L'horloge connaissance-action

La responsabilité du conseil devrait être évaluée à travers une horloge à cinq aiguilles. La première marque l'avis: quand un signal crédible a-t-il atteint la direction, le président, le comité d'audit et le conseil complet? La deuxième marque la classification: quand l'affaire est-elle devenue un incident de risque d'initié plutôt qu'une simple divergence d'allocation? La troisième marque le confinement: quand les preuves et les systèmes privilégiés ont-ils été protégés? La quatrième marque l'escalade: quand les enquêteurs indépendants, la police et les titulaires affectés sont-ils entrés dans la réponse?

La cinquième marque la remédiation: quand le conseil a-t-il vérifié que les contrôles et les enregistrements étaient corrigés?

Différents seuils de preuve s'appliquent à chaque aiguille. Une seule anomalie peut justifier une conservation et un examen discret, mais pas une accusation publique. Plusieurs modifications non justifiées liées par un acteur ou une méthode peuvent justifier un double contrôle et une enquête externe. Une constatation crédible d'utilisation intentionnelle abusive peut justifier une suspension et une référence à la police. Une correction finale des ressources peut nécessiter une procédure spécifique au titulaire. Le conseil n'avait pas besoin d'une preuve complète avant chaque action protectrice.

Ce cadre empêche également le recul. Les administrateurs en mars pouvaient ne pas savoir ce qu'AFRINIC a conclu en 2021. Ils devraient être jugés sur les informations disponibles à chaque date et si leur réponse était proportionnée. Une constatation ultérieure importante ne peut pas rendre rétroactivement évident un signal ambigu précoce. Elle peut révéler que le processus de triage de l'institution était trop faible pour découvrir ce que signifiait le signal.

L'horloge doit inclure la direction. Le conseil supervise; les dirigeants opèrent. Le directeur général ou le directeur général par intérim peut avoir l'autorité de restreindre l'accès, de conserver les journaux et d'assigner le personnel sans attendre une résolution formelle. Les administrateurs deviennent responsables lorsqu'ils ne définissent pas l'autorité, n'exigent pas de rapports, tolèrent les retards ou acceptent des assurances sans preuve. La direction devient responsable lorsqu'elle cache des faits matériels, retarde le confinement ou n'exécute pas les décisions du conseil.

Le comité d'audit occupe le pont. Il devrait recevoir les constatations de l'auditeur interne directement, tester la réponse de la direction et dire au conseil ce qui reste non résolu. Il ne peut pas remplacer la gestion des incidents, et la charte indique qu'il ne devrait pas assumer des fonctions de gestion. Il peut s'assurer que les personnes gérant l'incident ne certifient pas également son succès.

Ce que contiendrait un dossier de conseil suffisant

Un dossier confidentiel défendable pour mars-décembre 2019 commencerait par un journal d'avis daté. Chaque avertissement identifierait la source, les préfixes affectés, le mécanisme allégué, l'évaluation de crédibilité et les destinataires. Il montrerait quand des rapports séparés ont été liés et quand la question a été élevée d'un différend de bloc à un motif possiblement facilité par le personnel.

La section suivante enregistrerait les décisions de protection. Elle listerait les systèmes et gardiens conservés, les journaux copiés, les rotations d'identifiants, les changements de privilèges, les exigences de double approbation, les règles de surveillance et les arrangements de continuité. Elle expliquerait pourquoi une suspension complète a été ordonnée ou non à chaque étape. Les noms sensibles pourraient rester scellés tandis que la décision et la date resteraient vérifiables.

Le mandat d'enquête identifierait le périmètre, l'indépendance, l'accès, la ligne hiérarchique et les obligations de rapport intérimaire. Il distinguerait le rôle de l'auditeur interne du travail technique du registre sœur et de l'enquête policière. Il préserverait les désaccords sur le périmètre plutôt que de les aplatir en une seule conclusion institutionnelle.

Le dossier du conseil contiendrait un tableau d'exposition pondéré par adresse: blocs de pool, enregistrements hérités, statut actuel, utilisation actuelle, contact du titulaire, différend légal, acteur suspecté et risque de changement immédiat. Il ne supposerait pas que le routage prouve le droit. Il aiderait les administrateurs à décider où un verrou protège le registre et où une action brutale menace des réseaux innocents.

Le document de communication fixerait des seuils pour l'avis au personnel, l'avis aux membres, la déclaration publique, la référence aux forces de l'ordre et la notification des titulaires historiques nommés. Il enregistrerait les contraintes légales sans utiliser les conseils juridiques comme explication générale du silence. Confidentialité et transparence sont des décisions à équilibrer, pas des slogans.

Enfin, le dossier de clôture suivrait chaque recommandation. Une politique approuvée n'est pas un contrôle opérant. Un identifiant révoqué n'est pas un enregistrement restauré. Un audit terminé n'est pas une constatation remédiée. Les administrateurs devraient recevoir des preuves que des examens d'accès ont eu lieu, que les écarts ont été rapprochés, que les fichiers affectés ont été jugés par des processus appropriés et que des tests répétés n'ont trouvé aucune modification non justifiée similaire.

Si AFRINIC détient de tels dossiers, les procès-verbaux publics sous-estiment une réponse plus forte. Si ce n'est pas le cas, le problème du conseil s'étend au-delà de la divulgation: la mémoire institutionnelle est trop faible pour soutenir la responsabilité.

Les membres étaient un donneur d'ordre, pas un public

Les membres d'AFRINIC n'étaient pas simplement des lecteurs attendant un communiqué de presse. Ils finançaient l'institution, élisaient les administrateurs via les structures applicables et comptaient sur la représentation par le registre de la garde des ressources numériques. Certains possédaient également des informations que le conseil n'avait pas: documents d'allocation historiques, anciens contacts, fusions, arrangements de routage actuels et tentatives de tiers de prendre le contrôle. Une stratégie de divulgation qui traitait les membres uniquement comme un public de réputation gaspillerait une source distribuée de vérification.

La participation des membres nécessitait une conception. Une alarme générale pourrait inviter des réclamations spéculatives sur des espaces dormants. Nommer des blocs suspects trop tôt pourrait perturber des réseaux ou compromettre des preuves. Le silence, cependant, laissait les véritables titulaires incapables de vérifier si leurs contacts et mainteneurs avaient changé.

Le conseil aurait pu utiliser un avis gradué: d'abord contacter les titulaires via des canaux préalablement vérifiés; ensuite demander à tous les membres de revoir un relevé sécurisé des ressources et des contacts autorisés; puis publier des catégories agrégées et une voie protégée de signalement d'anomalie.

La réponse à un rapport aurait dû être traçable. Un membre disant « ce bloc est à nous » n'est pas une preuve, mais ce n'est pas non plus du bruit. Le personnel devrait enregistrer l'affirmation, conserver le matériel de soutien, le comparer avec les enregistrements historiques et indiquer si l'affaire est en attente, rejetée ou escaladée. Les rapports impliquant un membre du personnel, un domaine de contact répété ou une contrepartie commune devraient être joints par le personnel d'assurance en dehors de la file d'attente de service ordinaire.

Les procès-verbaux du conseil devraient enregistrer la politique pour cet engagement même si les cas individuels restent confidentiels. Combien de titulaires ont été contactés? Combien ont répondu? Combien ont contesté un changement? Quelle était l'ancienneté des cas non résolus? Quel volume d'adresses représentaient-ils? Ces mesures permettraient aux membres de juger des progrès sans exposer des preuves ni préjuger du titre.

La responsabilité envers les membres signifie également expliquer les limites de la connaissance du conseil. Une déclaration intérimaire honnête peut dire que le périmètre est incertain, qu'un examen indépendant est en cours, que des contrôles spécifiés ont été renforcés et que les titulaires existants devraient vérifier leurs enregistrements. Une telle déclaration est plus forte qu'une déclaration selon laquelle tout est contenu, car elle invite à la correction tout en préservant l'incertitude.

La résolution du conseil de 2015 visant à publier les procès-verbaux reflétait un principe similaire: les membres ont besoin de visibilité sur la manière dont l'autorité est exercée. La crise de 2019 exigeait que ce principe atteigne les opérations. Les élections et les réunions annuelles sont de faibles dispositifs de responsabilité si les membres apprennent une menace contre le registre seulement après que les journalistes nomment l'acteur présumé.

La continuité faisait partie du confinement, pas une raison de le retarder

Les administrateurs confrontés à des allocations suspectes devaient protéger deux choses à la fois: l'intégrité du registre et la continuité des services du registre. Un confinement mal conçu peut nuire aux titulaires légitimes. Désactiver un employé senior sans transfert de connaissances peut retarder des demandes urgentes. Verrouiller un bloc contesté peut empêcher une organisation légitime de corriger des contacts d'abus. Inverser le WHOIS immédiatement peut créer une nouvelle déclaration fausse. Supprimer des objets liés au routage ou des certificats peut avoir des effets au-delà du bureau.

Ces risques plaident pour un confinement préparé, pas une exposition continue. Le conseil avait déjà mis l'accent sur un plan de continuité des activités consolidé en août 2018, et le plan d'audit interne d'avril 2019 incluait la continuité. La réponse à l'allocation suspecte aurait dû tester si les tâches critiques des services d'enregistrement avaient des substituts formés, si les identifiants privilégiés pouvaient être tournés sans interruption, et si les modifications à haut risque pouvaient passer à un double contrôle tandis que le service ordinaire continuait.

Un plan de continuité pour le risque d'initié diffère d'un plan pour un incendie ou une panne d'équipement. La personne menacée peut détenir des connaissances uniques, comprendre la surveillance et conserver une autorité sociale sur ses collègues. Le matériel de passation ne peut être accepté sans vérification indépendante. Les identifiants de récupération doivent être en dehors de la même ligne hiérarchique. Les journaux doivent être copiés vers un emplacement que le sujet ne peut pas modifier. Le personnel chargé de reprendre le travail a besoin d'une voie protégée pour signaler des incohérences.

Les remèdes au niveau des blocs ont également besoin d'une classification de continuité. Une modification suspecte d'un pool non alloué sans dépendance légitime active peut être mise en quarantaine rapidement. Un bloc hérité utilisé par un hôpital, un opérateur de réseau ou une institution publique peut nécessiter un verrou sur les modifications administratives tandis que le routage et les services restent stables. Un bloc avec des demandeurs commerciaux concurrents peut nécessiter un avis et une mise en attente neutre. Le conseil devrait approuver des principes; le personnel qualifié et les conseillers devraient les appliquer aux preuves.

Le silence des procès-verbaux sur ces détails ne peut établir qu'ils ont été ignorés. Il identifie ce que les documents justificatifs devraient contenir. Si les administrateurs ont retardé des restrictions d'accès parce qu'un employé était indispensable sur le plan opérationnel, cette dépendance était elle-même une constatation de contrôle matérielle. S'ils ont imposé des restrictions avec succès sans dégradation de service, la preuve montrerait que confinement et continuité étaient compatibles.

Le risque judiciaire renforce la même conclusion. Une fois que des enregistrements ont été utilisés par des acheteurs, des réseaux ou des titulaires historiques, la correction peut générer des injonctions et des demandes de dommages. Un dossier de décision contemporain montrant la conservation, l'avis, la proportionnalité et l'examen donne à l'institution une position plus forte qu'une affirmation rétrospective abrupte. La discipline de gouvernance avant le contentieux fait partie de la continuité car elle réduit la probabilité qu'un tribunal doive gérer les opérations du registre par des ordonnances d'urgence.

La responsabilité du conseil n'était donc pas de choisir entre arrêter les abus présumés et maintenir AFRINIC en fonctionnement. C'était de s'assurer que l'institution pouvait faire les deux. Un registre qui ne peut continuer que tant qu'un suspect conserve un large accès a déjà subi un échec de continuité, avant même qu'un système ne se déconnecte.

Un verdict équitable est conditionnel mais pas vide

Le matériel public ne permet pas de dire que les administrateurs d'AFRINIC savaient tout au long de 2015-18 qu'un employé détournait des adresses. Il montre qu'ils savaient que l'organisation avait besoin d'une capacité d'audit plus forte, d'un contrôle interne, de signalement et de dispositions de continuité. Ces préoccupations générales auraient dû façonner la supervision basée sur les risques des services d'enregistrement.

Le dossier devient plus spécifique en 2019. La date exacte de l'avis initial au conseil reste incohérente entre les récits ultérieurs. Cependant, au 23 août, il n'y a aucune ambiguïté dans les procès-verbaux publics: les administrateurs ont débattu de l'allocation IP suspecte, reconnu l'urgence et sollicité des rapports et une expertise externe. À partir de ce point, leur responsabilité peut être testée par rapport à des actions protectrices concrètes.

Les procès-verbaux démontrent une enquête. Ils ne démontrent pas publiquement le timing du confinement. La mise à jour de décembre décrit des instructions de confinement mais ne date pas leur première exécution. La période entre la connaissance spécifique du conseil et la restriction d'accès vérifiée est donc la question de gouvernance centrale non résolue.

Le conseil mérite également du crédit pour avoir obtenu une expertise externe du registre, approuvé une politique de fraude, utilisé le comité d'audit et finalement référé l'affaire à la police. Le crédit ne met pas fin à l'examen. Une enquête qui confirme des allégations après des reportages publics peut encore avoir commencé trop lentement, avoir eu un périmètre trop étroit ou manqué de garanties intérimaires. Inversement, une enquête peut être responsable même si la divulgation attend, à condition que l'institution ait contenu le risque et ait eu un seuil de communication justifié.

La norme ne devrait être ni la disculpation par comité ni la condamnation par omission. Elle devrait être documentaire: montrer l'avis, la décision, le responsable, l'échéance et la vérification pour chaque étape matérielle. Là où la confidentialité reste nécessaire, un réviseur indépendant ou un organe autorisé par les membres peut inspecter le dossier complet et publier des constatations limitées.

La leçon écrite entre les lignes

Les procès-verbaux d'AFRINIC avant la divulgation montrent une organisation construisant une machinerie de gouvernance tandis que des risques sérieux traversaient sa fonction centrale. Les chartes se sont élargies. Un auditeur interne a été recruté. Les services d'enregistrement sont entrés dans le plan. Une politique de fraude a été approuvée. Une enquête technique indépendante a commencé. Le conseil a finalement débattu explicitement des allocations suspectes.

Le scandale expose la distance entre ces noms institutionnels et les verbes qui comptent. L'auditeur a-t-il testé? Le comité a-t-il escaladé? La direction a-t-elle révoqué? Le conseil a-t-il vérifié? Les membres ont-ils reçu suffisamment d'avis pour protéger leurs réclamations? La remédiation a-t-elle fermé le chemin exact qui avait échoué?

Les procès-verbaux peuvent identifier quand ces questions sont devenues inévitables. Ils ne peuvent pas toutes y répondre. C'est pourquoi la demande appropriée n'est pas un récit plus flatteur ou plus accusateur. C'est une chronologie connaissance-action complète, soutenue par des enregistrements primaires et mesurée par rapport aux obligations de continuité d'un registre Internet régional.

Un conseil n'a pas besoin de prédire chaque acte malhonnête. Il doit construire un système dans lequel un avertissement concernant le registre faisant autorité ne peut pas rester simplement un point à l'ordre du jour. Dès que le soupçon est devenu spécifique, l'horloge a commencé. La responsabilité est l'enregistrement de ce qui s'est passé avant qu'elle ne s'épuise.

Sources et limites analytiques

L'analyse utilise lesprocès-verbaux du conseil d'AFRINIC d'août 2018publiés, lacharte du comité d'audit de janvier 2019, lesprocès-verbaux du conseil d'avril 2019, lesprocès-verbaux du conseil du 23 août 2019et lamise à jour du conseil du 16 décembre 2019. Les archives antérieures du conseil et les conclusions ultérieures de l'audit d'AFRINIC fournissent un contexte mais ne remplacent pas le dossier contemporain.

L'article ne suppose pas que les procès-verbaux publics reproduisent chaque discussion ou action confidentielle. Il ne confond pas l'enquête antérieure sur le personnel d'AFRINIC avec l'affaire ultérieure des adresses. Il ne détermine pas la responsabilité individuelle, le gardien légitime d'un préfixe ou la légalité d'une transaction contestée. Là où les récits ultérieurs d'AFRINIC et la chronologie médiatique diffèrent sur le moment où le conseil a eu connaissance des changements suspects, la différence est indiquée plutôt que résolue sans preuve primaire.