Resumo

  • A minuta da reunião da Diretoria da ARIN de janeiro de 2026 informa que a auditoria periódica do Registration Services Department não encontrou tíquetes auditados em desacordo com o NRPM e considerou o departamento eficiente.
  • A minuta de abril trata de outra auditoria, encomendada à Baker Tilly após o erro de emissão 4.10 de dezembro de 2025. O registro diz que foram encontradas inconsistências em todas as áreas examinadas, mas observa que os dez critérios haviam sido criados recentemente e não eram antes um foco.
  • Janeiro relata conformidade de tíquetes com a política; abril relata testes estruturais contra novos critérios de controle. As páginas públicas não oferecem população, amostra, método, denominador nem gravidade completa que permitam transformar os dois resultados em uma única nota.
  • Uma matriz de auditoria versionada deveria ligar cada trabalho ao gatilho, período, unidade, regra ou critério, exceções e gravidade, responsável e prazo, reteste e às transações que um eventual Registry Control Plane de fato controlará.

O denominador desapareceu do contraste mais chamativo

As expressões têm força retórica. “Nenhum tíquete fora de conformidade” sugere uma operação sem falhas. “Inconsistências em todas as áreas” sugere o oposto. O registro público da ARIN, porém, não sustenta nenhuma dessas extrapolações.

A minuta de 13 de janeiro chama o item de “2025 ARIN RSD Audit Report”. O CXO explica que, a cada dois anos, uma empresa externa revisa documentação, etapas de fluxo e estrutura do Registration Services Department. Segundo a ata, a auditoria de tíquetes não encontrou nenhum em desacordo com o Number Resource Policy Manual, e o departamento continuava operando com eficiência.

Não há na página o universo de tíquetes, o tamanho da amostra, a forma de seleção, o período nem a distribuição por tipo de pedido. Assim, zero é o número público de exceções entre os itens auditados, não evidência de que toda a população foi lida. Também não é uma afirmação sobre cada controle de inventário, autorização ou aplicação.

A minuta de 19 de abril descreve um trabalho acionado por outro motivo. O incidente de dezembro revelou um controle que permitia execução por uma única pessoa. A ARIN pediu uma auditoria externa e contratou a Baker Tilly. Mike Cullen apresentou um relatório preliminar, e a ata diz que foram encontradas inconsistências em todas as áreas examinadas. A mesma passagem informa que os dez critérios eram recentes e não tinham sido um foco anterior.

Essa ressalva define o alcance do achado. Um critério recém-formalizado pode revelar uma fraqueza estrutural importante. Ele não transforma automaticamente uma prática passada em violação de uma obrigação que já existia. Da mesma forma, um tíquete que segue o NRPM pode documentar uma decisão correta sem provar que os sistemas que a executam impõem separação de funções e reconciliação de estado.

Não há, portanto, base para dizer que um relatório desmentiu o outro. Há duas perguntas de garantia que precisam manter seus rótulos.

O incidente de sete dias foi uma sequência de estados

O relato de 12 de dezembro mostra por que o plano de execução merece uma auditoria própria.

O bloco 23.150.164.0/24 havia sido corretamente alocado a um cliente. Em 2 de dezembro de 2025, durante o processo de distribuição 4.10, ele foi removido e reemitido para outro. A ARIN descreve um inventário manual e parcialmente off-line, mantido em um livro eletrônico e em uma planilha Excel separados do sistema principal.

A remoção eliminou também serviços de registro associados, incluindo a ROA e o DNS reverso. Um provedor terceiro anunciou o prefixo sob o cadastro incorreto. Não houve detecção automatizada. O cliente original comunicou o problema em 9 de dezembro, depois de cerca de sete dias de estado incorreto.

A ARIN restaurou o bloco, entregou um /24 substituto ao segundo cliente, coordenou a retirada da rota e concluiu ações corretivas naquele dia. O relato público não contém uma declaração de impacto técnico do cliente. Ele não permite afirmar que houve indisponibilidade, perda de tráfego mensurada, comprometimento ou ação maliciosa.

Tampouco permite reduzir a causa a um erro humano isolado. A própria ARIN aponta a combinação de inventário híbrido, regras de negócio insuficientemente integradas e execução por uma só parte. O relato marca como concluídos controles imediatos: tíquetes com exclusão de rede passaram a um grupo restrito de analistas experientes, sujeitos a dupla revisão e a uma segunda checagem em horários definidos.

Esse controle já existe no registro e não deve ser descrito como ausente. O que precisa ser testado é sua cobertura: quais exclusões entram no fluxo, se o segundo revisor é independente, como uma exceção é autorizada e se o estado final é reconciliado entre inventário, ROA, DNS reverso e anúncio.

Uma auditoria de tíquetes pode confirmar que a decisão registrada segue a política. Uma auditoria de controles precisa verificar se aplicações, papéis e inventários impedem uma transição indevida, a detectam e permitem revertê-la. O incidente mostra o espaço entre essas duas garantias.

A ARIN pode publicar coordenadas sem publicar segredos

Comparabilidade não exige expor dados de clientes, credenciais ou uma planta detalhada da segurança. Requer um conjunto estável de campos em torno da conclusão.

Campo de controle Divulgação mínima e segura
Trabalho Identidade estável, órgão que encomendou, auditor e estado preliminar/final
Pergunta Gatilho, objetivo, período e garantia pretendida
Conjunto População, amostra, método de seleção e unidade de análise
Referência Seção e versão do NRPM ou versão do critério de controle
Exceção Área, definição, quantidade, denominador e gravidade delimitada
Correção Recomendação, responsável, prazo, dependência e estado
Verificação Método e data do reteste, resultado e risco residual
Arquitetura Aplicação e transação cobertas pelo Registry Control Plane

Em janeiro, a minuta cita os anexos W e X e recomendações, mas a página não os enumera. Em abril, cita um relatório preliminar, dez critérios, áreas examinadas e recomendações, sem listar critérios, quantidades ou severidade. Isso não prova que a Diretoria não recebeu detalhes; mostra que o público não consegue reconstruir o limite do achado.

O quadro também impede inferências atraentes. A auditoria periódica não prova que todos os tíquetes foram verificados nem que todos os controles funcionaram. A auditoria do incidente não prova dez falhas, uma por critério, nem gravidade elevada em cada área. Critérios novos não podem ser convertidos retroativamente em deveres antigos. As fontes públicas consultadas não demonstram que a Baker Tilly produziu um único relatório público combinando os dois trabalhos ou que os anexos citados estejam disponíveis.

Uma versão do critério é tão importante quanto seu nome. Se a ARIN mudar uma definição entre achado e reteste, a matriz deve distinguir o fechamento contra a versão original da conformidade com o novo padrão. Sem isso, uma melhoria aparente pode ser apenas uma mudança de régua.

O Registry Control Plane ainda precisa dizer onde começa

A discussão de abril propôs uma camada entre aplicações: o Registry Control Plane. Ela centralizaria controles definidos pela Diretoria e pelos executivos, reduziria a execução por um único ponto e apoiaria a auditabilidade.

O raciocínio é plausível. Regras repetidas em aplicações diferentes podem divergir; um inventário paralelo pode contornar uma validação; um ponto comum pode aplicar decisões e registrar evidências de modo uniforme. Mas a ata registra perguntas ainda abertas.

Os diretores quiseram saber o que a camada faria, qual sistema, aplicação ou integração viria primeiro, como a integração funcionaria e que prioridades internas seriam afetadas pelo desenvolvimento externo. Custo e tempo ainda precisavam ser especificados. Por isso, a proposta não pode ser tratada como aprovada, financiada, contratada, implantada, testada ou eficaz.

O alcance deve ser expresso como transações. No caso de dezembro: distribuição 4.10, retirada do inventário, remoção de ROA e DNS reverso, reemissão, entrega do bloco substituto e qualquer sobreposição emergencial. Cada etapa deve ligar aplicativo de origem, versão da regra, identidade solicitante, aprovação independente e evidência de reconciliação pós-alteração.

Uma camada que registra a exclusão mas não define qual inventário é autoritativo apenas cria um histórico melhor de uma ação errada. Uma camada que bloqueia o caminho normal, mas preserva uma exceção opaca, transfere o risco para a exceção. O valor do controle está na fronteira de autoridade, no modo de falha, na governança de bypass e no reteste — não no nome da arquitetura.

Minutas registram apresentações, não encerram o expediente

As páginas de janeiro e abril continuam marcadas como minutas. Elas são fontes oficiais para o que foi apresentado e discutido, mas não substituem os relatórios ou anexos. A precisão editorial exige escrever que a ata “relata” um resultado, e não que toda a prova foi publicada.

O índice de reuniões da Diretoria observado em 31 de agosto lista janeiro e abril em 2026. A minuta de abril diz que a equipe pretendia apresentar os próximos passos na reunião seguinte, em agosto. A ausência de outra entrada no índice não prova que não houve reunião ou trabalho. Os procedimentos de reuniões explicam a estrutura de governança, sem resolver o estado ainda não publicado.

O NRPM também precisa de versão. Associar seção, versão e data ao resultado preserva a diferença entre uma mudança na regra comunitária e uma mudança no desempenho operacional.

Fontes