RIPE NCC理事会、ドメイン依存リスクを「当面」受容

要約

RIPE NCC理事会の第195回会合の議事録案には、米国の制裁指定後にイタリアのサービス事業者の.orgドメインがDNSから外れた件への対応が記された。CEOは緊急時の計画を求め、理事会は対策を調べながら当面のリスクを受け入れることに同意した。
RIPE NCCの年次報告書は、許容水準を超えるリスクの対応計画、定期監視、理事会への半年ごとの報告を説明する。公開議事録のこの項目には、担当者、期限、具体的な対策が書かれていない。

「当面」は締切日にならない

理事会の議事録で一番便利な言葉は、案外「当面」かもしれない。急いで結論を出さずに済む。しかし時計を置かなければ、その言葉はずっと居座る。RIPE NCCの第195回理事会議事録案は、その危うい短さを示している。米国から制裁指定を受けたイタリアの事業者の.orgドメインがDNSから外れたと理事が提起し、CEOは緊急時対応計画が必要だと述べた。理事会は、可能な保護策を調べる一方で、当面はリスクを受け入れることに同意した。

会合は2026年9月14～15日に開かれ、議事録は29日に「Draft」として公開された。話題はその他の議題に置かれ、番号付き決議ではない。この公開段落には、担当役員も、評価日も、最初に試す対策もない。内部で作業が動いているかどうかは、ここからは分からない。ただ、会員が次に確認すべき日付は見当たらない。

発端となった事実の層は分けて読む。米財務省OFACの8月26日の原資料はAutistici Inventatiを指定リストに加え、ウェブサイトとしてwww.autistici.orgを掲げた。Timo HilbrinkはRIPEのDNS作業部会への投稿で、その2日後に.orgレジストリが対象ドメインへserverHoldを設定したと報告した。ICANNのEPP状態コード説明によれば、この状態はレジストリ運営者が設定し、ドメインをDNSで有効にしない。OFACの文書が示すのは指定という行為であり、レジストリへの直接命令はそこに記載されていない。

HilbrinkのRIPE 93での発表概要は、他の大きな汎用ドメインでも同種のことが起こり得るか、被害をどう抑えるかを問う。先の投稿では、もしripe.netがserverHoldになったらどうするか、とさらに踏み込んだ。これは将来の仮定である。RIPE NCCが指定を受けたという記録も、同団体のドメインが止まったという記録もない。議事録から読み取れるのは、理事会がその依存関係を議論の対象にしたことだ。

自前のリスク制度に、この案件はどう載るのか

RIPE NCCの2025年財務報告書には、使える手順がすでに書かれている。全社リスク評価は少なくとも年1回行い、部門別の登録簿を作る。許容水準を外れるリスクには対応計画を設け、ガバナンス委員会が進捗を監視し、理事会には年2回報告する。2025年12月に更新された許容方針は、運用とコンプライアンスには慎重、戦略上のリスクには均衡を求める。同報告書は、制裁や法域の違いがサービス、契約、継続性に影響し得ることも挙げる。

外部レジストリに依存するドメインの問題は、運用、法令対応、戦略のどこにも触れ得る。9月の公開議事録は、理事会がこの件をどこに分類したか示していない。「当面受け入れる」が許容範囲内との判断なのか、対策を整えるまでの暫定扱いなのかも明らかでない。年次報告書の制度と、実際の理事会判断をつなぐ一行が欠けている。

CEOの言う緊急時計画には、同じドメインを使うサービスの洗い出し、代替アクセス経路、会員への連絡、復旧試験などが考えられる。これらは検討対象の例であって、採用済み施策ではない。技術上の秘密を守りながら、責任者と試験の時期だけでも公開できる。そうすれば会員は、理事会の「検討する」がどこまで進んだかを追える。

制裁対象となる会員や供給先の審査とも区別が必要だ。RIPE NCCは財務報告書で、会員と供給先を継続的に調査し、自動化した制裁チェックを行うと説明している。それは同団体が管理する入口だ。ドメインの状態は外部レジストリの入口にある。制裁という同じ見出しに両方を押し込むと、誰が変更できるのかという肝心な差が消える。