요약

  • RIPE NCC 이사회 제195차 회의록 초안에는 미국 제재 지정 뒤 이탈리아 서비스 제공자의 .org 도메인이 DNS에서 빠진 일을 두고 벌어진 논의가 실렸다. 최고경영자는 비상 계획을 주문했고, 이사회는 보호책을 살펴보는 동안 위험을 ‘당분간’ 받아들이기로 했다.
  • RIPE NCC의 재무보고서는 허용 수준을 넘는 위험에 대한 대응 계획과 정기 감시, 연 두 차례 이사회 보고를 설명한다. 이번 사건을 다룬 공개 문단에는 담당자, 실행 조치, 재검토 날짜가 없다.

‘당분간’이라고 썼다면 날짜도 써야 한다

회의가 길어질수록 ‘당분간’은 매력적인 말이 된다. 당장 모든 답을 내놓지 않아도 된다. 문제는 그 말을 끝낼 사람이 정해져 있느냐다. RIPE NCC 제195차 이사회 회의록 초안에서 한 이사는 미국의 제재 지정 뒤 이탈리아 서비스 업체의 .org 도메인이 DNS에서 사라진 일을 꺼냈다. 최고경영자는 비상 계획을 세워야 한다고 말했다. 이사회는 일단 위험을 수용하고 가능한 보호책을 확인하기로 했다. 공개된 기록은 위험을 인정한 순간을 남겼지만, 다음 답변을 받을 날짜는 남기지 않았다.

회의는 2026년 9월 14~15일 열렸고 초안은 29일 공개됐다. 해당 논의는 별도 번호가 매겨진 결의가 아니라 기타 안건에 들어 있다. 문단에는 누가 위험을 맡는지, 어떤 범주에 넣었는지, 무엇부터 시험할지, 언제 다시 심의할지가 적혀 있지 않다. 내부에서 아무 일도 하지 않았다는 뜻은 아니다. 회원이 확인할 수 있는 공개 기록에 일정이 없다는 뜻이다.

사건의 첫 단계는 미 재무부 OFAC의 8월 26일 원문 발표에서 확인된다. OFAC는 Autistici Inventati를 지정 명단에 올리고 www.autistici.org를 그 단체의 웹사이트로 적었다. Timo Hilbrink는 RIPE DNS 작업반에 보낸 원문 글에서 이틀 뒤 .org 등록기관이 그 도메인에 serverHold를 적용했다고 전했다. ICANN의 EPP 상태 코드 설명에 따르면 등록기관이 이 상태를 설정하면 도메인이 DNS에서 활성화되지 않는다. OFAC 문서는 지정 사실을 보여주지만 등록기관에 직접 명령했다는 기록은 담고 있지 않다. 법적 결정과 기술적 상태 변경을 한 덩어리로 쓰면 누가 어느 버튼을 눌렀는지 흐려진다.

Hilbrink의 RIPE 93 발표 소개는 다른 대형 일반 최상위도메인에서도 비슷한 일이 벌어질 수 있는지, 피해를 어떻게 줄일지 묻는다. 메일에서는 ripe.net에 언젠가 serverHold가 붙는 경우를 가정했다. 가정은 사건이 아니다. 이번 자료 어디에도 RIPE NCC가 제재 명단에 올랐다거나 그 도메인이 보류됐다는 기록은 없다. 이사회가 그 가능성을 논의했다는 사실이 이번 기사의 출발점이다.

위험 관리표는 있다. 이번 항목은 어디에 있나

RIPE NCC의 2025년 재무보고서는 위험 관리 절차를 비교적 구체적으로 쓴다. 조직 전체 평가는 최소 연 1회 실시하고 부서별 위험 등록부를 갱신한다. 승인된 위험 수용 기준을 벗어나면 대응 계획을 만들고, 거버넌스 위원회가 정기적으로 점검하며, 이행 상황을 이사회에 연 두 차례 보고한다. 2025년 12월 갱신된 기준은 운영 및 규정 준수 위험에는 신중하게, 전략 위험에는 균형 있게 접근한다. 보고서는 제재와 관할권 차이가 서비스, 계약, 연속성에 영향을 줄 수 있다고 적었다.

외부 등록기관이 관리하는 도메인에 기대는 위험은 여러 칸에 걸칠 수 있다. 9월 공개 회의록은 이사회가 어떤 칸을 골랐는지 알려주지 않는다. ‘일단 수용’이 허용 기준 안이라는 판단인지, 대응책을 세우는 동안의 임시 결정인지도 알 수 없다. 연례 보고서에는 관리법이 인쇄돼 있지만, 이번 안건의 공개 표에는 연결선이 빠져 있다.

비상 계획이라면 같은 이름을 쓰는 서비스 목록을 만들고, 대체 접속 경로를 시험하고, 회원에게 알릴 통로를 준비하고, 복구 시간을 재볼 수 있다. 가능한 선택지이지 이미 시행한 조치라고 쓸 수는 없다. 보안상 민감한 설계를 숨기더라도 담당자와 시험 시기, 재검토 월은 공개할 수 있다. 그러면 회원은 ‘살펴보겠다’가 실제로 어디까지 갔는지 볼 수 있다.

회원이나 공급업체를 제재 명단과 대조하는 일은 다른 문제다. 재무보고서에 따르면 RIPE NCC는 그들을 지속적으로 조사하고 자동화된 제재 검색 도구도 쓴다. 그 절차의 입구는 RIPE NCC가 관리한다. 도메인 상태의 기술적 입구는 다른 등록기관에 있다. 둘을 모두 ‘제재 위험’이라고만 부르면 통제권의 위치가 보이지 않는다.

원문 자료