概況
- 法人格の分離は、契約を結び、資産を所有し、従業員を雇用し、自らの義務に対して責任を負う機関を特定するものである。しかし、その機関の決定の業務上の結果を法人内部に留めるものではない。
- 公開されている RIR 契約は、登録やサービスのステータスに対する結果的権限と、広範な免責、補償、低い上限額を組み合わせることが一般的である。それらの条項は直接の当事者間でリスクを配分するものであり、影響を受けるすべてのネットワークや顧客にとってその配分が正当であることを証明するものではない。
- 番号リソースレコードはルーターのコマンドではない。それでも、レジストリの正確性、RPKI、逆 DNS、ディレクトリデータ、転送の認識は、より広い運用環境で信頼されているため、不正確または突然の行動は予見可能な外部コストを生み出す可能性がある。
- 責任の対称性は無制限の損害賠償を要求するものではない。それは、より強い支配力を持つ機関が、より強い注意義務、通知、理由説明、独立した審査、継続性、迅速な復旧、および意味のある残余救済を受け入れることを要求する。
- より信頼性の高いモデルは、行動と復旧データを公開し、アカウント紛争と技術的ステータスを区別し、可能な限り無実の下流ユーザーを保護し、証明されたレジストリ原因の損害に対して限定された補償を提供するものである。
企業は実在するが、依存関係も実在する
現代の地域インターネットレジストリ（RIR）は、通常、公共利益機関として認識されている。それは、権威ある登録データを維持し、地域ポリシーを適用し、ルーティングセキュリティサービスをサポートし、逆 DNS を委任し、インターネット番号の一意性を維持するのに役立っている。しかし、契約に署名する人物は、拡散したインターネットコミュニティではなく、法人または法人格を持つ団体である。この区別は法的に有用である。名前のある法人は、資金を保有し、従業員を雇用し、システムを契約し、監査を受け、裁判所やその他の場で請求に応じることができる。
誤りは、法人格の分離が、企業行動のあらゆる結果を含むかのように扱われるときに始まる。そうではない。レジストリが結果的な記録を変更したり、サービスを停止したり、資格情報を失効させたり、修正を遅らせたりすると、その影響は保有者の顧客、ピア、ユーザーに及ぶ可能性がある。それらの当事者は法人のメンバーになるわけではない。また、法人が彼らのルーターの運用者になるわけでもない。ポイントはより狭いものである。法人の境界は、予見可能な外部損害を制度的に無関係なものにはしない。
これは重要である。なぜなら、RIR モデルはしばしばいくつかの命題を並置するからである。レジストリは、中立的で権威があり、一貫した番号管理に不可欠であると自らを提示する。その契約は、ルールの更新、サービスの停止、リソースの登録抹消を行う実質的な権限を留保する。同じ契約は、その後、広範な種類の損失を除外し、残りに上限を設け、メンバーに対して第三者請求についてレジストリを補償するよう要求する場合がある。各命題には合理的な説明があり得る。しかし、これらを合わせると、ガバナンスの問いが生じる。すなわち、機関はどれだけの支配力を行使しながら、契約上、エラーのコストを外部に転嫁できるのか？
その答えは法人形態だけでは見つからない。法人化は誰が行動するかを示す。行動が注意深かったかどうか、依存が予見可能であったかどうか、救済が適切かどうか、契約条項が当事者以外に対して決定的な重みを持つべきかどうかを示すものではない。制度的正当性は、法人を特定した後、第二の調査を必要とする。すなわち、権力、義務、リスクの配分は釣り合いが取れていたか？
まず、4つの異なる支配形態を区別する
レジストリの議論は、あらゆる効果がアドレスの支配として説明されると混乱する。4つのより狭い支配形態を区別すべきである。
第一は記録の支配である。レジストリは、権威あるデータベースが登録保有者、ステータス、および関連情報について何を言うかを決定できる。これは直接的な制度的支配である。メンバーは、競合するスプレッドシートを公開するだけで権威あるエントリを変更することは通常できない。
第二はサービスの支配である。レジストリは、契約とポリシーで定義されたサービス（記録管理、逆 DNS サポート、証明書、ディレクトリ機能、転送処理、および関連施設）を提供または提供しないことができる。正確なリストは機関および契約によって異なる。サービスの支配は、番号リソースの所有権ではなく、運用に影響を与える可能性がある。
第三は契約上の支配である。法人は、メンバーに対して合意された権利（情報要求、料金、停止、解除、または登録抹消への協力を含む）を行使できる。その権力は、実際の契約、組み込まれたポリシー、準拠法、および審査メカニズムによって制限される。
第四はルーティングの支配である。これはネットワーク間で分散される。RIR はすべてのルーターの中に座って普遍的なコマンドを発行するわけではない。RFC 7020は、アドレスの宣言方法と広告方法をインターネット番号レジストリシステムの外部に明確に置いている。経路の起点、伝搬、フィルタリング、および受入れは、運用者と技術的信号に依存する。
これらの層は相互に作用する。レジストリの行動は、ネットワークが信頼する信号を変更する可能性がある。経路は管理上の紛争にもかかわらず継続する可能性がある。有効な記録は貧弱な接続性と共存する可能性がある。運用者のミスは、レジストリの過失なしに停止を引き起こす可能性がある。したがって、重大な責任分析は因果連鎖を必要とする。管理上の変更が自動的にパケットを停止したと仮定すべきではない。また、ルーターが独立しているからといって、権威ある記録やセキュリティサービスの失敗が運用上重要でないと仮定すべきでもない。
対称性のテーゼは、機関が実際に持つ支配の形態に適用される。その記録とサービスの決定が実際の慣行でより決定的になればなるほど、それらの決定に関する義務はより厳格になるべきである。それは完全な支配の主張ではない。それは、狭い責任を主張しながら広範な依存を育むことに対するルールである。
RIPE-812 は非対称性を異常な明瞭さで示している
2023年11月に公開されたRIPE NCC 標準サービス契約（ripe-812）は、明確な出発点を提供する。これは RIPE NCC をオランダ法に基づく会員制団体として特定する。組織は RIR としてインターネット番号リソースを登録する権限を持つと述べている。定義されたサービスを提供することを約束する。現在のポリシーと手順を組み込む。完全で正確なメンバー情報を要求する。そして、特定の状況での停止、登録抹消、解除を許可する。
責任条項は、その後、エクスポージャーを鋭く配分する。メンバーは、サービスの使用およびインターネット番号リソースの使用に伴うすべての側面について責任を負う。RIPE NCC は、RIPE NCC またはその経営陣による故意の不正行為または重過失の場合を除き、直接的および間接的損害（事業損失、逸失利益、第三者損害を含む）に対する責任を除外する。番号リソースを時間通りに利用可能にできなかったことに関する損害およびその使用に関連する損害を除外する。不可抗力保護を追加する。メンバーに対して、サービスの使用に関連する第三者請求について RIPE NCC を補償するよう要求する。そして、責任を該当会計年度のメンバーのサービス料金に制限する。
契約はまた、解除がサービスの終了と登録抹消への協力につながる可能性があると述べている。別途、登録は財産を構成せず、所有権を付与しないと述べている。これらの条項は、RIPE NCC が番号リソースを所有することを意味するものではない。それらは、法人が登録およびサービスの結果に対して意味のある支配を留保しながら、財務的エクスポージャーを封じ込めることを示している。
その組み合わせは商業的に理解可能である。メンバーが資金を提供する団体が、アドレス上に構築されたすべての下流ビジネスモデルを保険でカバーすることは賢明ではない。年間料金は、すべての顧客の収益の保証のように価格設定されていない。ネットワークは自らのアナウンスメントと復元力を制御する。もしすべてのサービスの欠陥が無制限の結果的請求を開くならば、レジストリは財務的に不安定になり、リスクをメンバーシップに転嫁する可能性がある。
しかし、商業的説明は公共利益分析の終わりではない。年間料金のみに調整された責任上限は、誤った影響の大きい行動の予見可能なコストとほとんど関係がないかもしれない。同じ標準フォームは、非常に異なる規模と依存度のメンバーをカバーする。1つの料金の上限は、レジストリサービスを価値の尺度として扱うが、システムの正当性は部分的にその記録が一意に権威があるという主張に依存する。その乖離は、上限が残っていても、手続き上および実質的な保護を必要とする。
ARIN の文言は権利と損害賠償を同時に狭めている
2025年8月15日付バージョン14.0のARIN 登録サービス契約は、関連するが異なるモデルを提供する。サービスには、レジストリエントリ、逆ネームサービス、RPKI、記録管理、アドレス管理が含まれると定義している。保有者に対して、ARIN データベース内の含まれる番号リソースの登録者となる排他的権利、データベース内でそれらのリソースを使用する権利、およびポリシーに基づいて登録を転送する権利を付与する。
その語彙は注意深い。契約は、データベースおよびサービスの権利を記述しており、あらゆる運用上の使用に対する無制限の支配ではない。しかし、これらの限定された権利は、取引相手が ARIN データとリンクされたサービスを認識された信号として使用するため、非常に結果的であり得る。
ARIN の制限条項は、当事者間および第三者（明示的に保有者のクライアントと顧客を含む）に対して、結果的、付随的、間接的、懲罰的、見本、特別損害を除外する。総責任額は、保有者が過去6ヶ月間にサービスに対して支払った金額または100米ドルのいずれか大きい方に上限が設定される。契約はまた、停止および解除の経路を確立する。RIPE NCC と同様に、このフォームは限定された財務的救済を、その広範な信頼性がネットワークの決定をサポートするサービスの横に置く。
クライアントと顧客への明示的な言及は示唆的である。それは、下流のエクスポージャーが想像不可能ではないことを示している。契約は、保有者の顧客が損害を主張する可能性を予想し、そのエクスポージャーを制限しようとしている。それは合理的なリスクの起草であるが、ガバナンスの問題も確認している。すなわち、サービスに依存することが知られている当事者が、交渉しなかった契約によって意味のある救済から除外される可能性がある。
執行可能性に関する結論は自動的に導かれない。準拠法、強行規定、正確な違反、交渉の文脈、司法の解釈が重要である。現在の契約がレガシーリソースを支配しないかもしれない。除外は、通常の過失、重大な過失、法定義務、特定の表明に対して異なる扱いを受ける可能性がある。責任ある発見は、すべての上限が失敗するということではない。公開されたリスク配分は、注意、因果関係、救済に関する証拠の代わりにはならないということである。
APNIC は手続きが厳格な救済を部分的に相殺できることを示している
現在のAPNIC 会員契約も、法律で認められる範囲で広範な責任を除外し、メンバーによる補償を要求している。APNIC がその文書に基づいて権利（委任されたリソースを含む）を撤回し、フォームに記載された通知プロセスの後に契約を解除することを許可している。
この契約は、手続き上のカウンターウェイトも明らかにする点で有用である。撤回通知を受け取ったメンバーは、執行理事会に上訴でき、理事会は30日以内に上訴を考慮しなければならない。正当化されれば、通知は撤回される。通知は、信じられる違反とそれを是正するために必要な行動を記述しなければならない。手続きは責任の除外を消し去るものではないが、不当な損害の確率と期間を減らすことができる。
これが対称性の最初の実践的な意味である。制限された損害賠償への対応は、無制限の損害賠償である必要はない。それは、より信頼性の高い意思決定経路であり得る。もし機関があらゆるエラーの完全な経済的範囲を補償できないならば、エラーを回避し、結果を隔離し、迅速にミスを元に戻すことに大きく投資すべきである。通知、意味のある治癒期間、公平な審査、保存された証拠、理由付けられた決定、迅速な復旧は、管理上の追加物ではない。それらは、リスクを他に置くことの対価の一部である。
保護の質は、起草だけでなく運用に依存する。30日の審査は通常のコンプライアンス紛争には適切かもしれないが、進行中のサービス中断にはあまりにも遅い。同じ統治機関への上訴は知識豊富かもしれないが、スタッフや制度ポリシーに関する紛争では十分に独立していないかもしれない。上訴権は、係争中の技術的サービスが審査前に無効にされ、復旧が失われた顧客を修復できない場合、空洞であり得る。
公開された集計データは、保護をテスト可能にする。発行された通知、治癒された問題、課された撤回、提出された上訴、覆された決定、中央審査時間、中央復旧時間。これらの分母がなければ、フォームは経路が存在することを証明するが、それが運用上の依存をどれだけうまく保護するかは証明しない。
AFRINIC はベストエフォートと無責任の違いを明らかにする
2017年11月27日付のAFRINIC 登録サービス契約は、ベストエフォートベースと手段の義務としてのサービスを記述している。AFRINIC は、適切な手段を使用しなかったことに関する限定を条件として、中断、エラー、不正確さ、申請者の要件を満たさないサービスや技術構成、または申請者や第三者に対するいかなる性質の損害についても責任を負わないと述べている。6ヶ月分の支払いまたは100米ドルのいずれか大きい方に基づく上限を示している。解除または満了時には、リソースは撤回され、サービスは責任なしに停止されると述べている。
ベストエフォートは義務の不在と同じではない。手段の義務は、行動に注意を向ける。適切なシステム、有能なスタッフ、検証、エスカレーション、継続性、復旧手段が使用されたかどうか。完璧な結果を約束するものではない。複雑なレジストリにとって、これは適切な基準であり得る。データベースは障害を起こし、資格情報は危険にさらされ、取引相手は虚偽の文書を提出し、ルーティングの結果は完全には制御できない。
ガバナンスリスクは、広範な結果の除外が行動基準を飲み込むときに現れる。中断と不正確さが予見可能な予防措置に関係なく除外される場合、適切な手段を使用するという約束は評価が難しくなる。逆に、適切な手段の不使用が意味のある救済で審査可能なままである場合、ベストエフォートモデルは実際の制度的支配と責任を整合させることができる。
その区別は明示的であるべきである。レジストリは、中断のないグローバルな到達可能性を保証する必要はない。それは、自らの身元確認、記録変更、証明書運用、アクセス制御、バックアップ、エスカレーション、修正に対して説明責任を負うべきである。運用者が引き起こした経路漏洩について補償する必要はない。証明された内部エラーが信頼されるサービスを予見可能に無効にし、機関が相当の注意を払って行動しなかった場合、信頼できる対応に直面すべきである。
これは特定の AFRINIC 紛争に関する結論ではない。引用されたフォームは、書面による配分と関連する概念的緊張を確立する。実際の中断に関する請求には、該当する契約、日付入りの技術的証拠、スタッフの行動、通知、経路観測、その時の準拠法が必要である。
法人格はメンバーを保護する。法人を消し去るべきではない
法人格の分離は、重要な説明責任機能を果たす。通常のメンバーは、自動的にすべての法人資産の所有者ではなく、すべての法人債務に対して個人的に責任を負うわけでもない。取締役と役員は定義された役割を通じて行動する。団体はメンバーシップの変更を生き残ることができる。債権者と取引相手は、どの法人と向き合っているかを知っている。
レジストリでは、この保護は集合的なサービスも維持する。もし各メンバーが機関のあらゆる申し立てられたエラーに個人的にさらされるならば、参加は危険になり、ガバナンスは防衛的な行動に崩壊する可能性がある。法人は運用能力とリスクをプールする。
保護が歪むのは、議論が一方向に進むときだけである。機関は、コンプライアンスを要求する際には認められた地域レジストリの権威で話すことができ、損害が発生した際には通常の低料金サービス請負業者として自らを提示することができる。広範な裁量を正当化するために全会員の利益を主張しながら、決定を結果的にした依存の顧客を除外するために双方向の債務関係に依存することができる。服従を要求する際には記録の一意性を強調し、影響について問われた際にはルーターの独立性を強調することができる。
各声明は真実の一部を含む。問題は選択的な組み合わせである。正当な説明はすべての部分を一緒に保持しなければならない。法人は制限された権限を持つ。ルーターは独立したままである。記録は予見可能な依存を引き付ける。メンバーと下流ユーザーは損害を受ける可能性がある。すべての損害がレジストリによって引き起こされるわけではない。証明されたレジストリの過失は釣り合いの取れた救済を引き起こすべきである。
したがって、法人格は帰属の始まりを示し、終わりではない。法人が特定されると、調査はその行動と、それが知っている外部の依存に向かう。
レジストリはネットワークを実行しないが、信頼される信号を形成する
アーキテクチャは簡単な因果関係の話を防ぐ。RFC 7020は、レジストリシステムが一意性と正確な情報を確実にするために割り当てを維持する一方、経路の宣言と広告はその外部の運用事項であると述べている。この境界は分析の規律を保護する。レジストリは、そのデータベース内のアドレスを含むすべての停止について責められるべきではない。
同時に、境界は壁ではない。運用者は、連絡先を特定し、請求を評価するために登録データを参照する。逆 DNS は委任された構造に依存する。RPKI は、経路起点検証で使用される暗号検証可能なステートメントを提供する。転送の認識は、取引相手が取引を受け入れるかどうかに影響する。これらのサービスの変更は、フィルター、インシデント対応、デューデリジェンス、顧客の信頼に影響を与える可能性がある。
したがって、正しい因果関係モデルは、スローガンではなく連鎖である。正確なレジストリ行動は何か？どの記録またはサービスが変更されたか？どのネットワークまたは取引相手がその信号を消費したか？どの独立した決定が続いたか？冗長な信号はあったか？変更はどれだけ迅速に気づかれ修正されたか？合理的な軽減の後にどの損失が残ったか？
その方法は、帰属と同様に免責もできる。トラフィックが継続し、保有者の顧客損失が無関係な機器障害から生じた場合、レジストリ行動は原因ではない。運用者が有効な警告を無視したり、壊れた設定を維持した場合、責任は他の場所にある可能性がある。偽造された法人文書が適切なチェックにもかかわらず注意深いプロセスを欺いた場合、過失は共有されるか、存在しない可能性がある。
しかし、高い信頼のレジストリシステムが過失による変更を行い、リンクされたサービスを通じてそれを配布し、迅速な信頼できる通知を受け取り、記録の復旧に失敗した場合、分散ルーティングは普遍的な防御になるべきではない。独立したネットワークは、因果連鎖の一部であることができ、それを壊すことはない。関連する質問は、レジストリの寄与が証明され、予見可能であったかどうかである。
予見可能性は契約上の債務関係を超えて拡大する
直接のメンバーは明白な取引相手であるが、運用範囲はより広い。ホスティング会社は、登録されたブロック上で数千の顧客をサポートする可能性がある。公衆ネットワークは、病院、緊急通信、政府サービスにサービスを提供する可能性がある。トランジットプロバイダーとピアは、信頼されるデータに結びついたフィルターを維持する可能性がある。顧客は RIR と直接の関係がなく、レジストリ紛争を監視する実用的な能力がない可能性がある。
債務関係は誰が契約を執行できるかに答える。誰が損害を受けることができるかには答えない。また、別の法分野が契約外の義務を認めるかどうかを解決しない。これらの質問は管轄と事実によって異なるため、普遍的な結果を主張すべきではない。ガバナンスのポイントは法的分類に先行する。機関は合理的に予見できる依存関係をマッピングし、不必要な波及を避けるために決定を設計すべきである。
予見可能性は、レジストリが保有者の規模と役割を知り、行動が共有技術サービスに影響を与えることを知り、下流ユーザーが簡単に番号を変更できないことを知っている場合に最も強い。投機的な取引損失、遠隔の風評被害、または主に運用者自身の選択によって引き起こされた損害については弱い。対称性モデルはこれらのカテゴリを区別できる。
レジストリはすべての顧客名を知る必要はない。リスク指標を使用できる。アドレスブロックサイズ、アクティブな経路可視性、RPKI カバレッジ、逆 DNS 使用、重要なサービスの宣言、入手可能な場合は下流割り当て数、共有インフラの証拠。これらの指標は特権的な所有権を生み出すべきではない。それらは、不可逆的な行動の前に適用される注意と継続性を決定すべきである。
顧客が当事者ではないという理由で依存を観察することを拒否するシステムは、盲目を選んでいる。すべての依存する顧客が直接の法的権利を持つと仮定するシステムは、法律を過大評価している。中間の道は、利用可能な救済についての明確な声明と対になった運用上のデューデリジェンスである。
免責条項はリスクを配分する。正当性を生み出すものではない
契約は、結果的損害が巨大で価格設定が難しく、部分的に相手方によって制御される可能性があるため、日常的に結果的損害を除外する。レジストリ契約が上限を含むという理由だけで異常なわけではない。公共利益の懸念は、条項が契約法が合理的にサポートできる以上のことをするよう求められるときに生じる。
免責条項は、2つの当事者が何を受け入れたかを示すことができる。保険、料金、訴訟に影響を与える可能性がある。機関を破滅的なエクスポージャーから保護することができる。しかし、基礎となる行動が中立で、正確で、釣り合いが取れ、手続き上公平であったことを証明することはできない。非当事者に通知を与えることはできない。記録を復元することはできない。因果関係を確立することはできない。回避可能な内部エラーを責任ある管理に変換することはできない。
正当性は、権力の質と限定性から来る。2001年に新しい RIR を認識するための基準として受け入れられたICP-2は、中立性、公平性、専門的な運用、継続性、文書化された手順、サービスを受けるコミュニティからのサポートを強調している。これらの特性は、制度的パフォーマンスに関係しており、署名された放棄の存在だけではない。
したがって、認識は有用なベンチマークを生み出す。システムが1つの地域機関に単一の認められた役割を与える場合、その機関は容易に交換可能なベンダーよりも高い継続性と審査の基準を満たすべきである。ポイントは、ICP-2 自体が損害賠償を提供するということではない。そうではない。ポイントは、制度的正当性が制限条項では確立できない質に依存するということである。
レジストリの権威ある中立的な管理の主張が鋭ければ鋭いほど、すべての失敗を低価値の双方向サービス欠陥として扱う応答は説得力を持たなくなる。権威と説明責任は同じ規模で記述されなければならない。
責任の対称性は設計ルールであり、無制限の損害賠償の要求ではない
対称性とは、支配、義務、救済が同じ方向に動くべきであることを意味する。もしレジストリが狭い事務的役割しか持たないならば、控えめな義務で十分かもしれない。もし権威ある記録とセキュリティ関連サービスに影響力の大きい変更を加えることができるならば、それらの変更に関してより強い義務を負うべきである。
第一の義務は注意である。身元と権限の確認は、要求された変更の結果に見合ったものでなければならない。高リスクの変更には、職務の分離、保存された証拠、日常的な連絡先更新よりも強力な検証が必要である。
第二は通知である。保有者は、提案された行動、事実上の根拠、影響を受けるサービス、治癒経路、発効時間について明確な通知を受けるべきである。ただし、秘密が法律で要求される場合や、即時のセキュリティ行動が真に必要な場合は除く。下流の損害が予見可能な場合、機密詳細を開示せずに公開ステータス情報が適切な場合がある。
第三は審査である。意思決定者は唯一の審査者であってはならない。緊急の技術的審査は、月次の理事会カレンダーだけでなく、ネットワークタイムで運用されなければならない。信頼できる異議申し立ては、セキュリティを維持しながら不可逆的な結果を一時停止できるべきである。
第四は継続性である。アカウントまたは料金の紛争は、すべての技術的サービスを自動的に無効にすべきではない。登録、ポータルアクセス、証明書、逆 DNS、ルーティングデータは分離されるべきであり、最も狭い効果的な措置が使用されるようにする。
第五は復旧である。機関は、誤った変更を元に戻し、データを再公開し、資格情報を復元し、依存関係者に通知するためのテストされた手順を維持すべきである。復旧時間は、中核的な説明責任指標である。
第六は残余の財務的責任である。レジストリの過失と因果関係が証明された場合、少額のサービス料金の返金に限定された救済は、機関の実際の支配からあまりにも遠い可能性がある。限定された基金、保険層、または段階的な上限は、深刻な運用上の損害を認識しながら、支払能力を維持することができる。
無制限の結果的責任は要求されていない。実際、それは共有サービスを損なう可能性がある。対称性は、信頼できる責任を求めているのであって、制度的自己破壊ではない。
アカウント執行と技術的継続性を分離する
多くの高インパクトリスクは、いくつかの制度的機能がバンドルされているために生じる。メンバーが支払い、書類提出、ルール遵守に失敗する。レジストリは、アカウント制限、解除、登録抹消、リンクされたサービス変更を通じて対応できる。すべての結果が一緒に発生する場合、双方向のコンプライアンス紛争が下流の運用に波及する可能性がある。
より安全な設計は段階的である。支払いのデフォルトは、最初に既存の権威あるデータを保持しながら、新しいリクエストと投票権を制限するかもしれない。身元の問題は、審査までルーティングセキュリティオブジェクトを保持しながら、転送を凍結するかもしれない。信頼できるハイジャックまたは詐欺のケースは即時の保護行動を必要とするかもしれないが、措置は脅威に合わせて調整されるべきである。メンバーシップの解除は、歴史的な管理連鎖を消し去る必要はない。
この分離は寛大さではない。それは、対応をより正確で防御可能にすることで執行を強化できる。すべての救済が最大限である場合、意思決定者は行動を躊躇するか、裁判所が広く介入する可能性がある。段階的なツールは、不必要な第三者の損失を生み出さずに、レジストリが有害な行動を停止することを可能にする。
公開されたフォームは、通知、治癒、停止、撤回の異なる組み合わせを示している。欠けているのは、シーケンスに関するクロスレジストリの運用アカウントである。証明書はポータルアクセスと同時に停止するのか？逆 DNS は上訴中も継続するのか？公的記録は削除されるのではなく、紛争中とマークされるのか？観測されたケースで経路と顧客はどのように影響を受けるのか？
これらの質問に答えることで、責任分析を証拠に基づいたものにできる。また、メンバーが緊急時対応計画を立てることを可能にする。狭い介入、迅速な審査、テストされた継続性が壊滅的な損失を真に稀にする場合、免責条項はそれほど問題にならない。
メンバーは影響を受ける公衆全体ではない
RIR はしばしば、メンバーシップと開かれた地域ポリシープロセスに正当性の根拠を置く。その参加は貴重である。メンバーは取締役会を選出し、予算または課金スキームを承認し、ポリシーを議論し、パフォーマンスを精査する。それは機関に情報と構成員を与える。
しかし、メンバーシップはレジストリの決定にさらされる人口と同一ではない。下流の顧客はメンバーではないかもしれない。サービス地域外のネットワークはデータに依存するかもしれない。エンドユーザー、公的機関、小規模組織は、参加する時間や専門知識を欠くかもしれない。大規模保有者と小規模運用者はそれぞれ一票を持ちながら、非常に異なる依存関係を抱える可能性がある。
これはメンバーシップガバナンスを無効にするものではない。それはその限界を定義する。メンバー投票は、法人憲法の下での課金スキームや契約改正を承認できる。それ自体で、外部の中断コストが公平に配分されていることを確立することはできない。多数派は、メンバーがレジストリに資金を提供するため、低い上限を合理的に支持するかもしれないが、各メンバーは深刻な損害が発生した場合には他の場所に落ちると期待する。
この対立は、外部受益者を持つ保険プールに似ている。メンバーシップは手頃な管理を望み、より広いネットワークは信頼できる権威あるサービスを望む。良いガバナンスは、メンバーの承認を完全な答えとして扱うのではなく、トレードオフを可視化する。
外部の視点は、独立した技術的審査、公開インシデント報告、消費者または重要インフラの協議、下流運用者の代表を通じて入ることができる。目的はすべてのユーザーに拒否権を与えることではない。それは、機関のリスクモデルが標準契約を通じて自分自身を保護できない当事者を含むことを確実にすることである。
補償の前に証拠
より強力な救済モデルは、弱い請求に抵抗しなければならない。番号リソース紛争は、係争中の企業支配、偽造文書、未払い料金、ポリシー違反、経路ハイジャック、商業的競争を含む可能性がある。停止はレジストリ行動と一致するかもしれないが、それによって引き起こされたわけではない。規律ある証明なしの補償は、戦略的請求を促進し、メンバー資金を枯渇させる可能性がある。
証拠の連鎖は、日付入りの行動ログから始めるべきである。リクエスト、身元確認、承認、データベース変更、証明書イベント、通知、異議、復旧を記録すべきである。独立した経路観測は、その後、アナウンスメント、検証ステータス、受入れが変更されたかどうかを示すことができる。顧客の証拠はサービスへの影響を確立できる。契約記録は誰が何を約束したかを特定する。
因果関係は、必要な寄与と背景条件を区別すべきである。もしレジストリが誤って証明書を失効させたが、運用者が経路を拒否しなかった場合、証明されたトラフィック損失なしに管理上の違反があるかもしれない。もし運用者が発表されたポリシーの下でそれを拒否し、サービスが失敗した場合、連鎖はより強い。もし保有者が迅速に軽減できたがしなかった場合、損害賠償は元のエラーを免責することなく減額されるかもしれない。
レジストリは、その契約がほとんどの損害賠償を除外する場合でも、証拠を保存すべきである。透明性は修正、保険、公共の学習をサポートする。条件が守られたことだけを発表する閉じた調査は、適切な注意が使用されたかどうかを確立できない。
独立した審査は、機関がログを管理し、契約を解釈し、救済に資金を提供する場合に特に重要である。審査員は、技術的および法的能力、紛争ルール、復旧を命令したり補償を推奨する権限を持つべきである。公開された編集済みの調査結果は、セキュリティ詳細を公開せずに将来の管理を改善できる。
指標は制度的約束を監査可能な基準に変える
公衆は契約文のみから対称性を評価できない。各 RIR は、一貫した年に一度の高インパクト行動指標セットを公開すべきである。最低限、提案および課された停止、登録抹消、転送凍結、執行による RPKI または逆 DNS 変更、上訴、覆し、緊急復旧、信頼できるエラーの認識までの中央値および最大時間、中央値および最大復旧時間。
分母が重要である。12の行動の中での10の覆しと、1万の中でのそれらは意味が異なる。報告は、日常的な閉鎖と係争中の行動を分離し、影響を受けたアクティブな登録またはルーティングされたプレフィックスの数を特定すべきである。脆弱な顧客を名前を挙げずに重大度帯を記述すべきである。
インシデント報告は、管理上の失敗を特定すべきである。誤った身元確認、不正アクセス、ソフトウェア欠陥、ポリシーの誤適用、データ複製の遅延、通信障害。何が変更され、変更が再発を防いだかどうかを述べるべきである。責任が認められなかったという単純な主張は、運用上の価値をほとんど提供しない。
財務報告は、保険カバレッジを集計して開示し、運用インシデントのための準備金、支払われた補償を秘密の和解を公開せずに開示すべきである。もし機関が無制限のエクスポージャーが安定性を脅かすと信じるならば、公衆は代わりに構築された制限された能力を見ることができるべきである。
これらの措置は、レジストリとユーザーの両方に利益をもたらす。恐れられた大惨事と実際のパフォーマンスを区別し、上訴が機能するかどうかを明らかにし、より正確な価格設定をサポートする。迅速な修正の強い記録は、広範な法的文言だけよりも説得力を持って上限を正当化できる。
制限された補償モデルは可能である
選択肢は、1回の料金の返金と無制限の事業損失の間ではない。共有レジストリは、段階的な責任を構築できる。
第一レベルでは、通常のサービス障害に対してサービス料金を返金できる。第二レベルでは、証明されたレジストリエラーによって引き起こされた文書化された直接的な技術的回復コストを、より高い上限まで償還できる。第三レベルでは、別途管理されるインシデント基金または保険ポリシーが、重大な過失、長期にわたる非復旧、深刻な管理上の弱点が確立された場合の例外的な高重大度の損害に対処できる。
間接的な投機的損失は除外されたままにできる。請求者は軽減を証明し、保険による回復を開示すべきである。二重回復は禁止されるべきである。時間制限と証拠要件は明確であるべきである。独立したパネルが、すべてのインシデントを何年もの訴訟に変えることなく、適格性を決定できる。
基金は、番号リソースを財産として扱ったり、その認識された市場価値のパーセンテージを請求したりすることなく、控えめなリスク準備金を通じて資金調達できる。貢献は、権威あるサービスが全会員に利益をもたらすため、大部分が社会化されたままである可能性がある。より高リスクのオプションサービスは、正当化される場合に追加のカバレッジを運ぶかもしれない。
そのようなモデルはすべての法的問題を解決するわけではない。それは、自身の高い信頼の機能が失敗したときに、機関が何らかの結果を受け入れることを実証する。その受入れは、支払いが完全な逸失利益ではなく直接的な回復のみをカバーする場合でも、正当性を改善できる。
最も強い保護は、予防と復旧のままである。資金は、長期にわたる紛争中に失われた顧客を簡単には回復できない。財務的責任は、インセンティブを整合させ、損害を認識するために重要であるが、厳格な運用管理の背後に位置すべきである。
認識には継続性と救済テストを含めるべきである
IANA 番号リソースページは、RIR、ローカルまたはナショナルレジストリ、プロバイダー、ユーザーの階層を通じて IP アドレッシングと AS 番号のグローバルな調整を記述している。この構造は制度的継続性に依存している。もし1つの認識されたレジストリが失敗した場合、別の通常のベンダーが次の朝に競合する権威ある台帳を公開することはできない。
その依存は、認識と定期的な説明責任への現代的な拡張を示唆している。RIR は、テストされたバックアップ、安全な制御の移行、緊急記録の継続性、独立した審査、証明された運用上の損害への資金提供された対応を実証すべきである。これらは、IANA や ICANN がリソースを所有するという主張ではない。それらは、単一の地域サービスを信頼するための条件である。
ICP-2 はすでに認識を専門的な運用、継続性、コミュニティサポートと結びつけている。定期的な証拠は、認識を日々の企業管理に変換することなく、それらの原則を具体化できる。各機関は自らの契約と運用に責任を持ち続ける一方、より広いシステムは不可欠な保護が存在することを検証する。
テストには困難なシナリオを含めるべきである。係争中の企業支配、危険にさらされた資格情報、裁判所命令、長期にわたるガバナンスの麻痺、データ破損、主要サイトからの運用不能。成功した演習は、台帳を保存し、誰が変更を承認できるかを特定し、審査可能な記録を維持するべきである。また、誤った緊急行動をどのように元に戻すかを示すべきである。
継続性計画は、責任の対称性の一部である。なぜなら、最大の損害は1人の過失従業員からではなく、制度的無能力から生じる可能性があるからである。結果的な記録を保持する法人は、法的紛争が続いても、サービスの層で交換可能でなければならない。
番号資源協会（NRS）は運用者にならずにより良い方向を促すことができる
番号資源協会（NRS）は、明確なスチュワードシップ義務、継続性、ユーザー代表を提唱することで支援できる。グローバルな非営利の会員制およびアドボカシー組織として、停止や係争中の決定に関するメンバーの証拠を収集し、ポータブルサービス関係に関する研究を委託し、比較インシデント指標を公開し、独立した審査の提案の周りに運用者を招集できる。これらの活動は、NRS をレジストリ、継続性運用者、権威ある記録の保有者にすることなく、情報と代表の非対称性を減らすことができる。
実施は、実際に技術的および法的責任を負う機関に属する。RIR、IANA 番号機能、認識された後継運用者、および有能な審査機関は、透明な権威、分離可能な運用、強力な管理連鎖、釣り合いの取れた責任を定義しなければならない。NRS は、それらの取り決めをメンバーの経験に対してテストし、約束された保護が機能するかどうかの公開記録を保持できる。NRS は台帳を維持し、引き継ぎを運用し、番号リソースを制御するものとして記述されるべきではない。
したがって、NRS は前向きなアドボカシーと研究の方向性であり、現在の紛争に輸入される制度的代替物ではない。既存の RIR は現在のほとんどの保護を実施できる一方、NRO および IANA プロセスは、地域の障害がより広いシステムに影響を与える場合の認識と緊急継続性を明確にできる。より良い通知、より迅速な審査、復旧テスト、制限された補償は、持続的な公的圧力と証拠を必要とするが、NRS が運用権限を取得することを必要としない。
未解決の証拠が結論を規律すべき
公開された契約は、書かれた権限とリスク配分に関する実質的な事実を確立する。それらは、レジストリ行動がどの程度の頻度で運用中断を引き起こしたか、裁判所が各条項をどのように適用するか、どれだけの上訴が成功しているか、復旧後にどの損失が残ったかを確立していない。ここで検討された資料では、完全なクロスレジストリの停止、登録抹消、覆し、下流影響の分母は利用できない。
そのギャップは、現在のモデルが日常的に停止を引き起こすという主張や、すべての制限条項が無効であるという主張を妨げる。また、既存の保護が十分であるという自信を持った主張も妨げる。契約言語は可能な権限を示す。運用記録は権限がどのように振る舞うかを示す。
次の研究ステップは経験的である。地域を横断して日付入りの係争中の行動を選択する。レジストリ通知と変更履歴を保存する。行動の前後で RPKI、逆 DNS、ディレクトリ、経路観測を比較する。顧客への影響と審査のタイミングを特定する。復旧が発生したかどうか、および何らかの救済が利用可能であったかを記録する。その後、証拠を実際に施行されていた条項と比較する。
そのようなデータが公開されるまで、ガバナンスは可逆的な決定と透明な審査に傾くべきである。損害の頻度に関する不確実性は、義務がないと仮定する理由ではない。それは、観測を制度に組み込む理由である。
最終テストは対称性である
法人格はレジストリモデルの基礎である。それは契約機関を特定し、通常のメンバーを自動的な個人的エクスポージャーから保護する。広範な免責条項はまた、共有の低料金サービスを投機的または壊滅的な請求から保護する正当な役割を持つことができる。
どちらの命題もより難しい質問に答えない。レジストリの権威ある記録とリンクされたサービスは、法人の壁を超えて意図的に信頼されている。機関は、その署名フォームに決して署名しない顧客にまで及ぶ結果を持つ権限を留保できる。その信頼がコンプライアンスを確保するために呼び出されるとき、制度的エラーのコストを配分する際に無視することはできない。
正しい応答は、レジストリがすべてのルーターを実行するか、すべてのアドレスを所有するとふりをすることではない。それは、それが正確に何を制御するかを特定することである。記録、サービスアクセス、資格情報、逆委任、認識された転送、修正。義務はこれらの機能に付随すべきである。因果関係は技術的および文書的証拠を通じて証明されるべきである。救済は制限されたままであるが、意味のあるものであるべきである。
機関は、そのプロセスが注意深く、理由が審査可能であり、介入が狭く、継続性が保護され、ミスが迅速に復旧されるとき、服従に値する。それは、証明された失敗に対して釣り合いの取れた結果を受け入れるとき、より深い正当性を得る。すべての運用コストを外側に押し出すだけの契約は、バランスシートを保護するかもしれないが、それ自体で損失を可能にした権限を正当化することはできない。
支配と責任は同一である必要はない。それらは同じ方向を向く必要がある。現代のレジストリは、より強い支配がより強い注意、より強い審査、そして返金された年会費を超えて感じられる救済をもたらす場合にのみ、信頼され続けるだろう。