要約

  • LACNIC理事会はDIR-POL-005.05を全会一致で承認し、最高評価ゾーンの残余リスクを理事会リスク委員会へ直ちに報告し、90日以内に対応策を提示し、120日未満でゾーンを下げることを目標とした。
  • 公開議事録には期間があるものの、起算、対応策の受理、ゾーン離脱を示す事象がない。匿名化した時計の受領票なら、リスクの中身を開示せずに経過を検証できる。

厳しい数字を支える短い決定

2026年2月23日、リマで開かれたLACNIC理事会はリスク方針の更新を審議した。議事録の第2.8項によれば、スタッフは最高評価ゾーンにある残余リスクに関する注記を加えるよう提案した。該当するリスクは理事会リスク委員会に直ちに報告し、90日を超えない期間内に対応策を提示する。さらに、120日未満でそのゾーンから下げることを目標とする。理事会はリスク管理方針第5版DIR-POL-005.05を全会一致で承認した。

この決定には、「引き続き監視する」という曖昧な表現にはない強みがある。深刻度の境界、監督する機関、中間の行為、目指す終点が一続きになっている。対象が残余リスクであることも重要だ。対策前の脅威一覧ではなく、既存の管理策を踏まえてなお残るリスクを扱っている。

まず、非公開を求める最も強い理由を認めるべきだ。組織のリスク台帳は、脆弱性、重要な委託先、人員、財務上の備え、対応計画を含み得る。内容を丸ごと公開すれば、かえって危険を増やすことがある。議事録からは、実務を担うスタッフ、理事会のリスク委員会、理事会全体という権限の段階も見える。5月には、リスクの再評価、対応、緩和策について、委員会に先に示された概要が理事会へ報告された。統治が存在しないわけではない。

問題はもっと限定的である。90日と120日という長さは公開されたが、時計を動かす出来事は公開記録にない。

報告、提示、低下を一つにしない

即時報告は監督権限を作動させる。対応策の提示は、審議可能な案を意思決定の場に載せる。最高ゾーンからの低下は、所定の方法による新たな評価を要する。案を出すことと、リスクが下がることは同じではない。実施を始めても、残余リスクの評価が直ちに境界を越えるとは限らない。

だから起点が必要になる。90日は、最初の算定から始まるのか、評価の確定からか、それとも委員会への報告からか。120日の目標も同じ起点なのか、別の承認を受けて始まるのか。評価に異議が出たときは時計が止まるのか。いったん下がったリスクが再び最高ゾーンに入ったとき、元の案件を再開するのか、新しい案件を起こすのか。

ここで挙げた可能性は、LACNICの内部運用を推測するものではない。完全な方針文書や内部システムには、すべて定義されているかもしれない。確認できるのは、公開議事録がそれらの項目を示しておらず、外部から二つの期限を再計算できないという点だけだ。

同じ理由から、期限超過を主張することもできない。2月の議事録は、当時実際に最高ゾーンのリスクがあったとは記していない。案件番号も、判定日も、期限もない。一般規則の承認は、個別案件の時計が始まった証拠ではない。

5月の報告が証明する範囲

5月24日の議事録には、リスクの再評価、対応、緩和のための管理策に関する作業概要が記録されている。その情報は、理事会リスク委員会に事前に提示されていた。2月に見えた監督経路がその後も機能していたことを示す、意味のある手掛かりだ。

ただし、個々の時計を閉じる証拠ではない。最高ゾーンの案件が含まれていたか、新しい規則が発動したか、どの対応策がどの期日に対応するか、どの再評価でゾーンを離れたかは書かれていない。活動の集約報告と、個別状態の受領票は別の証拠である。

詳細がないから何もしていない、と読むのは不当だ。概要が報告されたから全案件が期限内に終わった、と読むのも不当である。公開資料は、それが実際に証明できる範囲で使う必要がある。

版の履歴には2024年11月5日の議事録が役立つ。この日に理事会は第4版DIR-POL-005.04を全会一致で承認した。続く別文書の履歴に関する議論では、過去版は別に保管されており、整理に資源を使う必要はないとの意見が出た。この記録は現行方針が非公開だと証明するものでも、第5版の中身を補うものでもない。版番号、保管文書、議事録が異なる証拠であることを示すだけだ。

中身ではなく針の動きを公開する

公開すべきなのはリスク台帳ではなく、「最高リスク時計の受領票」である。案件には意味を推測できない識別子を付ける。残余リスクが最高ゾーンに入った日時、委員会へ即時報告した日時、各期間の起算根拠を記録する。

そこに、対応策の期限、提示または受理とみなす事象、責任者、承認権限、目標離脱日、現在のゾーン、証拠の大まかな種類をつなぐ。例外、一時停止、再開、訂正も別項目にする。現実が直線で進まないとき、記録だけをきれいな直線にしてはいけない。

この受領票に、脆弱性名、影響を受けるシステム、委託先、対抗策を書く必要はない。機密案件が定められた権限と時系列を通ったかだけを示せばよい。リスクの内容は守り、統治の遷移は検証可能にする。

原文の強さも保たなければならない。90日は対応策を提示する最長期間である。一方、120日未満でのゾーン離脱は「目標」とされている。前者を緩和完了と扱わず、後者を無条件の保証に変えないことが、証拠設計の出発点になる。

番号資源を支える組織の時計

LACNICはラテンアメリカ・カリブ地域のインターネット番号資源を支える組織である。登録、割り振り、経路安全、コミュニティーサービスは、組織そのものの継続性に依存する。運用者は機密台帳を読む必要はないが、最も高いリスク区分に適用される手続きの痕跡には正当な関心を持つ。

ネットワーク運用でも、警告、承認された計画、実装済みの対策、新しい残余リスク評価は別々の出来事だ。一つの赤信号や青信号にまとめれば、遅延と権限が消える。遷移を結べば、機密情報を広げずに学習できる。

LACNICはすでに、時間を統治の条件にするという難しい判断をした。次に必要なのはリスクの公開ではない。何が二つの時計を動かし、何が止め、訂正が履歴をどう変えたかを示す文字盤である。

この文字盤は、方針の発効日と個別案件の起算日も分ける。2月の承認日は第5版が権威を得た日であって、その後に最高ゾーンへ入るすべての案件の初日ではない。両者を混同すれば、実際より早い期限を置いたり、正式判定の遅れによって既存の曝露を時計の外へ追いやったりする。どの出来事を採ったかだけを公開すればよく、理由の機密性を損なう必要はない。

集約報告との役割分担もできる。5月のような概要は総量と傾向を示し、個別受領票は遷移時刻を保存する。版と報告期間で両者をつなげば、秘密の案件を推測させずに、規則が継続して記録を生んだかを確かめられる。

出典