TIC Timor のデュアル AS 政府ネットワーク制御面：RDAP 識別と継続性の境界

要約

APNIC は、2 つのアクティブな AS 登録を TIC TIMOR I.P. に紐付けるが、サンプルの RIPEstat 表示では AS139688 のみがアナウンス済みと確認されている。これはレジストリとルーティングの制御面の差異を示すもので、二重常時稼働設計の証明にはならない。
政府ネットワーク、データセンター、サイバーセキュリティ、自治体連携の責任は、継続的な監督、保守、例外対応コストを生む。公開情報の能力説明は、こうしたコストを十分に測定していない。

政府デジタルサービスはアプリケーションだけで成立するわけではない。ユニークなネットワーク識別子から始まり、ルーティング、接続、データセンター運用、セキュリティ、サポート、復旧にまで続く一連の運用管理に依存している。各リンクは単体で正しさを満たしていても、全体としては脆弱な状態であることがある。自律システム（AS）レコードは適切な組織を示していても、もはや監視されていない役割を指し示すことがあり得る。あるルートが見えていても、継続計画は未検証のままのことがある。自治体が接続を受けていても、アプリケーションの所有者、インシデント権限、容量管理が不明確な場合がある。公共部門のデジタル化は、プロジェクトの羅列ではなく、維持運用されるシステムとして評価すべきだ。

TIC TIMOR I.P. は、実務上意味のある公開ケースだ。BTW のディレクトリオブジェクトは「TIC TIMOR IP administrator」という名称であり、これは別個の会社ではない。APNIC の RDAP レコードでは AS139687 と AS139688 の両方について、登録組織に対する管理者・技術担当の機能グループが設定されている。同じレコードが TIC TIMOR I.P. を登録主体として示し、別にインシデント対応役割も定義している。この区別は重要である。レジストリデータは識別子と責任の台帳であり、組織図そのものではない。また、すべての運用プロセスが機能しているという証拠にもならない。記事の本体はディレクトリオブジェクトを参照軸にし、本文では実際に登録を保有する公共機関へ言及する。

両方の APNIC レコードは確認時点でアクティブだった。ネットワーク名は異なり、AS139687 が TICTIMORIP-AS-AP、AS139688 が TICTIMORIP-AS である。RIPEstat の観測では AS139688 はアナウンス済み、AS139687 は非アナウンスと報告された。これは、登録状態と観測されるルーティング状態が異なる問いに答えることを示す。登録されていることは、ルート起源が常に確認できることを意味しない。登録は、計画上の役割、公開されない文脈での利用、短期休止、もしくは起源停止のどれかであり得る。今回の公開レビューだけでは、AS139687 がどの説明に該当するかは特定できない。AS139687 と AS139688 がアクティブアクティブ構成、フェイルオーバー対、別事業者利用、二拠点独立運用のいずれかを示す証拠にもならない。

TIC Timor の公共使命はルーティング運用より広い。2019 年の閣僚会議記録では、同機関が政府 IT ネットワークおよび他の公的主体のインフラと情報システムを管理するとしている。TIC Timor の 2025 年の説明資料は、政府ネットワーク基盤の管理、政府データの集中化、電子政府アプリケーション、配信拠点、ネットワーク接続、事業継続ソリューション、データセンター戦略を担当するとしている。その他の一次資料も、ネットワークとデータセンター、サイバーセキュリティ部門、自治体向け啓発・支援、他の公的機関とのインターネット回線調整を記述する。これらの記録は運用対象範囲と方針を示すが、民間構成の実態、測定可能な可用性、セキュリティ有効性、ネットワーク設計由来のコスト削減効果、特定機関の本番成果を実証するものではない。

したがって、最も妥当な解釈は運用面の問題として見ることである。TIC Timor は、相互に一致が必要な複数の制御面にまたがる。APNIC レコードは登録者と権限を一致させるべきである。期待されるルーティング状態は、第三者観測で確認できる実態に一致していなければならない。政府ネットワーク文書は実運転のトポロジーと一致すべきである。自治体統合では、支援とエスカレーションのモデルと一致すべきだ。データセンター、サイバーセキュリティ、アプリ、ネットワーク各チームは変更前提と復旧前提を共有する必要がある。事業継続の文言は、テスト可能な依存関係へ変換されるべきで、単独で証拠にはならない。

本記事はこの実務的実態を扱う。能力、信頼性、顧客・市民向け成果を分離し、監督、統合、保守、例外対応コストを可視化する。これらは通常、「ネットワーク」「データセンター」「接続」「デジタル変革」といった語に圧縮されるが、実態はそこで止まらない。失敗シナリオは列挙するが、TIC Timor で実際に発生したと断定しない。機密インフラを不当に開示することなく、リーダーシップが検証可能な情報を要求できる範囲を示す。

アイデンティティ境界：ディレクトリオブジェクトは運用ロール

最初の工学的制御は意味の正確性だ。APNIC の RDAP 応答の両 AS 番号には関連レコードが複数含まれている。TIC TIMOR I.P. は登録主体（レジストリ上の登録組織）である。一方「TIC TIMOR IP administrator」は、管理および技術のロールを持つグループ名である。別のインシデント対応グループが abuse（不正利用）ロールを担う。自律システムオブジェクトにはそれぞれハンドルとネットワーク名が割り当てられる。これらの記録は接続しているが、同義ではない。

これは重要だ。運用では、エンティティの同一性を過度に平準化する傾向があるためだ。ディレクトリには連絡先グループ名が組織名として表示される場合がある。チケットはメールアドレスに割り振られても、誰がレジストリ変更を承認できるかまでは保証しない。資産インベントリが AS 番号のみを保存し、実際の責任部門を欠くこともある。公開記事では役割ラベルを架空の会社名として扱うことがある。こうした誤りは説明責任を減らす。

正しいモデルには少なくとも 4 層ある。組織層では公共機関が識別される。資源層では AS139687 と AS139688 が識別される。ロール層では管理・技術・インシデント責任が識別される。稼働層は、識別子を使って実際に動作するルータ、回線、サービス、手順、人員で構成される。APNIC レコードは前 3 層を接続するが、4 層は完全には公開されない。

したがってレジストリ整合性には 2 つの次元がある。構文的整合性は、レコードに妥当な名称・住所・連絡手段があるかどうかを見る。運用整合性は、名前の付いたロールが監視され、適切な権限を持ち、必要な認証を通じ、必要時間内に対応できるかを見る。共有メールボックスは配信テストを通過しても、当直者が緊急ルート変更を承認できない場合、運用テストには失敗する。前職者の資格情報が技術的には有効でも、組織権限が終了していれば対応不能である。

保守には、登録者および全ロールの定期見直しを含めるべきだ。見直しは所有権、応答期待値、認証、エスカレーション、職務分離を検証する。加えて、レジストリ記録を機関の公開連絡先と内部資産所有情報と照合する。乖離は自動的にインシデントではないが、担当者と期限を持つ例外として扱うべきである。

ロールの区別は復旧時に効く。ルーティング異常はネットワーク事業者が必要である。疑わしい不正利用疑いにはインシデントチームが必要である。レジストリ変更の恒久更新には行政権限が必要である。公共サービス停止時にはアプリケーションまたは自治体サービスの所有者が必要である。4 つの問題を一人の非差別化連絡先に集約すると、遅延と事後の責任追跡の難化が生じる。

公開分析も同じ原則を保つべきだ。RDAP レコードは、既存ディレクトリが TIC TIMOR I.P. に紐づく管理・技術ロールを示すことを支持する。だが、担当人数、報告線、当直体制、全承認者の同定といった事項までは確定しない。そうした不明点は、発明的な物語で埋めるのではなく、追加デューデリジェンスの対象にすべきである。

2 つの登録 AS は、冗長設計の証明にはならない

自律システム番号は一意のルーティングポリシー識別子である。レジストリに存在していることで、資源の割当と保有者・連絡先の情報が確認できるが、どのルータが使用しているか、設置場所、接続事業者、現在の起源宣言の有無、運搬トラフィックの内容は示さない。

APNIC のレコードでは、AS139687 は TICTIMORIP-AS-AP、AS139688 は TICTIMORIP-AS と識別される。両方ともアクティブ状態で返却された。観測時点でも、組織と機能ロールの紐付けは両レコードで実質的に一貫していた。この結果として有用な基礎在庫が得られる。すなわち TIC TIMOR I.P. は 2 つの別個の登録 AS 識別子を保持し、ディレクトリロールが両方に関連しているということだ。

この基礎情報は重要である。別 AS は複数の正当な設計を支えうる。ネットワーク分離、ポリシー領域分割、環境別、組織単位別、移行過程、将来容量確保などに利用できる。公開のないまま割当て継続される場合もある。レコードだけで設計意図は特定できない。数字が「2 つ」であることを「冗長」であると同一視するのは、重大な分析誤差である。

実際の冗長性は障害ドメインによって決まる。2 つの AS が同一チームで運用される場合、同じルータ、電源、ファイバ、上位接続、設定システム、認証情報、変更時間帯を共有していることがある。逆に、1 つの AS が複数の独立施設や複数事業者で運用されることもある。資源数だけでは回復性指標にならない。

2 つの資源識別子の実効価値は、目的の記録化に依存する。インベントリには各 AS の目的、想定プレフィックス、許可起源、上位接続・ピア関係の想定レベル、監視範囲、変更権限、廃止条件を明示する必要がある。その記録は公開である必要はないが、運用者側では整備されていなければならない。

目的はアラート設計にも反映される。AS139687 が想定上未アナウンスなら、その消失アラートはノイズである。AS139687 が移行時のみ想定されるなら、常時見え続ける状態がむしろ異常だ。AS139688 が期待される公開起点なら、その不可視化は重要だ。期待状態モデルがない限り、状態値を安全に解釈できない。

ライフサイクル制御は、取得、起動、変更、一時停止、廃止を含む。起動前には、ロール権限、ルーティングポリシー、フィルタ、セキュリティメタデータ、監視、連絡先をそろえる必要がある。運用中は、観測ルートを承認済み基準と照合する。移行時には限定期間、旧状態と新状態の双方が有効になり得る。廃止時はルート、資格情報、フィルタ、監視ルール、公開記録を順序立てて削除または更新する。

主要資産がネットワーク識別子であっても、ソフトウェアライフサイクルとロックインは無関係ではない。運用方針は、ルータ設定、監視ルール、資産 DB、事業者ポータル、レジストリインターフェース、運用手順書にまたがって符号化される。2 つの AS 間の意図した関連を再構成できる人物やツールが 1 つだけの場合、継続依存が高い。可搬性には最新の記録と再現可能な手順が必要であり、番号保有だけでは足りない。

登録状態と観測ルート状態は別の質問に答える

RIPEstat の AS 概要は観測時に 2 つの番号で異なるアナウンス状態を示した。AS139688 がアナウンスされ、AS139687 が未アナウンスだった。これは時点付きの外部観測であり、恒常的な説明ではない。公開されるルーティング観測は、すべての限定環境を捉えられるわけではない。ルーティングは問い合わせ後にも変化する。

この差異は、ネットワーク保証には複数のデータソースが必要であることを示す。RDAP は「誰がリソースと紐付き、どのロールが記録されているか」を返す。ルーティング観測は、資源が現在の公開 BGP に参加しているかを返す。どちらも単独では不十分だ。

登録があり観測ルートがないのは、まったく問題でないことがある。リソースが未使用、予約、限定環境用、あるいは一時停止状態である可能性がある。一方、観測ルートがあるが登録が不正確なら、交通は流れていてもインシデント対応の責任記録が信頼できない。

信頼できる状態は、組織意図、レジストリデータ、ルーティングポリシー、観測結果の整合である。

運用基準は各 AS について期待状態を定義する必要がある。どのプレフィックスを想定するか、変更予定、観測点での可視化期待速度、変動を許容する権限者を明確化する。基準はバージョン管理されるため、調査時に旧期待と不正変更を区別できる。

監視は複数次元で比較すべきだ。起点監視は、想定プレフィックスが意図した AS の下に現れているかを見る。可視性監視は、複数観測点での可視化確認を見る。経路監視は上位接続やピア変更の説明を要求する。レジストリ監視は、組織・ロール記録の一貫性を見る。設定監視は、稼働機器が承認ポリシーに一致するかを見る。これら全域に保守された入力がない限り、単一ダッシュボードで適切に推定することはできない。

例外処理が重要である。ルート欠落は保守、上位接続問題、局所設定エラー、観測不足、あるいは意図的撤退のどれかを示すことがある。想定外のルート出現は、計画テスト、移行、漏洩、権限外操作のどれかであり得る。自動化は偏差の特定と証跡保全を行い、担当者は変更記録と業務文脈をもとに分類すべきである。

公開証拠は、2 つの有効な APNIC 登録が存在し、サンプル観測で AS139688 のみが公開ルーティングされ AS139687 はされなかったという限定的結論しか与えない。可用性、ルート量、隣接多様性、トラフィック制御、失敗発生自体については示していない。境界を守ることで、観測情報の有効性が高まる。

政府ネットワークの使命は、複数所有者の制御面を生む

2019 年の閣僚会議記録では、TIC Timor は政府および他の公共エンティティの IT ネットワークを管理し、ICT インフラと情報システムを担当する公的機関として記載される。記録には、国内外接続、機器・ソフトウェアの互換性、相互運用性、データセキュリティの方針目標もある。

TIC Timor の 2025 年の説明資料でも同様に幅広い範囲を提示している。ICT・電子政府プログラムの委託、政府ネットワークインフラ管理、政府データ集中化、アプリ開発、堅牢なデジタルインフラ、政府向けデータセンター、配信点、ネットワーク接続、事業継続、国家 ICT インフラとの統合を示している。

その幅は調整コストを生む。ネットワークインフラ、データセンター設備、クラウド基盤、サイバーセキュリティ、アプリ、ID、自治体接続、政策がそれぞれ別の領域であり、予算、事業者、リリース周期、障害閾値が異なる。局所的に正しい変更が、横断的には障害を引き起こすことがある。

新規自治体サービスを例にとると、アプリケーションチームは機能するシステムを構築できても、ネットワーク経路の容量不足や名前解決の不安定性を抱えることがある。ネットワーク側は接続を提供できても、ID とアクセス制御が未整備のままの場合がある。データセンター側はサービスをホストできても、バックアップの所有者が不明確なことがある。サイバーセキュリティ側の制御が正規ワークフローを阻害することもある。自治体はアクセス権を持つ訓練済みサポート連絡先を持たずに受け入れた状態になり得る。これらは必ずしも過失ではなく、所有境界で自然発生する。

そのため運用モデルは、単独資産リストではなくサービスマップを必要とする。サービスマップは公的機能を、アプリ、データ、ID、DNS、ネットワーク経路、ホスティング、監視、事業者、サポートロール、復旧目標へと接続する。権威ある記録と観測状態を明確に分ける。どの変更を誰が承認でき、どのリスクをどこまで受容するかを明示する。

相互運用性はさらに一層の層を加える。閣僚会議での装置・ソフトウェア互換性要件は、バージョン、証明書チェーン、データ形式、時刻同期、エラー処理の一致が本番で検証されなければ曖昧さのままである。統合テストと変更管理は依然として必要だ。

データの集中化はガバナンスを整理し、一貫性を高める可能性があるが、同時に依存を集中化させる。データと ID、ネットワーク、サポートの共通サービスが共通障害点になることがある。結論が「集中化は良い／悪い」に収束する必要はない。重要なのは、依存している公共機能の数に比例した容量、冗長化、権限、保守、復旧制御を明示することだ。

TIC Timor の公開使命は、本調査で同機関がネットワーク制御面の対象であることを示すが、すべてが一元化されることや全省庁が同一アーキテクチャを採用すること、すべての行政サービスが AS139687 と AS139688 に依存することは示していない。そうした関係は開示されておらず、推定してはならない。

配布拠点、自治体、エッジ統合コスト

TIC Timor の公開資料では、配布拠点、拡張ネットワーク接続、自治体活動、地方行政サービスに触れている。Oé-Cusse、マナトゥト、ディリに関する報告は、電子政府啓発、地域ネットワーク接続、ネットワークインフラ、データセンター、サイバーセキュリティ、技術支援を扱う。INDMO の報告は、同機関のデジタル基盤支援のため、インターネット回線敷設に関する調整を述べる。

これらの記録は組織到達範囲と統合活動を示すが、すべての自治体で本番接続が完了したことや目標を満たしたこと、特定のユーザー成果が得られたことを証明しない。啓発イベントは参加と訓練の実施を示すだけであり、性能指標ではない。計画会議は調整の実在を示し、配布完了を直接示さない。

エッジ統合には複数の技術段階がある。各当事者はサービス境界を定義し、接続方式を選び、必要アドレスと名称を確認し、セキュリティポリシーを設定し、アプリ検証を行い、監視を整備し、サポートを文書化し、受入れ証拠に合意する。これには TIC Timor、受入れ機関、回線事業者、設備、アプリ所有者、セキュリティチームが関与する。

国家側と地方側の引き渡しは重要である。中央チームがバックボーン到達性を監視しても、自治体がローカルスイッチング、電力、端末、ユーザ支援を担う場合がある。中央のリンクが健康でも公共サービスは利用不可のままになり得る。逆に、自治体側アプリの問題がネットワーク障害として誤分類されることもある。共有診断では、サービス境界と各チームの証拠能力を明確にする必要がある。

地理的条件は保守前提を変える。移動時間、機器入手性、電力品質、回線修復手順、現地要員が復旧時間に影響する。遠隔管理は移動を減らす一方で、セキュアアクセスとアウト・オブ・バンド経路への依存を増やす。予備機材は復旧時間を短縮できるが、在庫とライフサイクルコストを生む。標準化された構成はサポートを簡素化するが、サイトごとの適合が必要な場合がある。

容量計画も端から端までである。全国系の高容量リンクがあっても、地方のアクセス、アプリ、サーバ、端末が制約を残せば自治体サービスは改善されない。負荷増加はある層で先に顕在化する。監視は、物理障害、輻輳、パケットロス、名前解決遅延、認証遅延、アプリ応答、利用者報告症状を分離して追う必要がある。

受入れはサービス単位で設計すべきである。接続テストは到達性を確認できるが、アプリケーションの実用性、バックアップ完了、インシデント解決能力を確認しない。より強い受入れ成果物は、リンク状態、経路と DNS チェック、アプリ取引、監視登録、サポート責任、ロールバック条件、次回レビュー日を含む。

公開説明での自治体拡張は政策目標を示すにすぎない。運用継続は、こうした反復的な統合・支援実践の品質で決まる。これは「接続拡大」「ローカルネットワーク」の語の背後にある実務である。

データセンター集中化とクラウド計画は境界管理を要する

TIC Timor の公開報告は、政府データセンター、政府データ集中化、データセンターサービス、サイバーセキュリティ責任、将来のハイブリッドクラウド統治を述べる。これらは能力と計画の説明であり、特定アーキテクチャ、クラウド事業者、認証、冗長レベル、ワークロード配置を断定する根拠にはならない。

データセンター集中化は依存関係図を変える。アプリケーションは共有の計算・保存、ID、DNS、ネットワーク、ログ、バックアップ、物理施設に依存する。共有サービスは重複を減らし、制御の一貫性を改善できる一方、共通障害や保守エラーの影響を拡大する可能性がある。

境界管理は所有権から始まる。設備チームは電力、冷却、物理アクセス、ハード環境を担当する。プラットフォームチームは仮想化、保存、OS、クラウドの制御面を担当する。ネットワークチームは接続とルーティングを担当する。アプリチームは業務ロジックとデータ利用を担当する。セキュリティチームは統制を定義・監視する。サービス所有者は復旧優先度を決定する。信頼性の高い運用はこれらの境界を可視化しながら、単一の説明責任を維持する。

ハイブリッドクラウドの統治は可搬性とライフサイクルの課題を増やす。ワークロードは事業者固有の ID、ネットワーク、ストレージ、監視、デプロイインターフェースに依存し得る。設計を「ハイブリッド」と呼ぶだけでは可搬性は得られない。データエクスポート、設定再構築、資格情報復旧、ネットワーク再接続、アプリ検証を検証可能にしておく必要がある。移行時にどの構成要素が移動可能で、どの機能がどの程度停止するかを明確にすることが必須だ。

バックアップは別の曖昧点でもある。バックアップジョブの成功は、データがどこかに書かれたことを示すだけで、完全性、可読性、保護、復旧目標内での回復時間を示さない。復旧試験は、アプリ整合性、ID、ネットワーク設定、依存関係、運用者アクセスを含めるべきである。データセンターが物理的に稼働していても、重要サービスの再構成ができない場合がある。

共通基盤の利用が増えるほど、変更調整は難しくなる。証明書更新、DNS 変更、ファイアウォール規則変更、ストレージ更新、ID ポリシー変更は多くのアプリへ影響を与える。変更手順は下流サービス、メンテ重複、ロールバック制約、検証責任を明示する必要がある。高リスク変更は段階的ロールアウトと独立した復旧アクセスを要する場合がある。

公開透明性はセキュリティとの均衡が必要だ。市民と行政機関は責任・サービス範囲・障害窓口を知ることが利益だが、ラック配置、住所、認証情報、具体的防衛構成は保護したままにすべきである。検証は、機密トポロジを公開せずに制御エビデンスと手順検証で示せる。

公開ソースは、データセンター運用とクラウド統治が TIC Timor の宣言する実務範囲に含まれることを支持する。ただし、特定設計の回復力や特定サービスが復旧目標を満たしたかどうかは示さない。これには時点付きでワークロード単位の証拠が必要だ。

サイバーセキュリティは説明ラベルではなく運用依存である

TIC Timor のサイトと資料はサイバーセキュリティを組織責任として示す。2024 年の記録では、電子政府データセンターに集約される重要データを保護するセキュリティユニットが言及される。別の公開資料は、セキュリティ脅威、プライバシー、人的資源、予算制約など、デジタル変革の課題として扱う。

これは有用である。技術運用は摩擦ゼロではないことを前提として制約を可視化するからだ。セキュリティ制御は、スタッフ時間、統合工数、保守窓、例外容量を消費する。適切に調整されていない場合、リスク低減を目的としていてもサービス停止を生みうる。

ネットワークセキュリティは有効な ID とルーティング記録に依存する。インシデントチームは AS 資源について正確な連絡先を必要とする。監視は期待されるルートとサービス基準を必要とする。アクセス制御には入退社の権限更新が必要である。ログには時刻同期と保存期間が必要である。脆弱性管理は資産所有者情報を要する。復旧には、基幹 ID が低下しても使用可能な資格情報が必要だ。

セキュリティツールにもライフサイクルコストがある。センサー、ファイアウォール、エンドポイント制御、証明書サービス、ログ基盤は更新・調整・保管・解釈のための継続投資が必要だ。誤警報が多すぎる制御は無視される。レビューされないルールは正当な変更を拒否する。責任者のいないダッシュボードはリスクを示すだけで低減しない。

例外処理は事前設計が前提だ。公的組織では、上位レコードが古いまま、証明書が期限切れに近い、セキュリティ制御が緊急ワークフローを阻害する状況でも、サービス復旧が必要となる。対応は、承認者、代替監視、恒久修正期限を伴う限定的例外として設計されるべきである。広範な機能停止させる停止手続は、可用性問題をセキュリティ問題に転化し得る。

セキュリティと継続性は別々に最適化すると対立が生じる。厳格なネットワークフィルタは通常時を守るが、フェイルオーバーパスを阻害する。バックアップアカウントは復旧を助けるが、特権リスクを増やす。中央化された ID は統治を改善する一方、復旧依存を増やす。設計レビューは通常状態と劣化状態の両方を評価すべきだ。

ここでも主張の厳密さが重要だ。サイバーセキュリティユニットの存在は能力の根拠である。脅威の議論はリスク認識を示す。どちらも、実際に事故が発生したか否か、制御が有効であるか、システム全体が安全であるかを証明しない。本質的な問いは、資産網羅、検知責任、対応権限、復旧テスト、証拠の鮮度である。

監督、統合、保守、例外対応コスト

TIC Timor の公共使命に伴う運用コストは、ハードウェアと帯域幅だけでは把握できない。記録、システム、チーム、機関を整合させる労力が主である。

監督は期待状態から始まる。2 つの AS 資源について、公開ルーティングを意図するか、各ポリシードメインのプレフィックス、許可変更を明示する必要がある。政府サービスでは、必要依存関係、監視、復旧目標、支援境界を明示する。文脈なしのアラートは対応量は増やすが、確証を増やさない。

統合作業は層を接続する。レジストリの連絡先はネットワーク権限と一致すべきだ。ルーティングポリシーはアドレス計画とセキュリティメタデータと一致すべきだ。DNS と ID はアプリケーションと一致すべきだ。自治体連結は地元設備・支援体制と一致すべきだ。データセンター容量はワークロード需要と一致すべきだ。サイバーセキュリティ制御は変更・復旧手順と一致すべきだ。

保守は時間と共にこの整合性を維持する。担当者変更、証明書期限、ソフト終了、事業者サービス変更、機器経年、アプリ依存追加が生じるため、元の記述は正しくても文書は陳腐化する。保守プログラムはリスク基準に応じてレビュー周期を設定し、記録を一律に扱うべきでない。

例外対応は不確実性を吸収する。ルート観測が基準と一致しない場合、自治体で中央変更中のリンク不具合が起きる場合、セキュリティ制御が正規業務を阻害する場合、データセンター依存が完全停止せずに劣化する場合、それぞれで証拠収集、分類、権限、連絡、フォローアップが必要となる。

コストは少なくとも 6 分類できる。第一は人員であり、当番体制、訓練、相互レビュー、演習を含む。第二はツールであり、監視、設定管理、ログ、チケット、セキュアアクセスを含む。第三は統合であり、ネットワーク、ID、アプリ、機関境界を越えるテストを含む。第四は保守であり、更新、更新期限管理、記録、交換在庫、廃止を含む。第五は例外であり、インシデント対応、暫定制御、恒久修復を含む。第六は保証であり、監査、復旧試験、ルートレビュー、受入れ評価を含む。

これらは失敗を意味しない。これは共有制御面を責任を持って運用するコストである。能力範囲が広いほど保守するインターフェースは増加する。公共機関の中央化も、各省庁ごとの分散運用を置き換えることによる効率やコストだけでなく、調整コストの再配分を伴う。

効率評価は、コスト抑制そのものではなく、成果とリスクに対するものとすべきだ。レジストリ比較の自動化はレビュー時間を短縮できるが、不一致の解釈は人が担う。自治体設定の標準化は変動を減らせるが、例外統治は維持される。中央監視を集約すると可視性は改善するが、地方チームは実務上のエスカレーション経路を必要とする。

最も有効な制御は再利用可能な証拠の整備だ。サービスマップは変更審査、インシデント対応、監査を支える。期待ルートのバージョン管理が監視と復旧を支える。検証済みの復旧手順が継続性と訓練を支える。最新の権限マトリクスがセキュリティと運用の双方を支える。再利用証拠は保証の限界コストを下げる。

テスト可能な仮説として扱う失敗モード

公開証拠は、以下の失敗仮説を支える。どれも TIC Timor で実際に発生したとは示さない。

1. レジストリロールのドリフト

管理、技術、登録、インシデントのロールが人事・組織変更後に古くなることがある。テストでは、連絡可否ではなく権限と応答を確認する必要がある。

2. 登録状態と期待状態の混同

有効な ASN 登録を、ASN が公開ルーティングされることを示す想定と誤解することがある。対策は、各資源に対する版管理された目的とルーティング基準を定義することだ。

3. 想定外のルート出現

AS が公開ルーティングされない前提でも現れることがある。分類には、計画変更の文脈、起点とプレフィックス証拠、エスカレーション担当者が必要だ。

4. 想定ルートの消失

期待する公開ルートが消える場合、保守、設定、上位障害、観測の欠落が原因になり得る。複数の証拠ソースとサービス影響テストで誤分類を減らす。

5. 冗長性推論の誤り

2 つの AS が同じ運用依存を共有していても、実質的なフェイルオーバー設計にはならない。継続レビューでは実際の障害ドメインを図示する。

6. 設定とレジストリの乖離

ルータ、監視、フィルタの設定が旧組織名や旧連絡先、旧方針を参照することがある。定期的再照合を行い、権威記録を下流の利用者へ接続すべきである。

7. 自治体引き継ぎのギャップ

中央リンクが敷設されても、地方側で電力、スイッチ、アプリ、ユーザー支援の所有者が明確でないことがある。受入れは境界とエスカレーション経路を記録すべきだ。

8. 容量ボトルネックの移行

バックボーンやインターネット容量を増やすと、ボトルネックが地方側アクセス、アプリ、ID、保存に移る。エンドツーエンド測定で層を分離する。

9. 中央依存の集中

中央化された DNS、ID、ネットワーク、データセンターが共通化すると、1 件の変更や障害で影響が拡大する。サービスマップと段階的変更で共有依存を特定する。

10. 復旧困難なバックアップ

バックアップジョブが成功しても、ID、ネットワーク、構成、資格情報が欠ければアプリ復旧は失敗する。ワークロード単位での復旧試験が必要である。

11. サイバーセキュリティ制御と継続性の衝突

平時では適切な制御が、フェイルオーバーや緊急時ワークフローを阻害する場合がある。劣化状態のテストには、セキュリティと継続性の双方の責任者が参加すべきである。

12. 保守重複

事業者、設備、プラットフォーム、アプリチームが別々に安全作業を行っても、同時に行えば複合的な停止を生む。共有カレンダーとリスク受容権限でこれを防ぐ。

13. 記述と運用状態のずれ

配布拠点、サービス、連絡先、アーキテクチャの公的または内部説明が実務変更に遅れることがある。所有者とレビュー日時を明記するとズレが見える。

14. ヘルプデスクに権限がない

地方または中央の窓口が案件を受けても、対応できるアクセスや承認権限がないことがある。連絡可能性と権限を同時に検証する。

15. 能力を市民成果として扱う誤り

データセンターサービス、政府ネットワーク、サイバーセキュリティユニット、自治体プログラム、2 つの AS 登録は、能力または活動の記述であり、単体で高速化、コスト低減、可用性向上、利用者体験改善を実証するものではない。

能力、信頼性、生産成果は別個の証拠類型

能力の証拠は、組織に付与、装備、設計されたことを示す。TIC Timor は政府 ICT ネットワーク、インフラ、情報システム、電子政府、データセンターサービス、関連支援を公共使命として扱う。APNIC 記録は 2 つの登録 AS を示す。一次情報は自治体参加、ネットワーク統合、サイバー責任を記述する。

信頼性の証拠は、能力が継続的に想定通り動いていることを示す。サンプルの RIPEstat 概要は狭い外部ルーティング観測を示す。公開報告は日付と記載された活動を示す。これはサービス水準、障害率、復旧性能、内部テスト結果を確定しない。

生産成果の証拠は、特定行政機関、サービス、利用者群、市民ワークフローで何が実現したかを示す。調整報告は、関係者が会ったことを示す。接続の容量目標を満たしたことまでは示さない。啓発イベントは参加を示すが、アプリケーションの信頼性改善は示さない。効率改善の公開説明は目標を示すことはできても、ネットワークの因果寄与を特定しない。

これらを分離すると意思決定が改善される。リーダーシップは能力証拠で運用範囲を定義し、信頼性証拠で現在の統制と検証を要求し、生産成果証拠で公共価値を評価する。類型が混在すると、根拠なき過剰自信か不当な否定に至る。

同じ分離原則は公開報告にも適用する。APNIC の識別はレジストリ識別として扱う。RIPEstat の結果は時点付き観測として扱う。機関報告は一次情報として扱う。政府記録は権限証拠として扱う。性能結論は日付と手法が明示された測定でのみ提示する。

公開証拠で判明することと不明点

証拠が示すのは、TIC TIMOR I.P. が政府 ICT・電子政府の使命を持つ公的機関であること、APNIC が同組織と既存の administrator ロールを AS139687 と AS139688 に関連付けていること、両登録が観測時点でアクティブであったこと、RIPEstat では AS139688 がアナウンスされ、AS139687 が非アナウンスであったこと、TIC Timor が政府ネットワークインフラ、データセンターサービス、配布拠点、サイバーセキュリティ、事業継続、自治体活動、他の公的機関との統合を公開で語っていること、である。

一方、証拠は非公開のトポロジー、アドレス台帳、事業者、ピア方針、施設、設定、ルートフィルタ、セキュリティ設計、要員、当直体制、保守履歴、事故履歴、可用性、レイテンシ、スループット、復旧結果を開示していない。2 つの AS が冗長化され、独立し、両方本番利用されているとは示していない。また、ある自治体接続やデジタルサービスが特定成果を達成したことも示していない。

これらの不明点は証拠の欠陥ではない。なかには公開されるべきでない情報もある。実務上必要なのは、意思決定に見合う制御証拠を要求することだ。具体的には、最新のロールレビュー、期待ルート基準、サービスマップ、変更記録、復旧テスト、受入れ証拠、時点付き成果測定である。これは、セキュリティを保護しながら運用継続を検証するための実務的な方法だ。

TIC Timor のデュアル AS 政府ネットワーク制御面：RDAP 識別、ルーティング継続性、公共サービス統合コスト

要約