Résumé

  • La résilience institutionnelle ne peut être déduite de la disponibilité ou des réserves seules; elle doit être testée à travers l'autorité légale, la légitimité de la gouvernance, l'intégrité des données, les finances, la confiance cryptographique et la dépendance à l'opérateur.
  • L'ensemble de scénarios de base devrait combiner des élections contestées, l'insolvabilité, les sanctions et les perturbations de paiement, une cyberattaque coordonnée, une migration de l'ancrage de confiance RPKI et une vague de transferts contestés ou interrégionaux.
  • Les exercices doivent progresser de tests de décision documentés à des répétitions fonctionnelles, un service miroir, un basculement contrôlé et une simulation interinstitutionnelle complète sans risquer le contrôle en direct des ressources.
  • Les conditions de réussite doivent mesurer la préservation des enregistrements faisant autorité, les droits de décision légaux, la restauration des services, l'accès des titulaires, l'équivalence de la sécurité de routage, la capacité de correction, l'autonomie régionale et le retour sûr du contrôle.
  • Les opérateurs d'urgence devraient recevoir les pouvoirs temporaires minimaux nécessaires à la continuité, avec des interdictions explicites de changement de politique, de réallocation discrétionnaire et de conservation indéfinie de l'autorité.
  • Les opérateurs doivent participer en tant que validateurs actifs car un registre peut croire qu'un service est rétabli tandis que les parties prenantes, l'automatisation, les annuaires et les systèmes de sécurité de routage observent encore un état incohérent.
  • Les rapports publics doivent divulguer les hypothèses, le périmètre testé, les échecs, les preuves, les responsables de la correction et les dates de nouveau test tout en protégeant les identifiants, les dossiers personnels et les détails de sécurité exploitables.
  • La NRS peut organiser la discussion, recueillir les comptes et soumissions autorisés des membres, et publier des comparaisons des résultats d'exercices divulgués. Elle ne peut pas contrôler l'exercice, fournir l'autorité de conformité, détenir des preuves opérationnelles protégées ou remplacer les RIR, les services IANA, les opérateurs d'urgence et les examinateurs indépendants responsables de l'exécution.

Une décennie est la bonne échelle de sérieux

Un seul exercice annuel est trop court pour révéler la perte de mémoire institutionnelle, le renouvellement des fournisseurs, le remplacement cryptographique, les changements de conseil et la dérive juridique. Dix ans est assez long pour que les cadres supérieurs partent, les contrats expirent, les systèmes soient remplacés, les conflits politiques se répètent et la documentation d'urgence devienne obsolète. C'est aussi assez court pour assigner des jalons, des budgets et des responsabilités publiques dès maintenant.

Le programme devrait fonctionner comme une séquence, pas comme dix répétitions de la même table ronde. Les premières années établissent les inventaires, les cartes d'autorité et les objectifs de récupération mesurables. Les années intermédiaires testent la substitution fonctionnelle et la coordination interrégionale. Les années ultérieures combinent les échecs et exigent que des équipes indépendantes se rétablissent à partir d'informations incomplètes ou trompeuses. Chaque étape doit incorporer les leçons des incidents réels et les changements dans la loi ou les normes.

Le but n'est pas de créer du drame. Un test doit être sévère mais plausible. Les règles électorales peuvent produire des résultats contestés. Les institutions à but non lucratif peuvent faire face à des chocs de revenus, des litiges ou l'insolvabilité. Les sanctions peuvent restreindre les services, les opérations bancaires et les contreparties. Des attaquants sophistiqués peuvent cibler simultanément l'identité, l'authentification, l'enregistrement et les systèmes de publication. Les clés d'ancrage de confiance nécessitent éventuellement une migration car le matériel et les algorithmes ne durent pas éternellement.

La rareté et la restructuration d'entreprise peuvent créer des vagues de transferts. Aucune de ces conditions n'est spéculative.

La version révisée duprojet de document de gouvernance des RIRaccorde une attention explicite à la continuité d'urgence, à un opérateur d'urgence, à la passation et à l'examen post-événement. L'évaluation préliminaire de la mise en œuvredu NRO identifie le besoin de dispositions techniques, administratives et juridiques pour un opérateur d'urgence et une passation stable. Ce sont des engagements institutionnels importants. Un test de résistance demande s'ils peuvent être exécutés avec des inventaires, des autorités, du personnel, des contrats, des identifiants et des échéances réels.

Définir le système avant d'essayer de le briser

Le système testé est plus vaste qu'un seul registre. En son centre se trouvent des enregistrements faisant autorité liant les ressources numériques à des titulaires reconnus. Autour d'eux se trouvent l'identité des membres et titulaires, les contrats, la facturation, l'examen des transferts, les services d'annuaire public, le DNS inverse, la certification et publication RPKI, le soutien politique, les élections, le traitement des litiges, les preuves d'audit, les communications et la coordination face à l'IANA. Les opérateurs consomment l'état résultant via des systèmes humains et automatisés.

Chaque institution participante devrait commencer par une carte des services et de l'autorité. Pour chaque fonction critique, la carte identifie la source juridique de l'autorité, le propriétaire de la décision, le propriétaire opérationnel, le stockage de données, la dépendance d'authentification, le fournisseur critique, l'institution amont et aval, l'interruption maximale toérable, l'intervalle acceptable de perte de données et le substitut autorisé. Elle doit également identifier les pouvoirs qui ne peuvent être délégués en vertu de la loi ou des documents constitutifs en vigueur.

La carte doit distinguer la continuité de service de la continuité de gouvernance. Une équipe d'urgence peut être capable de maintenir un service RDAP en ligne sans avoir l'autorité d'approuver des transferts. Elle peut préserver la publication RPKI sans être habilitée à émettre de nouveaux certificats de ressources. Elle peut percevoir les cotisations des membres sans pouvoir modifier le barème. Un test de résistance échoue si l'accès technique est confondu avec un pouvoir légal.

L'inventaire doit classer les fonctions en quatre niveaux de récupération. Le niveau un comprend la préservation des données faisant autorité, l'accès en lecture seule à l'annuaire, la continuité du dépôt RPKI, la surveillance de la sécurité et la communication d'incidents. Le niveau deux comprend l'authentification des titulaires, la correction des enregistrements, les changements urgents de sécurité de routage et les mesures conservatoires ordonnées par un tribunal. Le niveau trois comprend l'allocation de routine, les transferts, la facturation et le soutien politique.

Le niveau quatre comprend les événements, la formation, la recherche et les projets discrétionnaires. Les institutions locales peuvent ajuster l'ordre, mais chaque écart doit avoir une raison.

Cette priorisation évite une erreur courante dans les exercices: déclarer le succès parce que les sites web visibles reviennent alors que les fonctions qui établissent l'autorité restent indisponibles. Elle empêche également que les pouvoirs d'urgence ne soient étendus simplement parce que les affaires courantes sont gênantes. La continuité est la préservation des droits essentiels et des enregistrements dans des conditions contraintes, pas la recréation de chaque service dès le premier jour.

La méthode de résolution nécessite des phases fixes

Chaque scénario doit être résolu en six phases observables. La première est la détection: quand l'institution a-t-elle su, et quelles preuves ont franchi le seuil? La deuxième est la classification: quels services, autorités, populations et dépendances externes sont touchés? La troisième est le confinement: quelles actions préservent les preuves et empêchent les modifications non autorisées? La quatrième est la continuité: quel dispositif temporaire de service est activé, par qui et sous quelles limites? La cinquième est la récupération: comment l'état faisant autorité, l'accès des titulaires et les services dépendants sont-ils réconciliés?

La sixième est le retour: comment l'autorité temporaire prend-elle fin, et comment la décision est-elle examinée?

Chaque phase nécessite un enregistrement de décision. L'enregistrement doit identifier les preuves disponibles à ce moment, le décideur autorisé, la base juridique, les dissensions, les services concernés, la condition d'expiration et le prochain point d'examen. Les exercices doivent délibérément écarter un décideur attendu pour tester la succession. Ils doivent également introduire des preuves contradictoires afin que les entités distinguent l'urgence de la certitude.

Les conditions de réussite doivent être écrites avant que les détails du scénario ne soient révélés. Elles incluent le temps maximum pour reconnaître l'événement, geler les changements dangereux, établir un instantané faisant autorité, notifier les institutions dépendantes, activer un substitut légal, restaurer les services priorisés et réconcilier l'état aval. Elles incluent également des conditions qualitatives: pas d'allocation non autorisée, pas de perte silencieuse des droits d'examen, pas d'utilisation de l'autorité d'urgence pour modifier la politique, pas de destruction de preuves et pas de contrôle temporaire indéfini.

La résolution doit être réversible lorsque c'est possible. Une restriction temporaire peut être levée. Un service en lecture seule peut revenir en mode transactionnel après réconciliation. Un opérateur d'urgence peut rendre l'autorité à une institution régionale restaurée. Les actions irréversibles, telles que la révocation de ressources ou la destruction d'ancrage de confiance, nécessitent une approbation et des preuves plus solides. Les tests doivent pénaliser les décisions rapides mais irréversibles qui créent un préjudice à long terme plus important.

Scénario un: une élection ne produit pas d'autorité légitime

Le premier scénario commence par une élection ordinaire du conseil. Les données d'éligibilité sont contestées peu avant la clôture du vote. Un fournisseur signale qu'une erreur de configuration a peut-être exclu certains membres et permis des identifiants en double pour d'autres. La marge apparente est étroite. Le mandat du conseil sortant expire avant qu'un examen indépendant complet ne puisse être terminé. Au même moment, le conseil doit approuver un budget et nommer les signataires de contrats critiques.

Ce scénario teste si la continuité institutionnelle dépend de l'acceptation d'un résultat contesté. Les entités doivent déterminer quel organe peut préserver les opérations, si l'autorité sortante continue temporairement, quelles décisions peuvent être différées, comment les preuves sont sécurisées et comment les membres concernés obtiennent un examen. La bonne réponse variera selon la loi applicable et les statuts. Le test vérifie si la réponse est connue, légale et retenue avant que le litige ne survienne.

Le succès ne signifie pas produire un gagnant rapidement. Il signifie préserver les preuves électorales, empêcher les parties intéressées de contrôler l'enquête, maintenir uniquement l'autorité nécessaire à l'entreprise et compléter un recours crédible. L'institution doit pouvoir réémettre des bulletins ou recommencer une élection sans perdre les opérations du registre. Les administrateurs ou dirigeants temporaires ne doivent pas prendre de décisions irréversibles en matière de politique, de rémunération des dirigeants ou d'actifs, à moins que le retard ne cause un préjudice démontrable.

Le dossier de preuves devrait inclure l'instantané d'éligibilité, les nombres de délivrance d'identifiants, les échecs de livraison, les dénominateurs de participation, la vérification indépendante, le calendrier des contestations, les décisions prises pendant l'intérim et le recours final. Les votes personnels restent secrets. Le résultat public doit révéler si chaque catégorie éligible a reçu un traitement égal et si l'arrangement de continuité a modifié le champ concurrentiel.

Une variante plus difficile combine l'échec électoral avec la désinformation. De fausses notifications circulent sur les dates de vote et le retrait de candidats. L'institution doit authentifier les communications sans accorder aux sortants le contrôle exclusif du récit. Les opérateurs et les membres doivent pouvoir vérifier les avis officiels via plus d'un canal. L'exercice teste la légitimité, pas seulement le logiciel de vote.

Scénario deux: une défaillance financière atteint l'autorité opérationnelle

Le scénario d'insolvabilité ne devrait pas commencer par une déclaration nette que les fonds sont épuisés. Il devrait commencer par des signaux de détérioration: revenus concentrés, retards de paiement des membres, frais de litige, perte de change, un fournisseur exigeant un paiement anticipé et un auditeur remettant en question l'hypothèse de continuité d'exploitation. La direction croit qu'un rétablissement est possible. Le conseil craint que la divulgation n'accélère l'échec.

Les entités doivent décider quand un stress financier devient un événement de continuité, ce qui doit être divulgué et quelles dépenses reçoivent la priorité. La masse salariale pour les opérations critiques, la sécurité, l'assurance, les installations, la conservation des données, les obligations juridiques et les fournisseurs essentiels concurrencent les programmes ordinaires. Le test devrait inclure un gel du compte bancaire ou un retrait du prestataire de paiement afin que les réserves nominales ne puissent pas être automatiquement dépensées.

Le NRO publie leFonds commun de stabilité des RIRcomme un engagement collectif de soutien d'urgence. Sa page actuelle enregistre des contributions volontaires provenant des réserves des RIR, une demande formelle documentée par le conseil du RIR concerné, une approbation unanime du Conseil exécutif du NRO et des contributions faites uniquement en cas de besoin plutôt qu'un compte mutualisé préfinancé. Un exercice crédible devrait tester les conditions d'accès, le délai, la devise, la gouvernance, les conditions de remboursement ou de subvention, et les preuves dont les autres RIR ont besoin avant de débloquer le soutien. Un engagement qui nécessite une demande formelle du conseil pourrait arriver trop tard si l'institution concernée a déjà perdu la capacité de faire cette demande.

Le scénario doit également tester les limites des tribunaux et des créanciers. Les données d'enregistrement, les clés cryptographiques, les domaines, l'équipement et les créances peuvent être traités différemment selon le droit local. Les entités doivent savoir quels actifs peuvent être transférés, concédés sous licence ou protégés, et lesquels nécessitent une approbation judiciaire. Ils doivent vérifier si un praticien de l'insolvabilité comprend que les enregistrements faisant autorité des ressources numériques ne sont pas des stocks ordinaires vendables.

Les conditions de réussite incluent la préservation ininterrompue des enregistrements faisant autorité, aucune mise en gage ou vente de contrôle excédant l'autorité institutionnelle, la poursuite des services prioritaires, l'utilisation documentée des réserves, l'activation d'une assistance légale et une voie crédible vers la réhabilitation ou l'exploitation intérimaire. La confiance du public ne peut pas dépendre de cacher le problème jusqu'à épuisement de la trésorerie.

Scénario trois: les sanctions fragmentent le droit, les paiements et les services

Les sanctions sont un test de résistance particulièrement utile car elles combinent incertitude juridique, risque d'identité, dépendance bancaire et pression politique. Lerapport sur les sanctions du RIPE NCC du deuxième trimestre 2026explique que les sanctions applicables de l'UE peuvent geler les modifications d'enregistrement sans désenregistrer les ressources ni mettre fin à l'adhésion, tandis que les contraintes de paiement peuvent également provenir du traitement par les banques d'autres listes de sanctions. Cette distinction entre enregistrement, utilisation, service et paiement est exactement ce qu'un exercice doit préserver.

Le scénario devrait introduire un nouveau régime qui peut s'appliquer à un membre par contrôle indirect. Un filtrage produit une correspondance possible mais non confirmée. Une banque rejette les paiements de plusieurs membres non liés dans la même juridiction. Un tribunal d'un autre pays ordonne la poursuite du service, tandis qu'un régulateur du pays où le registre est constitué menace de sanctions. Le titulaire concerné demande un changement urgent d'autorisation d'origine de route après un incident de routage.

Les entités doivent séparer les faits des interprétations juridiques. Ils doivent établir qui peut décider qu'une correspondance est confirmée, quels services sont gelés, quels changements de sécurité restent autorisés, comment les faux positifs sont corrigés et comment les membres dans des situations similaires sont traités. Ils doivent enregistrer l'heure effective de chaque restriction et préserver une voie d'examen.

L'exercice devrait tester la publication de rapports publics agrégés sans exposer l'identité privée ni les conseils juridiques. Il devrait également tester des alternatives de paiement conformes à la loi applicable. Un membre qui ne peut pas payer parce que la banque du registre refuse une transaction légale ne doit pas être traité automatiquement comme un membre en défaut qui choisit de ne pas payer. L'institution a besoin d'une distinction documentée et d'un moyen de préserver la continuité pendant que l'incertitude est résolue.

Les conditions de réussite incluent une escalade juridique en temps opportun, aucun désenregistrement non autorisé, un traitement défini des changements de sécurité urgents, une correction des faux positifs fondée sur des preuves, des restrictions cohérentes et un retour réversible au service ordinaire. Une décision politiquement populaire qui viole les obligations juridiques de l'institution est un échec; tout comme une prudence juridique qui empêche les opérateurs de protéger le routage sans examen motivé.

Scénario quatre: cyberattaque coordonnée contre l'autorité

Le scénario cybernétique devrait cibler la confiance plutôt que la seule disponibilité. Les attaquants compromettent un compte de support, modifient certains enregistrements de contact des titulaires, obtiennent une session valide pour un administrateur et publient un avis fabriqué prétendant que les données du registre ont été corrompues. Au même moment, un trafic de déni de service affecte les requêtes d'annuaire et un point de publication RPKI. Des sauvegardes existent, mais leur test de restauration le plus récent n'incluait pas tous les services aval.

L'institution doit déterminer quel état est faisant autorité. Elle doit préserver les journaux, révoquer les accès, geler les modifications à haut risque, établir un instantané de confiance et communiquer l'incertitude sans inviter à des hypothèses dangereuses. Un site web public propre n'est pas l'objectif. L'objectif est une chaîne défendable allant des preuves à l'autorité restaurée.

Les exercices devraient inclure des variantes de risque interne et de fournisseur. Un employé privilégié peut être indisponible ou suspecté. Un fournisseur d'identité peut être compromis. Un fournisseur de cloud peut restaurer l'infrastructure mais pas l'ordre précis des événements nécessaire pour identifier les modifications non autorisées. Les entités doivent être contraints d'utiliser des preuves indépendantes telles que des enregistrements signés, des journaux répliqués, des observations externes et la confirmation du titulaire.

La réponse technique doit rester liée aux droits. Si tous les transferts sont gelés, les titulaires doivent connaître la base, le délai d'examen prévu et la voie d'exception urgente. Si les identifiants sont réinitialisés, les organisations dont les contacts sont partis ont besoin d'une voie de récupération robuste. Si les données d'annuaire sont restaurées à partir d'un instantané antérieur, les corrections effectuées après ce point doivent être rejouées et vérifiées plutôt que perdues silencieusement.

Les conditions de réussite incluent une perte de données limitée, une identification complète des enregistrements modifiés, une validation indépendante de l'instantané restauré, la récupération des services de niveau un, une réauthentification sûre des titulaires, une réconciliation de l'état RPKI et d'annuaire, et un compte rendu public après que le risque de sécurité immédiat est passé. L'exercice devrait mesurer le temps au 95e centile pour que les titulaires concernés retrouvent un accès sûr, pas seulement le moment où les administrateurs peuvent se connecter.

Scénario cinq: migration de la clé d'ancrage de confiance sous adoption inégale

La continuité cryptographique est institutionnelle car un registre ne contrôle pas toutes les parties prenantes. LeRFC 9691définit un objet de clé d'ancrage de confiance signé qui peut signaler une clé publique actuelle et successeur, et prendre en charge le remplacement planifié de l'ancrage de confiance RPKI. Il utilise une période d'acceptation pour que les parties prenantes puissent observer et valider le successeur avant de basculer. La norme reconnaît également que certaines parties prenantes peuvent ne pas prendre en charge la transition automatique et peuvent continuer à utiliser d'anciennes informations de confiance.

Le scénario commence par un remplacement planifié d'un module de sécurité matériel. L'ancienne clé privée ne peut pas être exportée vers le nouveau périphérique. L'institution a préparé une clé successeur, mais les mesures montrent un soutien inégal parmi les implémentations des parties prenantes. Pendant la période d'acceptation, une annonce de vulnérabilité raccourcit la durée de vie sûre de l'ancien dispositif. Un incident de service distinct crée un contenu de dépôt incohérent pour un petit sous-ensemble de validateurs.

Les entités doivent décider s'il faut continuer, mettre en pause ou redémarrer la migration. Ils ont besoin de preuves que les anciens et nouveaux chemins de confiance produisent des résultats validés équivalents. Ils doivent coordonner avec les mainteneurs de logiciels et les opérateurs sans permettre que des messages non vérifiés deviennent une nouvelle racine de confiance. Ils doivent conserver l'ancienne clé assez longtemps pour la continuité tout en limitant l'exposition due au matériel vulnérable.

L'exercice devrait exécuter une vérification réelle contre des dépôts de test isolés et des versions représentatives de parties prenantes. Il devrait mesurer l'adoption, les échecs de récupération, la validation incohérente, les données de confiance obsolètes et la réponse des opérateurs. Il devrait inclure une organisation qui épine délibérément d'anciennes informations de confiance et une autre qui ne met à jour que via des versions logicielles. Le résultat ne peut pas être jugé uniquement à partir du validateur du registre.

Les conditions de réussite incluent une couverture équivalente des ressources sous les deux clés, une acceptation réussie par les validateurs pris en charge, une voie documentée pour la transition manuelle, un avis public authentifié, un retour en arrière avant la retraite destructive de la clé et un calendrier fondé sur des preuves pour la suppression de l'ancienne clé. Le test devrait échouer si une catégorie significative d'opérateurs devient aveugle à un arbre de certification régional entier sans détection.

Scénario six: transfert massif après un choc d'entreprise et de marché

Le scénario de transfert commence par l'insolvabilité d'un grand groupe d'infrastructure détenant des ressources via de nombreuses filiales dans plusieurs régions. Les tribunaux autorisent des ventes dans différentes juridictions. Certains transferts sont des successions d'entreprises, certains sont des ventes d'actifs, certains sont contestés par les créanciers et certains impliquent des acheteurs détenant déjà un espace d'adressage substantiel. Les courtiers soumettent des documents qui se chevauchent. Une partie des ressources possède des autorisations d'origine de route actives et des utilisateurs critiques du secteur public.

Le volume résultant devrait dépasser la capacité ordinaire pendant plusieurs mois. Le test vérifie si les institutions peuvent augmenter l'examen sans abandonner les vérifications d'autorité, favoriser les candidats les mieux dotés ou transformer une file d'attente en moratoire caché. Il teste également si les enregistrements interrégionaux se réconcilient lorsqu'une institution approuve une étape et qu'une autre exige des preuves supplémentaires.

Le scénario nécessite un inventaire synthétique mais interne cohérent des entités juridiques, des blocs de ressources, des contrats, des ordonnances judiciaires, des documents historiques, de l'état de certification et des observations de routage. Les équipes doivent recevoir les documents par étapes, y compris des contradictions qui nécessitent une escalade. Elles doivent distinguer le contrôle légal d'une entreprise de l'autorité de transférer un enregistrement de ressource particulier.

La capacité d'urgence ne doit pas signifier un examen d'identité relâché. Les institutions peuvent créer un triage, une vérification partagée des documents, une analyse normalisée des ordonnances judiciaires et des règles de priorité transparentes. Les changements urgents nécessaires pour protéger les réseaux actifs peuvent être séparés du transfert final. Chaque exception doit être enregistrée, limitée dans le temps et révisable.

Les conditions de réussite incluent aucune double disposition, un lien complet entre les enregistrements source et destinataire, la préservation du statut contesté, un retard final limité, des identifiants interrégionaux cohérents, une réconciliation rapide de la certification et un rapport public de la file d'attente. Les effets de concentration doivent être mesurés mais pas utilisés pour inventer une interdiction politique pendant l'événement. Si la politique autorise un transfert, le personnel d'urgence ne doit pas substituer son propre jugement de marché.

Scénario sept: la coordination face à l'IANA devient incertaine

La couche de numérotation mondiale a un ensemble de transactions délibérément étroit, et ses performances publiées sont solides. Lesrapports de performance des ressources numériques de l'IANAmontrent l'accusé de réception, la réponse, la mise en œuvre et la précision par rapport aux objectifs de service, ainsi que la propagation et la disponibilité du DNS inverse. Ce bilan fait de la coordination face à l'IANA un scénario de contrôle approprié: la performance ordinaire est mesurable, donc un écart peut être détecté avec précision.

Le scénario commence par des demandes contradictoires qui semblent provenir de contacts RIR autorisés lors d'un événement de continuité régional. L'une demande un changement de DNS inverse; une autre demande à l'IANA de ne pas agir car l'autorité est contestée. Une troisième institution prétend qu'un arrangement d'urgence a pris effet, mais l'avis d'activation est incomplet. Au même moment, une panne de communication affecte un canal de vérification établi.

L'équipe de l'IANA doit préserver la neutralité tout en décidant quelles preuves sont suffisantes pour accuser réception, conserver, rejeter ou exécuter une demande. La rapidité seule n'est pas un succès. Une instruction exécutée avec précision de la part d'un demandeur non autorisé serait un échec grave. Refuser toutes les demandes indéfiniment transférerait également le risque à la communauté de numérotation. Le test a donc besoin d'une échelle de vérification d'autorité préétablie, de voies de confirmation hors bande et d'un traitement défini des réclamations contradictoires.

Les entités doivent vérifier si les coordonnées d'urgence sont à jour, si les modifications de ces coordonnées nécessitent un double contrôle, et si la base de reconnaissance d'une autorité temporaire peut être auditée ultérieurement. Un service RIR de substitution ne devrait pas obtenir l'autorité face à l'IANA simplement parce qu'il possède techniquement des données copiées. Inversement, un organe d'urgence formellement désigné ne devrait pas être bloqué parce qu'un ancien dirigeant conserve l'accès à un canal de contact obsolète.

L'élément DNS inverse doit utiliser des zones synthétiques et une infrastructure isolée. Les équipes doivent mesurer l'authentification des requêtes, le temps de décision, la précision de la mise en œuvre, la propagation et le retour en arrière. L'élément d'enregistrement doit vérifier si l'état d'allocation faisant autorité reste sans ambiguïté entre l'IANA et tous les entités RIR après l'événement. Aucune allocation ou délégation globale en direct ne doit être mise en danger.

Les conditions de réussite incluent l'identification correcte du demandeur autorisé, la préservation des preuves de réclamations contradictoires, un temps de conservation limité, aucune modification non autorisée du registre mondial, une mise en œuvre précise après résolution et un état aval cohérent. Le rapport public doit divulguer le chemin d'autorité testé et le délai tout en retenant les secrets d'authentification. Ce scénario prouve que la continuité institutionnelle s'étend au-delà des frontières plutôt que de s'arrêter à la porte du bureau régional.

Le test décisif est un scénario composé

Tester chaque choc séparément est nécessaire et insuffisant. En 2033 ou 2034, le programme devrait mener un exercice composé dans lequel la légitimité électorale est contestée, un covenant financier est violé, une mise à jour des sanctions affecte un grand titulaire, des attaquants exploitent la confusion, une transition d'ancrage de confiance est déjà en cours et un cas de transfert massif atteint une échéance judiciaire.

Le scénario ne doit pas simplement ajouter six tâches indépendantes. Les dépendances doivent forcer des choix. Geler tous les changements aide au confinement cybernétique mais peut empêcher une correction nécessaire de clé ou de sécurité de routage. La divulgation publique peut protéger les membres mais aggraver une panique bancaire. Le déblocage des fonds de stabilité peut nécessiter les signatures d'un conseil contesté. L'activation d'un opérateur d'urgence peut préserver les services mais déclencher des restrictions légales sur l'accès transfrontalier aux données.

La prolongation de l'ancienne clé d'ancrage de confiance peut favoriser la compatibilité mais augmenter l'exposition à la sécurité.

Les entités doivent recevoir des informations incomplètes selon des calendriers réalistes. Des contrôleurs indépendants peuvent injecter de nouvelles preuves en fonction des décisions. Si une équipe ne parvient pas à préserver les journaux, l'attribution ultérieure devient impossible. Si elle émet un gel juridique trop large, le préjudice pour les opérateurs augmente. Si elle attend la certitude, la restauration du service ralentit. Le but est d'exposer les compromis, pas de récompenser la décision théâtrale.

Aucune organisation ne devrait contrôler l'ensemble du récit de l'exercice. Des équipes distinctes doivent représenter le RIR concerné, les autres RIR, les services de numérotation de l'IANA, un opérateur d'urgence, les opérateurs, les titulaires de ressources, les auditeurs et les autorités juridiques. La NRS peut participer en tant qu'observateur de plaidoyer ou en tant que représentant d'un membre qui l'a expressément autorisée. La NRS ne doit pas recevoir d'identifiants opérationnels, de droits de décision ou de conservation de preuves protégées. Les limites d'autorité doivent correspondre à des arrangements plausibles.

Les observateurs doivent enregistrer non seulement les décisions, mais aussi les demandes restées sans réponse et les hypothèses que personne n'a vérifiées.

Le succès signifie préserver un état minimum légitime: les enregistrements faisant autorité restent intacts, les modifications dangereuses sont contenues, les services publics critiques continuent, les droits urgents des titulaires peuvent être exercés, la certification reste interprétable, les pouvoirs temporaires restent limités, les preuves survivent et le contrôle régional revient lorsque les critères de restauration sont remplis. Cela ne signifie pas que chaque service de routine atteint des objectifs normaux.

Références, injections et contrôle de l'exercice

Un test de résistance peut être manipulé avant de commencer en choisissant une référence facile. Chaque exercice partagé doit donc commencer par une déclaration d'inventaire signée: nombres d'enregistrements faisant autorité, de titulaires actifs, de dossiers ouverts, de certificats, d'objets d'annuaire, de comptes privilégiés, de contrats critiques et de dépendances de service. Des examinateurs indépendants doivent vérifier des échantillons et enregistrer les défauts connus. Les équipes ne peuvent pas ensuite attribuer chaque incohérence au scénario ou exclure tranquillement une population gênante.

Les injections de scénario doivent être dérivées de risques documentés et de dépendances institutionnelles réelles. Elles peuvent inclure une ordonnance judiciaire, un avis bancaire, une alerte de fournisseur électoral, un journal de sécurité, un résultat de validateur, une plainte de membre ou un changement de disponibilité du personnel. Chaque injection a besoin d'une heure d'émission, d'un rôle source, d'une classe de fiabilité et d'une conséquence de preuve prévue.

Les entités peuvent remettre en question la fiabilité d'une injection, tout comme ils doivent remettre en question des preuves incertaines dans un événement réel, mais les contrôleurs doivent préserver la vérité fondamentale nécessaire à l'évaluation ultérieure.

Les contrôleurs ne doivent pas orienter les équipes vers un résultat politique préféré. Leur travail consiste à maintenir des faits cohérents, à appliquer les conséquences, à mesurer les décisions et à empêcher tout contact dangereux avec les systèmes en direct. Un groupe d'évaluation distinct doit juger les conditions de réussite. Un autre groupe protégé doit gérer tout élément technique confidentiel. La séparation réduit le risque que ceux qui ont conçu le scénario déclarent leurs propres hypothèses correctes.

L'horloge de l'exercice doit refléter la fonction testée. Un scénario financier ou de sanctions peut comprimer des semaines en heures tout en préservant l'ordre des décisions et les périodes de préavis. Une transition d'ancrage de confiance ne peut pas simplement comprimer le comportement d'acceptation si la durée elle-même offre une sécurité. Les tests fonctionnels peuvent simuler de longs intervalles, mais le programme final doit également mener au moins une répétition prolongée en temps réel qui expose les passations entre équipes et régions.

Chaque communication doit être capturée via des canaux convenus. Les appels informels portent souvent un contexte décisif lors des incidents, mais ne laissent aucune trace pour l'examen. Les exercices doivent exiger une brève note de décision après des instructions orales et doivent tester la défaillance du service de conférence ou de messagerie principal. Les avis publics doivent être rédigés et authentifiés comme s'ils étaient réels, puis distribués uniquement dans l'environnement d'exercice à moins d'être clairement étiquetés comme tests.

Un exercice peut être arrêté s'il risque des services en direct, des données protégées ou la sécurité des entités. Le pouvoir et les critères d'arrêt doivent être définis à l'avance. S'arrêter pour la sécurité n'est pas un échec; créer un risque évitable en direct en est un. L'évaluation doit tout de même enregistrer quelle hypothèse de conception a provoqué l'arrêt et exiger un nouveau test plus sûr.

Les méthodes d'exercice doivent progresser au-delà de la discussion

La première méthode est la vérification de documents. Des examinateurs indépendants vérifient si les autorités, inventaires, contacts, contrats, objectifs de récupération et pouvoirs de substitution sont à jour et mutuellement cohérents. Cela peut révéler des contradictions avant toute simulation. Un document qui nomme un ancien employé ou un fournisseur expiré doit être considéré comme une constatation, pas comme une préparation achevée.

La deuxième méthode est la simulation de décisions. Les dirigeants et le personnel technique reçoivent des injections chronométrées et doivent produire des enregistrements de décision réels, des avis, des escalades juridiques et des priorités de service. Les observateurs comparent les décisions avec les documents constitutifs et les conditions de réussite. Les entités ne doivent pas recevoir la réponse attendue à l'avance.

La troisième méthode est la répétition fonctionnelle dans des environnements isolés. Les équipes restaurent des instantanés faisant autorité, reconstruisent l'accès identité, réémettent des certificats de test, réconcilient les annuaires et traitent des transferts synthétiques. Les résultats mesurés proviennent des systèmes et de validateurs indépendants, pas de l'auto-évaluation. Les identifiants et les données doivent être synthétiques ou fortement protégés.

La quatrième méthode est le service miroir. Une équipe de substitution reçoit un état non productif répliqué et tente de fournir des fonctions définies sans l'aide de l'équipe principale. Les résultats révèlent des connaissances non documentées, des dépendances propriétaires et une autorité ambiguë. L'institution principale reste en contrôle des services en direct.

La cinquième méthode est le basculement contrôlé. Un service étroit et réversible tel qu'un ensemble de données publiques en lecture seule ou un dépôt RPKI de test est basculé vers une alternative préparée sous observation. Tout élément en direct nécessite des contrôles de changement stricts, un préavis aux membres le cas échéant, un retour en arrière et une approbation explicite. Les exercices ne doivent jamais créer de risque inutile pour le contrôle réel des ressources.

La dernière méthode est une simulation interinstitutionnelle avec des communications réelles, un chronométrage indépendant et des systèmes d'opérateurs représentatifs. Elle doit inclure des conditions de nuit, de week-end et de plusieurs fuseaux horaires. Les plans de récupération qui ne fonctionnent que lorsque tous les spécialistes sont immédiatement disponibles ne sont pas résilients.

Les opérateurs sont des validateurs, pas un public

Les institutions de registre peuvent tester la restauration interne des services et néanmoins manquer une défaillance externe. Les opérateurs peuvent mettre en cache les données d'annuaire, exécuter divers logiciels de parties prenantes, automatiser les changements de certificats, dépendre de listes d'autorisation ou interpréter les avis d'incident différemment. Leurs observations déterminent si l'état restauré est utilisable.

Le programme doit recruter des opérateurs de différentes tailles, régions et modèles techniques. Les entités doivent inclure des fournisseurs d'accès, des réseaux d'hébergement, des réseaux du secteur public, des réseaux de contenu, des entreprises et des mainteneurs de logiciels de sécurité de routage. Leur rôle est de valider les résultats synthétiques, de tester les communications et de signaler les conséquences opérationnelles. La participation ne doit pas donner accès à des données privées de titulaires.

Les mesures des opérateurs doivent inclure le temps pour authentifier un avis officiel, le temps pour récupérer l'état actuel de l'annuaire, la convergence des validateurs, les résultats incohérents de validité de route, l'échec d'automatisation, l'intervention manuelle et l'incertitude résiduelle. Un service peut atteindre un objectif de disponibilité interne tandis que les opérateurs reçoivent des résultats contradictoires. La convergence externe est donc une condition de réussite.

Les opérateurs doivent également tester la retenue. Les communications d'urgence ne doivent pas encourager les réseaux à rejeter des routes sur la base de preuves incertaines ou incomplètes. L'autorité du registre sur les enregistrements ne transforme pas une institution en contrôleur universel du routage. Les avis doivent décrire l'état observé, la confiance, les services concernés et la vérification recommandée sans exagérer le commandement.

L'autorité d'urgence doit être étroite et temporaire

Un opérateur d'urgence a besoin d'un accès et d'une capacité juridique suffisants pour préserver les services essentiels. Il ne doit pas hériter d'un mandat illimité. L'instrument d'activation doit énumérer les fonctions autorisées, les actions interdites, les limites de données, l'autorité de dépense, les intervalles d'examen, les conditions d'expiration et les critères de retour.

Les actions interdites doivent normalement inclure la modification de la politique régionale des ressources numériques, la réallocation de ressources contestées, la modification des règles électorales, la cession d'actifs institutionnels, l'utilisation des données des membres à des fins non liées et la prolongation de son propre mandat. Les exceptions doivent nécessiter un organe séparément autorisé et des motifs publics. L'organe d'urgence ne doit pas devenir juge de sa propre nécessité continue.

Le retour de l'autorité mérite autant de tests que l'activation. L'institution restaurée doit démontrer la légitimité de la gouvernance, la sécurité, l'intégrité des données, le personnel, la capacité financière et le contrôle légal. L'organe d'urgence doit fournir des enregistrements complets et restituer les identifiants. Un fonctionnement parallèle peut être nécessaire pour la réconciliation, mais la propriété des décisions doit être sans ambiguïté.

L'accent mis par le projet de matériel de gouvernance sur l'examen post-urgence est important. Chaque exercice doit utiliser la même discipline même lorsqu'aucune urgence réelle n'a eu lieu. Le rapport public doit identifier la durée, les services fournis, l'autorité exercée, les exceptions, les droits concernés, la décision de retour, les défauts non résolus et les recommandations.

La NRS peut réunir des institutions qui peuvent se méfier les unes des autres, aider les petits membres à exprimer leur expérience et publier des recherches comparant les mesures et résultats publics. Elle ne doit pas maintenir d'actifs de test, définir la conformité, détenir des preuves protégées, exploiter l'exercice ou contrôler un transfert d'autorité. Ces fonctions appartiennent aux RIR entités, aux services IANA, aux opérateurs d'urgence qualifiés et aux examinateurs indépendants. La légitimité de la NRS est la plus forte lorsque son plaidoyer rend le pouvoir plus responsable sans acquérir aucun de ce pouvoir elle-même.

Un score doit préserver l'échec, ne pas le cacher

Une note unique de résilience serait attrayante et trompeuse. Les institutions peuvent être fortes dans la récupération technique et faibles dans l'autorité juridique, ou financièrement résilientes et cryptographiquement fragiles. Le résultat doit utiliser un tableau de bord multidimensionnel avec des conditions d'échec strictes.

Les dimensions sont l'autorité, la gouvernance, les finances, l'intégrité des données, le confinement de la sécurité, la continuité de service, l'accès des titulaires, l'équivalence RPKI, la convergence externe, la communication, la réversibilité et l'apprentissage. Chaque dimension doit montrer la cible, le résultat observé, la source de preuve et la confiance. Les échecs stricts incluent le changement de ressource non autorisé, la perte de données faisant autorité, l'incapacité d'identifier un décideur légal, un pouvoir d'urgence illimité, une divergence de certification non détectée et l'échec à préserver les droits d'examen.

Les mesures de temps doivent rapporter les distributions. Le rétablissement des titulaires ne peut pas être représenté par la première connexion réussie. Le rétablissement des transferts ne peut pas être représenté par un cas facile. La convergence des validateurs ne peut pas être représentée par la propre implémentation de l'institution. Les résultats de queue révèlent qui supporte le coût du stress institutionnel.

Les constatations doivent être classées par conséquence et fréquence. Un défaut de documentation peut être mineur jusqu'à ce qu'il bloque l'autorité de signature d'urgence. Un test échoué n'est pas une défaite de réputation s'il produit une correction rapide et un nouveau test réussi. Cacher ou réduire le test après un échec est plus grave que de découvrir une faiblesse.

La correction et le nouveau test font partie du résultat

Un rapport d'exercice sans correction financée est une observation, pas une amélioration de la résilience. Chaque constatation matérielle doit avoir un propriétaire responsable, des ressources approuvées, un traitement de risque intérimaire, une date cible et une méthode de nouveau test. Si la direction accepte le risque, l'organe d'approbation doit indiquer pourquoi l'exposition résiduelle est toérable et quand ce jugement expire. Les constatations critiques doivent revenir au conseil ou à l'organe de gouvernance équivalent plutôt que de disparaître dans la maintenance technique.

Les nouveaux tests doivent reproduire la condition échouée assez fidèlement pour prouver la correction. Un nouveau document ne suffit pas lorsque l'échec concernait la restauration réelle. Une lettre d'assurance du fournisseur ne suffit pas lorsque l'échec concernait la substitution inter-fournisseurs. Un validateur interne réussi ne suffit pas lorsque les opérateurs observaient des résultats RPKI divergents. Les preuves doivent correspondre à la condition de réussite d'origine.

Le programme doit distinguer le confinement immédiat, la correction durable et l'apprentissage systémique. Le confinement immédiat réduit l'exposition présente, comme la mise à jour des contacts d'urgence ou la conservation d'une sauvegarde supplémentaire. La correction durable change la capacité, comme l'établissement d'une autorité déléguée légale ou d'une voie de restauration testée indépendamment. L'apprentissage systémique change les institutions ou normes connexes afin que la même faiblesse ne se répète pas ailleurs.

Le délai du nouveau test doit refléter la gravité. Un échec dur impliquant des données faisant autorité, un pouvoir illégal ou une divergence cryptographique doit être retesté dans les six mois. Une faiblesse majeure de continuité doit être retestée dans un an. Les constatations de moindre gravité peuvent suivre l'exercice annuel suivant, mais les éléments en retard doivent rester publics. Les institutions ne doivent pas attendre le prochain jalon de décennie du même scénario.

L'échec répété nécessite une escalade. Si deux nouveaux tests échouent pour la même cause sous-jacente, des examinateurs indépendants doivent vérifier si le remède déclaré traite la cause, si les ressources sont adéquates et si les dirigeants ont des incitations à retarder. Un soutien collectif peut être approprié, en particulier pour des capacités cryptographiques ou juridiques spécialisées. L'assistance doit renforcer l'institution régionale concernée avant d'envisager un remplacement.

Les nouveaux tests réussis ne doivent pas effacer les constatations d'origine. Le registre de dix ans doit montrer la découverte, le traitement intérimaire, la correction, les preuves et la clôture. Cet historique permet aux membres de distinguer les institutions qui apprennent de celles qui ne font que renouveler le langage. Il protège également le personnel qui signale les faiblesses: un bilan d'amélioration transparent fait de la découverte un signe de contrôle efficace plutôt qu'une raison de supprimer les mauvaises nouvelles.

D'ici 2036, la mesure de succès la plus convaincante pourrait être le taux de clôture des constatations difficiles dans plusieurs institutions. Cette mesure capture la volonté de financer une résilience sans glamour, d'accepter des preuves indépendantes et de revenir après un échec initial. Un premier exercice parfait est moins crédible qu'un programme exigeant qui trouve des défauts réels et prouve qu'ils ont été réparés.

Les preuves publiques et les détails protégés peuvent coexister

Le rapport public doit énoncer les hypothèses du scénario, les entités par rôle, les services testés, le périmètre exclu, les conditions de réussite, les décisions, les résultats observés, les échecs, les droits concernés, les propriétaires de correction et les dates de nouveau test. Il doit inclure suffisamment de données de calendrier et de réconciliation pour que les étrangers comprennent le résultat.

Il ne doit pas publier d'identifiants, de dossiers personnels, d'avis juridiques privilégiés, de vulnérabilités détaillées, de clés privées, d'architecture exploitable ou de preuves confidentielles de membres. Des auditeurs indépendants peuvent examiner ces matériaux et émettre une déclaration d'assurance limitée. Les constatations de sécurité peuvent être retardées jusqu'à la correction lorsque la divulgation créerait un risque immédiat, mais l'existence et la gravité de la constatation ne doivent pas disparaître.

Les preuves doivent être durables. Les enregistrements d'exercice doivent préserver des instantanés signés, des journaux d'événements, des sorties de validateurs, des enregistrements de décisions, des communications et des révisions sous garde contrôlée. Les rapports publics doivent lier des artefacts stables et à intégrité vérifiée là où c'est sûr. Les nouveaux tests ultérieurs doivent citer la constatation d'origine et montrer ce qui a changé.

Le public doit également voir les désaccords. Si les conseillers juridiques, les opérateurs et les dirigeants institutionnels interprètent différemment une condition de réussite, le rapport doit expliquer la divergence et la décision finale. Le théâtre du consensus n'est pas la résilience. Les institutions gagnent la confiance en montrant comment des preuves contestées ont été résolues.

Le calendrier de test 2026-2036

2026:établir la charte commune, les cartes d'autorité, les niveaux de service, les termes partagés, les conditions de réussite et les règles de protection des preuves. Publier les lacunes au niveau institutionnel.

2027:tester le litige électoral, la succession et les communications dans chaque institution participante. Exiger un examen indépendant du scrutin et de l'autorité.

2028:tester les difficultés financières, l'interruption bancaire, l'accès au fonds de stabilité et les limites judiciaires. Réconcilier les hypothèses de coût et de liquidité des services de base.

2029:tester les sanctions, les faux positifs, les barrières de paiement, les exceptions de sécurité urgentes et les conflits juridiques transfrontaliers.

2030:mener des exercices fonctionnels cybernétiques coordonnés, y compris la récupération d'instantanés faisant autorité, la réauthentification des titulaires et la réconciliation aval.

2031:effectuer des tests de migration planifiée de l'ancrage de confiance RPKI contre diverses implémentations de parties prenantes et voies de transition manuelle.

2032:exécuter une vague de transfert massif avec succession d'entreprises, insolvabilité, cas interrégionaux et autorité contestée.

2033:exploiter des services de continuité miroir et tester la préparation juridique, administrative et technique d'un opérateur d'urgence.

2034:mener le premier scénario international composé avec un contrôle indépendant et des opérateurs représentatifs.

2035:corriger, retester les échecs durs et répéter des scénarios sélectionnés avec une indisponibilité non annoncée du personnel et des fournisseurs.

2036:mener un deuxième scénario composé, comparer les preuves de dix ans, réviser les dispositifs de continuité et fixer le prochain cycle de test.

Les exercices annuels au niveau institutionnel doivent se poursuivre entre les jalons. Le calendrier identifie l'objectif partagé, pas le seul travail de résilience. Les incidents réels doivent déclencher des nouveaux tests ciblés. Les changements matériels de système, de droit, de fournisseur ou de clés ne doivent pas attendre l'année prévue.

À quoi ressemblerait un succès crédible

D'ici 2036, un membre doit pouvoir demander qui peut agir lorsqu'un conseil est contesté et recevoir une réponse précise et légale. Un auditeur doit pouvoir retracer comment les fonds d'urgence soutiennent les services de base. Un titulaire sanctionné ou faussement apparié doit conserver une voie d'examen documentée. Un opérateur doit pouvoir valider une transition d'ancrage de confiance via plus d'un canal. Un fournisseur de services successeur doit pouvoir restaurer les fonctions priorisées à partir d'inventaires testés sans hériter du pouvoir politique.

Les institutions doivent également connaître leurs limites irréductibles. Certains conflits judiciaires ne peuvent pas être résolus par une coordination technique. Certaines parties prenantes resteront lentes à se mettre à jour. Certains fournisseurs ne peuvent pas être remplacés immédiatement. Certaines preuves confidentielles ne peuvent pas être publiques. Le test de résistance n'abolit pas l'incertitude. Il la rend limitée, possédée et visible.

Le pire résultat serait une série d'exercices polis dans lesquels les scénarios ne menacent jamais les droits de décision, les dirigeants restent toujours disponibles, les équipes de substitution reçoivent des instructions parfaites et les rapports déclarent le succès sans validation externe. Cela testerait la présentation, pas les institutions.

Le meilleur résultat est plus modeste et plus exigeant: des preuves répétées que le système de registre peut se dégrader en toute sécurité, préserver l'autorité, protéger les droits urgents, récupérer un état technique cohérent et restituer le pouvoir temporaire. Les RIR restent responsablement régionaux. Les services de numérotation de l'IANA restent stables et mesurables. La NRS contribue par le plaidoyer, la convocation, la représentation autorisée des membres et la comparaison publique sans acquérir d'autorité opérationnelle. Les opérateurs valident ce que les institutions ne peuvent pas voir de l'intérieur.

La légitimité institutionnelle est souvent discutée comme un consentement en période normale. Son test le plus aigu est la retenue en période anormale. Un corps prouve sa compétence non seulement en agissant, mais en sachant quels pouvoirs lui manquent, quelles décisions doivent attendre, quelles preuves doivent survivre et quand le contrôle doit être restitué. Un test de résistance de dix ans rendrait ces vertus observables avant que le système de registres de numéros Internet n'ait à les apprendre en public sous une pression réelle.

Base de preuves