RIPE NCC e a economia da dependência do setor público em relação ao endereçamento

Resumo

• A dependência do setor público em relação ao endereçamento é a dependência discreta de ministérios, prefeituras, tribunais, hospitais, escolas, serviços de emergência e empresas contratadas pelo Estado em relação às provas do registro de que precisam para garantir a continuidade, mas que não governam diretamente.
• O RIPE NCC é economicamente importante a esse respeito, pois gerencia a camada de registro regional dos recursos de numeração da Internet para a Europa, o Oriente Médio e partes da Ásia Central, incluindo funções de banco de dados, DNS reverso, segurança de roteamento e continuidade de transferências.
• Esta dependência penetra menos pelas equipes de rede dos ministérios do que pelas compras: operadoras de telecomunicações, plataformas de nuvem, empresas de hospedagem, provedores de segurança gerenciada, provedores de SaaS e redes de governos locais fazem escolhas de endereçamento que posteriormente determinam o custo de saída e a resiliência dos serviços públicos.
• Os registros do registro tornam-se provas públicas quando as agências provam o controle dos endereços, validam a integração na nuvem, mantêm as declarações de origem de roteamento, preservam o DNS reverso, respondem a perguntas de incidentes, mantêm sua reputação ou se recuperam de uma falha cibernética ou de fornecedor.
• A autoridade legal do Estado e o reconhecimento do registro são poderes distintos: tribunais e reguladores podem ordenar muitas coisas, mas uma administração pública segura requer atualizações do registro que preservem a continuidade, em vez de apreensões nacionais, filtragem política ou controle de capitais ad hoc.
• A escassez de IPv4 agrava o problema, pois os planos de endereçamento detidos por provedores podem prender as agências em contratos, enquanto as participações portáteis exigem gestão disciplinada, trilhas de auditoria e autoridade de emergência testada.
• O papel legítimo do RIPE NCC é o de um registro enxuto, mas confiável: registros precisos, provas previsíveis, caminhos de contato sustentáveis, modificações que preservam a continuidade, relatórios transparentes de interesse público e contenção diante da tentação de se tornar um registro soberano ou um braço armado de execução.
• O teste prático para os órgãos públicos é saber se a governança do endereçamento aparece nos registros de contratação, exercícios de recuperação de desastres, planos de migração para a nuvem, resposta a incidentes, cláusulas de saída de fornecedores e provas de auditoria antes que uma falha de serviço exponha a dependência.

O problema do portal fiscal começa abaixo do portal

A maneira mais reveladora de pensar a dependência do setor público em relação ao endereçamento não é começar por uma reunião do registro. Comece em uma sala de continuidade governamental duas semanas antes de um prazo fiscal. Um ministério das finanças transferiu seu portal de declaração para uma plataforma de nuvem, manteve um gateway de pagamento legado por trás de listas de permissão restritas, colocou um serviço DDoS na frente do site público e contratou um provedor de segurança gerenciada para monitorar os logs.

A agência possui uma integração de identidade cidadã, uma central de atendimento gerenciada por um terceirizado, um serviço de e-mail que depende da reputação do remetente e um plano de recuperação de desastres que promete failover rápido se o ambiente principal falhar.

Os responsáveis na sala podem falar sobre disponibilidade, autenticação, backups de banco de dados, datas legais de depósito, comunicação com a mídia e compras de emergência. No entanto, o serviço também depende de algo menos visível: a capacidade de provar quem pode usar as faixas de endereços IP públicos, quem pode autorizar seu roteamento, quem pode modificar o DNS reverso, qual registro de contato será considerado confiável em um incidente, como um provedor de nuvem valida uma faixa de endereços importada e se a saída de um fornecedor deixará o serviço público com uma identidade de rede utilizável.

Se esses elementos estiverem desatualizados, o portal fiscal ainda pode parecer moderno. Ele pode passar por uma auditoria de segurança e estar hospedado em uma nuvem de renome. Pode ter dashboards, scripts de failover e criptografia. Mas quando um fornecedor falha, um incidente cibernético exige uma mudança de roteamento, ou uma nova região de nuvem precisa anunciar a mesma faixa pública, o registro do registro deixa de ser um elemento de segundo plano. Torna-se uma prova administrativa.

Ele informa às plataformas de nuvem, operadoras de rede, respondedores de incidentes, auditores e, às vezes, tribunais quem é reconhecido como responsável pelo espaço de endereçamento.

Não se trata apenas de um problema fiscal. Um serviço de protocolo eletrônico de tribunais pode precisar preservar o acesso dos advogados e das partes durante uma troca de fornecedor. Uma rede hospitalar pode precisar de conectividade confiável para laboratórios, emergências, interfaces de seguros e trocas regionais de saúde. Um sistema escolar pode depender de filtragem, registros de alunos, plataformas de exames e comunicações com os pais que estão vinculados à reputação do endereço e ao roteamento do provedor.

Uma cidade pode precisar que os sistemas de água, trânsito, polícia, biblioteca, licenças e benefícios permaneçam acessíveis durante uma enchente. Uma rede de serviços de emergência pode precisar redirecionar o tráfego enquanto preserva a confiança para despacho, alerta e coordenação.

Em cada caso, a agência pública exerce autoridade legal sobre seu serviço. Ela pode assinar contratos, lançar licitações, adotar regulamentos, dar instruções aos fornecedores, responder perante ministros e comparecer perante tribunais. No entanto, ela não controla diretamente a instituição regional de registro da qual depende sua identidade de endereçamento público. Na região do RIPE NCC, essa instituição é o RIPE NCC, uma associação independente sem fins lucrativos e um Registro Regional da Internet que atende a Europa, o Oriente Médio e partes da Ásia Central.

Sua documentação pública sobre a região de serviço descreve uma comunidade de mais de 20.000 organizações de Registro Local da Internet (LIR) distribuídas em mais de 75 países. Suas funções incluem o registro de recursos de numeração da Internet, o banco de dados RIPE, a certificação de recursos via RPKI, serviços de DNS reverso e reconhecimento de transferências ou fusões.

Esses fatos não fazem do RIPE NCC um planejador do setor público. Eles fazem dele um registro do qual os serviços públicos dependem cada vez mais. Essa diferença está no centro da economia. Um registro não comanda hospitais, tribunais ou sistemas fiscais. Ele não possui as redes que os órgãos públicos usam. Mas se o registro é o local onde a identidade de endereçamento é reconhecida, então a continuidade do registro torna-se parte da administração pública. O setor público não pode mais tratar a governança de endereços IP como um mero anexo de rede. É uma superfície de controle para o serviço do Estado, compras e confiança pública.

Por que o setor público não é um simples cliente

Governos frequentemente compram tecnologia das mesmas empresas que as grandes corporações. Eles usam as mesmas nuvens hyperscale, os mesmos provedores de DDoS, as mesmas operadoras de telecomunicações, as mesmas ferramentas de identidade e muitos dos mesmos serviços de segurança gerenciada. Essa semelhança pode ser enganosa. Um ministério, uma prefeitura ou um sistema judiciário não é uma simples empresa com uma bandeira no papel timbrado.

A primeira diferença é a obrigação de serviço. Uma empresa pode encerrar uma linha de produtos, indenizar clientes, aceitar o risco de falha ou sair de um mercado. Um órgão público geralmente não pode. Os impostos devem ser cobrados. Os benefícios devem ser pagos. Os tribunais devem receber petições e publicar decisões. Os hospitais devem se comunicar. As escolas devem manter os sistemas dos alunos funcionando. Os serviços de emergência devem garantir o despacho. As prefeituras devem apoiar água, licenças, trânsito, segurança pública e arquivos públicos.

Essas funções não são opcionais simplesmente porque um contrato de fornecedor ou um registro de registro se torna inconveniente.

A segunda diferença é a responsabilidade legal. Uma agência pública deve explicar suas falhas em uma linguagem que cidadãos, auditores, legisladores e tribunais possam entender. Se um portal de benefícios está inacessível porque uma migração para a nuvem colidiu com dados de registro desatualizados, a explicação técnica não é suficiente. Alguém perguntará por que a dependência não estava documentada no processo de contratação, por que o antigo fornecedor ainda podia influenciar o roteamento, por que o DNS reverso não correspondia ao serviço público atual, ou por que ninguém com autoridade pôde agir quando o incidente ocorreu.

A administração pública transforma a higiene de rede em questão de auditoria.

A terceira diferença é o prazo de contratação. Uma empresa privada pode comprar expertise de emergência, trocar de fornecedor, adquirir espaço de endereçamento ou redirecionar o tráfego rapidamente se tiver orçamento e aprovação da gerência. Um ministério pode precisar de uma licitação, uma adenda, aprovação ministerial ou municipal, transferência orçamentária, revisão jurídica ou uma nota de compra de emergência que será examinada posteriormente. Tribunais, universidades, autoridades de saúde e governos municipais podem cada um ter suas próprias cadeias de aprovação.

Uma atualização de registro que leva vários dias pode não ser um problema para uma empresa com um contrato flexível. Pode ser um evento político para um órgão público enfrentando um prazo legal.

A quarta diferença é a prova. Órgãos públicos mantêm registros porque as decisões devem ser passíveis de revisão. Os dados do registro, delegações de DNS reverso, declarações de origem de roteamento, cartas de fornecedores, registros de validação em nuvem e cronologias de incidentes podem todos fazer parte das provas sobre a continuidade do serviço público. Eles podem ser necessários para uma investigação de incidente cibernético, litígio de contratação, pergunta parlamentar, petição judicial, pedido de acesso a documentos públicos ou revisão de seguro. O registro do registro não é prova conclusiva de cada fato operacional.

Mas no setor público, muitas vezes se torna o primeiro registro que as partes externas consultam.

A quinta diferença é a confiança. Os cidadãos não podem escolher uma administração fiscal concorrente se o portal falhar. Um paciente não pode selecionar outro sistema de declaração de saúde pública durante uma epidemia. Um litigante não pode contornar um sistema de petição judicial cujo prazo é fixado por lei. Como os cidadãos muitas vezes não têm substituto, o Estado tem um dever mais forte de manter a continuidade e explicar a dependência. A identidade de endereçamento público torna-se parte desse dever.

É por isso que a versão do setor público da dependência do endereçamento merece sua própria análise. O problema não é que o RIPE NCC se comporte mal ao manter um registro. O problema é que os governos permitiram que funções públicas críticas acumulassem dependência da continuidade do registro por meio de fornecedores, compras e escassez, sem tratar essa dependência como uma questão de resiliência fundamental. O registro pode permanecer enxuto e ainda assim se tornar sistemicamente importante.

O Estado pode permanecer soberano enquanto depende de um registro não estatal para as provas públicas que permitem que os serviços se movam, roteiem, se recuperem e sejam confiáveis.

O caminho da dependência passa pelos fornecedores

Poucos ministros acordam pensando em DNS reverso. Poucas câmaras municipais debatem autorização de origem de roteamento. Poucos conselhos hospitalares perguntam se as faixas públicas por trás de um portal do paciente pertencem ao fornecedor, são detidas pela agência, importadas para a nuvem, delegadas por uma operadora ou incorporadas em um serviço gerenciado. A dependência entra pelos fornecedores porque é lá que a infraestrutura pública moderna é montada.

As operadoras de telecomunicações fornecem links de acesso, trânsito, WAN gerenciada, conectividade fixa e móvel, circuitos de serviços de emergência e, às vezes, faixas de endereços. As empresas de hospedagem operam sites públicos antigos, sistemas judiciais, gateways de pagamento e portais de governos locais. As plataformas de nuvem hospedam serviços de identidade, gestão de registros, análise, APIs públicas e ambientes de recuperação de desastres. As empresas de segurança gerenciada controlam roteamento DDoS, limpeza, regras de firewall, resposta a incidentes e registro de logs.

As empresas SaaS expõem endpoints públicos cuja reputação de endereço e geolocalização podem escapar do controle direto do órgão público. Os integradores de sistemas montam esses elementos de acordo com cronogramas de compras que recompensam a entrega e o custo, nem sempre a clareza de saída.

O resultado é um controle delegado. Uma cidade pode acreditar que comprou um serviço de hospedagem de site, enquanto o fornecedor fez escolhas sobre espaço de endereçamento, roteamento e DNS reverso que moldarão a mobilidade futura. Um hospital pode acreditar que terceirizou o monitoramento de segurança, enquanto o provedor de segurança gerenciada detém a capacidade prática de modificar fluxos de tráfego durante um ataque. Um tribunal pode acreditar que modernizou a petição eletrônica, enquanto seus endpoints públicos estão atrás de um plano de endereçamento do fornecedor que torna uma futura troca de fornecedor lenta e arriscada.

Um ministério pode trazer sua própria faixa para uma plataforma de nuvem, mas apenas se o registro do registro, os dados RDAP, as declarações de origem de roteamento e as etapas de validação estiverem alinhados.

A documentação oficial sobre nuvem torna visível o papel das provas. A documentação BYOIP da Amazon EC2 afirma que os clientes podem trazer toda ou parte de uma faixa IPv4 ou IPv6 publicamente roteável para a AWS, continuar controlando a faixa e fazer com que a AWS a anuncie. Ela também afirma que a AWS valida o controle da faixa, inclusive por meio de registros RDAP em registros como o RIPE NCC, e lista a Autorização de Origem de Roteamento (ROA) e atualizações dos registros do registro como parte do ambiente de controle.

O Microsoft Azure descreve um prefixo IP personalizado como uma faixa pública pertencente a um cliente externo, provisionada em uma assinatura, com a Microsoft autorizada a anunciá-la; o Azure observa que os clientes podem reter faixas IP para preservar a reputação e listas de permissão controladas externamente, e que parte da verificação ocorre fora do Azure.

Esses detalhes não são anedotas sobre nuvem. Eles mostram como um registro de registro se torna uma testemunha do plano de controle. O órgão público pode assinar um contrato de nuvem, mas a plataforma de nuvem ainda precisa de provas de que a faixa é detida pela instituição correta e pode ser anunciada no novo ambiente. O Estado pode ter autoridade legal, mas o provedor de nuvem não pode confiar com segurança em um comunicado de imprensa ministerial ou em uma adjudicação de contrato para decidir anunciar um prefixo. Ele confia nas provas do registro, autorizações de roteamento e registros de validação.

A dependência de fornecedores também altera o poder de negociação. Se uma agência pública usa endereços pertencentes ao fornecedor, isso pode ser barato e conveniente no início. Mais tarde, essa mesma escolha pode tornar a saída cara. As listas de permissão precisam mudar. A reputação do e-mail precisa ser reconstruída. A geolocalização pode mudar. As linhas de base de logs e análise de segurança podem mudar. Parceiros externos podem precisar de atualizações. Os cidadãos podem ver interrupções.

Se a agência usa suas próprias faixas de endereços, ganha portabilidade, mas precisa gerenciar registros do registro, RPKI, DNS reverso, validação em nuvem e autoridade de emergência. Em ambos os casos, a governança do endereçamento é uma escolha econômica, não um detalhe apenas para engenheiros.

Os documentos de contratação frequentemente omitem isso porque exigem disponibilidade, certificações de segurança e janelas de suporte, deixando o controle do endereçamento implícito. A melhor pergunta é mais precisa: se este fornecedor falir, for sancionado, perder um parceiro de telecomunicações, sofrer um incidente cibernético, mudar de região de nuvem, se recusar a cooperar ou rescindir o contrato, o serviço público pode manter sua identidade de rede sem suplicar ao antigo fornecedor?

A resposta depende em parte dos registros do RIPE NCC, mas principalmente de saber se o órgão público tratou esses registros como provas públicas duráveis, em vez de papelada de fornecedor.

As provas do registro são a espinha dorsal administrativa

O banco de dados RIPE é frequentemente descrito em termos técnicos, mas para órgãos públicos, é melhor entendê-lo como uma espinha dorsal administrativa. Ele contém informações de registro para redes na região de serviço do RIPE NCC e os detalhes de contato associados. A descrição pública do RIPE NCC também menciona vários usos: informações de registro precisas para recursos de numeração da Internet, publicação de políticas de roteamento por operadoras de rede, coordenação entre operadoras de rede e fornecimento de delegações de DNS reverso e ENUM.

Em linguagem simples do setor público, é onde muitas partes interessadas olham primeiro quando perguntam: quem é responsável por esta faixa de endereços, e como a responsabilidade pode ser coordenada?

A responsabilidade não é um fato único. Uma faixa pública pode estar vinculada a um ministério, um departamento de TI central, uma prefeitura, uma autoridade hospitalar, uma universidade, um serviço judiciário, uma operadora de telecomunicações, uma empresa de hospedagem gerenciada ou um nome de agência antigo. Os registros de contato podem apontar para responsáveis atuais, funcionários aposentados, caixas postais de terceirizados, contas de função genéricas ou endereços que não alcançam mais ninguém com autoridade. Um registro pode ser tecnicamente válido, mas administrativamente fraco.

Pode não ceder até que uma crise revele que o titular declarado e o verdadeiro tomador de decisão do serviço público não coincidem mais.

As administrações públicas são particularmente vulneráveis a essa deriva. Departamentos se fundem. Ministérios mudam de nome. Funções de TI municipais são centralizadas, terceirizadas, revertidas e terceirizadas novamente. Tribunais podem ter serviços administrativos separados dos ministérios da justiça. Hospitais públicos podem estar ligados a autoridades regionais de saúde. Escolas podem usar simultaneamente redes educacionais, serviços municipais e plataformas privadas. Serviços de emergência podem abranger sistemas nacionais, regionais e locais.

Instituições públicas podem ser privatizadas, reintegradas ao governo ou reorganizadas após uma mudança na lei. Os registros de endereços podem sobreviver a todos esses movimentos institucionais.

A dependência torna-se aguda quando um serviço público precisa provar seu controle. Um provedor de nuvem pode precisar de provas RDAP. Uma operadora de rede pode precisar de confirmação de contato antes de modificar um filtro de roteamento. Uma empresa de segurança pode precisar confirmar qual faixa pertence a qual órgão público durante um incidente. Um tribunal ou auditor pode perguntar quem tinha autoridade quando o tráfego foi movido. Um fornecedor pode pedir prova de que um ministério pode usar uma faixa em um novo serviço. Se o registro do registro estiver desatualizado, cada etapa custa tempo.

A economia dos custos de transação é a lente correta. O registro do registro reduz o custo de negociar com estranhos: plataformas de nuvem, operadoras, equipes de segurança, investigadores e contrapartes não precisam construir confiança do zero. Mas se o registro é ambíguo, o custo retorna na forma de cartas, pareceres jurídicos, chamadas de emergência, verificações manuais, atrasos de migração, falhas de integração e taxas de fornecedor mais altas. O registro reduz o atrito somente quando é preciso o suficiente para ser confiável.

É por isso que os órgãos públicos devem tratar a gestão do registro como uma tarefa de governança recorrente. A auditoria deve perguntar: quais serviços públicos dependem de quais faixas; quais faixas são detidas diretamente e quais por meio de fornecedores; quem está listado no banco de dados RIPE; quem pode atualizar os registros; onde o DNS reverso está delegado; quais declarações de origem de roteamento existem; quais fornecedores podem anunciar as faixas; quais contas ou assinaturas de nuvem dependem delas; e como esses fatos são verificados durante os exercícios de recuperação de desastres. O exercício não é glamoroso.

É mais barato do que descobrir, durante um incidente, que o órgão público não pode provar sua própria identidade de rede rápido o suficiente para que o mercado confie nele.

O papel do RIPE NCC nessa espinha dorsal deve permanecer enxuto. Deve manter um registro preciso, sistemas sustentáveis e processos claros. Não deve decidir qual serviço público importa mais ou se a estratégia de nuvem de um ministério é sábia. Isso cabe ao órgão público julgar. Mas o registro deve entender que a qualidade de seus registros afeta ministérios, prefeituras, tribunais, hospitais, escolas e serviços de emergência muito além das reuniões de especialistas em rede.

DNS reverso, credibilidade de contato e reputação do serviço público

O DNS reverso parece menor até estar errado. Ele mapeia um endereço IP para um nome de domínio por meio do espaço de nomes reverso. O RIPE NCC afirma que registra delegações reversas e não está envolvido no registro de domínios diretos; sua documentação sobre DNS reverso explica que a delegação reversa permite que aplicativos mapeiem um endereço IP para um nome de domínio, e que o banco de dados RIPE é usado como um banco de dados de gerenciamento para produzir zonas de DNS reverso. Para um órgão público, isso significa que um pequeno registro de delegação pode influenciar como sistemas externos interpretam o tráfego público.

O e-mail é o caso óbvio. Recibos fiscais, avisos de petição judicial, alertas escolares, mensagens de saúde e notificações de benefícios podem depender de um ecossistema de SPF, DKIM, DMARC, reputação de endereço, filtragem de correio e consultas reversas. O DNS reverso não é todo o modelo de confiança, mas uma inconsistência entre a função pública e a nomeação de rede visível pode criar suspeitas, problemas de filtragem e confusão de investigação. Um nome de operadora genérico, um domínio de terceirizado esquecido ou um rótulo de ministério desatualizado podem não bloquear todas as mensagens.

Mas podem enfraquecer a impressão de controle oficial.

Os logs são o segundo caso. Durante um incidente, analistas enriquecem endereços IP com informações do registro e do DNS. Eles perguntam a qual rede uma faixa pertence, qual nome está associado a ela, se o caminho de contato parece crível, se um anúncio de roteamento corresponde à autoridade esperada e se uma mudança corresponde à cronologia do serviço. Se o tráfego de um hospital público aparece sob o padrão de nomeação de um antigo fornecedor, ou se a nomeação reversa de um portal municipal aponta para uma autoridade extinta, os respondedores perdem tempo. Em uma investigação pública, esse tempo perdido torna-se prova de mau controle.

A reputação é o terceiro caso. Agências públicas herdam o histórico de faixas de endereços, pools de fornecedores e rotas de nuvem. Alguns blocos de endereços têm má reputação devido a abusos anteriores, hosts comprometidos, spam ou atividades em massa. Uma plataforma de nuvem pode examinar a reputação antes de aceitar uma faixa importada. Provedores de e-mail podem limitar ou filtrar o tráfego. Bancos de dados de geolocalização podem colocar um endereço no país ou região errada. Plataformas de segurança podem sinalizar a faixa devido a comportamento passado.

Um órgão público que trata endereços como descartáveis pode descobrir que cidadãos e instituições parceiras ainda sofrem com a reputação antiga.

A credibilidade do contato é o quarto caso. Contatos de abuso e segurança não são decorativos. Uma agência pública que não pode receber relatos de tráfego malicioso, sistemas comprometidos ou configurações incorretas pode sofrer incidentes mais longos e danos de reputação mais graves. Por outro lado, uma agência cujos dados de contato apontam para uma equipe real, monitorada e autorizada pode coordenar-se mais rapidamente com operadoras, centros cibernéticos nacionais, fornecedores e pares. A credibilidade do registro afeta o mercado de resposta: as pessoas ligam para o contato que acham que pode agir.

As consequências para o setor público são diferentes das do setor privado. Se o e-mail de um varejista privado cai no spam, ele perde vendas e confiança da marca. Se o e-mail de uma agência de benefícios cai no spam, os cidadãos podem perder prazos ou pagamentos. Se uma cidade não pode receber relatos de abuso, sistemas comprometidos podem permanecer ativos enquanto serviços críticos são expostos. Se as faixas públicas de um hospital são mal identificadas, a resposta a incidentes pode desacelerar enquanto sistemas de cuidado ao paciente permanecem sob pressão.

A reputação do endereço e o DNS reverso pertencem, portanto, ao planejamento de continuidade, e não apenas à administração de domínios.

Há também um aspecto jurídico-administrativo. Órgãos públicos contam com registros críveis quando cooperam com forças policiais, reguladores, agências cibernéticas nacionais e tribunais. Um registro de registro não deve ser superinterpretado; ele não prova localização física, culpa legal ou cada fato de roteamento. Mas ajuda a estabelecer uma cadeia de responsabilidade. Se o próprio órgão público não consegue manter essa cadeia limpa, ele enfraquece sua posição quando pede que outros confiem em suas consultas.

A lição econômica é simples. O DNS reverso e os registros de contato são baratos quando mantidos regularmente e caros quando reparados sob pressão. Seu valor não é o custo de uma linha em um orçamento de atualização de banco de dados. É a confusão evitada quando um serviço público precisa ser acreditado rapidamente por estranhos.

A confiança na origem do roteamento agora é uma questão de continuidade pública

A acessibilidade pública depende do roteamento, e o roteamento depende de uma confiança que é apenas parcialmente visível para os cidadãos. O protocolo BGP continua a transportar os anúncios básicos pelos quais as redes indicam umas às outras como alcançar prefixos IP. O RPKI melhora a camada de provas ao permitir que detentores de recursos de numeração da Internet criem declarações sobre o sistema autônomo autorizado a originar um prefixo. As operadoras de rede podem então usar a validação de origem de roteamento para decidir como tratar os anúncios.

Para um ministério, uma prefeitura ou um hospital, isso pode parecer uma prática de rede aprofundada. É também uma questão de continuidade pública. Se um serviço público está inacessível de partes da internet porque uma declaração de origem de roteamento está errada, ausente ou desatualizada após uma troca de fornecedor, o cidadão sofre uma falha de serviço. Se uma rota maliciosa ou errônea desvia o tráfego, o órgão público pode sofrer consequências de segurança, privacidade e confiança.

Se um failover de emergência requer um novo AS de origem, mas o registro de suporte não está pronto, o plano de continuidade pode ser mais lento do que o esperado.

O RPKI não é mágico. Ele valida a origem do roteamento, não todos os aspectos do caminho. Os operadores variam na aplicação da validação. Um anúncio válido ainda pode fazer parte de uma arquitetura ruim, e um anúncio inválido pode resultar de configuração incorreta em vez de intenção maliciosa. No entanto, a direção institucional é clara: redes sérias usam cada vez mais provas de roteamento. Os órgãos públicos que ignoram isso não estão apenas perdendo uma melhoria técnica. Estão deixando uma dependência de serviço público não gerenciada.

O problema se intensifica com a terceirização. Uma agência pública pode não operar seu próprio sistema autônomo. Pode depender de uma operadora de telecomunicações, um provedor de nuvem, uma empresa de limpeza DDoS ou um contratado de rede gerenciada para originar a rota. Esse arranjo pode ser perfeitamente razoável se a autoridade for clara. Torna-se arriscado quando o contrato não especifica quem cria ou remove declarações de origem de roteamento, quem aprova mudanças, como o failover de emergência é gerenciado, como anúncios mais específicos são limitados e quem verifica se os antigos registros de fornecedores são removidos.

Os serviços de nuvem e DDoS tornam isso particularmente tangível. Um órgão público pode precisar que o tráfego seja anunciado a partir de uma região de nuvem, da rede de limpeza de um provedor de segurança ou de uma operadora de backup. A rota pode se mover mais rápido do que o registro administrativo se o planejamento for fraco. Durante um exercício, isso pode parecer um atraso técnico. Em um incidente real, pode se tornar uma falha pública. A confiança na origem do roteamento pertence, portanto, ao mesmo dossiê que a recuperação de desastres, e não a um arquivo de engenharia separado.

A distinção entre registro e controlador de acesso é importante aqui. O RIPE NCC deve fornecer serviços de certificação de recursos confiáveis e links de registro precisos. Não deve se tornar a polícia de tráfego para cada rota de serviço público. O órgão público e seus operadores devem decidir como rotear, como fazer failover e qual risco aceitar. Mas a camada do registro deve ser confiável o suficiente para que os órgãos públicos possam expressar claramente a autoridade de roteamento e atualizá-la de forma previsível.

Também há uma consequência para as compras. As propostas de fornecedores devem ser avaliadas não apenas pela largura de banda e disponibilidade, mas também pela gestão da autoridade de endereçamento. O fornecedor pode trabalhar com o espaço detido pela agência? Ele apoiará RPKI e mudanças de rota limpas? Quem controla os anúncios de emergência? A agência pode exigir a remoção de antigas entradas de roteamento na saída? O fornecedor documenta cada mudança de uma forma que os auditores possam ler? O contrato preserva a capacidade da agência de mover o serviço sem ambiguidade de roteamento?

Se essas perguntas não forem feitas antes da adjudicação, a resposta será dada pela prática padrão do fornecedor, que pode ser eficiente para o fornecedor e cara para o Estado.

A continuidade pública não é apenas a capacidade de manter servidores funcionando. É a capacidade de manter a identidade de rede crível enquanto os serviços se movem sob estresse.

Autoridade legal não é o mesmo que continuidade do registro

Os Estados têm tribunais, reguladores, poderes policiais, autoridade de contratação, poder orçamentário e capacidade de legislar. Esses são poderes reais. Eles não resolvem automaticamente a continuidade do registro. Uma ordem judicial pode obrigar um fornecedor local a agir. Um regulador pode exigir que uma operadora de telecomunicações mantenha o serviço. Um ministério pode cancelar ou adjudicar um contrato. No entanto, um registro regional não é um cartório nacional de propriedade, e o mercado de roteamento não aceita toda ordem doméstica como fato operacional.

Essa diferença é saudável. Se cada Estado pudesse unilateralmente converter o reconhecimento do registro em política nacional, o espaço de endereçamento público se tornaria vulnerável a apreensões, pressões políticas, controle de capitais e conflitos de jurisdição. Um governo enfrentando tensões orçamentárias poderia ser tentado a tratar as faixas raras de IPv4 como ativos monetizáveis. Um regulador poderia tentar congelar transferências por razões de política industrial. Um tribunal poderia ser solicitado a redirecionar o reconhecimento do registro em uma disputa contratual.

Uma autoridade de sanções poderia querer que a interrupção de serviço se tornasse uma ferramenta de negociação. Cada caso pode ter uma narrativa nacional legal. O registro regional precisa de regras de continuidade que impeçam o poder político de se tornar um caos de registro.

A dependência do setor público está, portanto, em uma tensão. Os governos precisam dos registros do RIPE NCC para a continuidade do serviço público, mas o RIPE NCC não pode se tornar um apêndice de cada governo em sua região de serviço. Sua área de serviço cobre mais de 75 países, incluindo membros da União Europeia, estados não membros da UE, estados do Golfo, jurisdições afetadas por conflitos, pequenas economias, grandes mercados de telecomunicações, universidades públicas, operadoras estatais e redes privadas que servem funções públicas. Nenhuma teoria jurídica nacional única pode dominar com segurança a camada de registro compartilhada.

O modelo correto é o respeito legal sem captura soberana. Um registro deve respeitar as restrições legais válidas que se aplicam a ele, incluindo sanções e ordens judiciais dentro da estrutura legal relevante. Deve exigir provas críveis quando um órgão público reivindica sucessão, autoridade, fusão, dissolução ou controle de emergência. Deve preservar registros precisos quando um ministério se reorganiza ou uma entidade pública muda de nome. Deve ter procedimentos para autoridades contestadas que sejam justos, documentados e respeitosos da continuidade.

Mas não deve se tornar uma porta nacional discricionária onde reivindicações políticas prevalecem sobre o reconhecimento neutro de recursos de numeração da Internet.

Órgãos públicos também precisam de contenção. Não devem contar com autoridade legal como substituto para higiene de registro. Um ministério que só pode produzir uma ordem judicial após uma crise já perdeu tempo. Uma prefeitura que precisa ameaçar um terceirizado para recuperar o controle de endereçamento projetou um contrato fraco. Um hospital que depende de escalada jurídica de emergência para atualizar provas de roteamento não tratou a continuidade do endereçamento como infraestrutura de cuidado ao paciente. A autoridade legal pode resolver algumas disputas. Não pode tornar segura uma dependência não planejada.

O risco de controle de capitais é o ponto mais delicado. A escassez de IPv4 dá valor econômico às faixas de endereços. Os órgãos públicos podem deter diretamente faixas raras, herdá-las por meio de universidades ou operadoras estatais, ou depender de fornecedores que as detêm. Sob tensão orçamentária, os governos podem ser tentados a considerar as faixas de endereços como ativos a serem congelados, vendidos, alugados ou redirecionados. Parte disso pode ser finanças públicas legítimas. Outra parte pode colocar em perigo a continuidade do serviço ou transformar os registros do registro em instrumentos políticos.

O perigo cresce quando a camada do registro é tratada como prova de propriedade nacional, em vez de reconhecimento de detenção operacional e responsabilidade.

A legitimidade institucional depende da linha divisória. O RIPE NCC deve permanecer crível aos olhos dos governos porque os serviços públicos dependem dele. Deve permanecer crível perante os governos porque os serviços públicos de toda a região dependem de um registro neutro. A dependência do setor público não justifica a politização do registro. Exige o contrário: uma separação mais clara entre autoridade legal, continuidade operacional e as provas restritas necessárias para uma mudança segura de registro.

A escassez de IPv4 altera a economia das compras públicas

O documento público do RIPE NCC sobre o esgotamento do IPv4 afirma que seu pool restante de IPv4 foi esgotado em novembro de 2019, deixando as redes na Europa, Oriente Médio e partes da Ásia Central incapazes de receber novos endereços IPv4 do RIPE NCC que não haviam sido usados anteriormente por outra rede. Ele descreve a alocação subsequente por meio de uma lista de espera para endereços recuperados e cita mercados de transferência e tecnologias de compartilhamento de endereços como respostas à escassez. Para os órgãos públicos, o significado institucional não é apenas que o IPv4 é escasso.

É que a escassez transforma o planejamento de endereçamento em uma questão de economia de compras.

Quando os endereços eram abundantes, uma agência pública muitas vezes podia tratar o espaço de endereçamento como uma alocação técnica. Se uma rede crescia, mais espaço podia ser solicitado ou delegado. Se um fornecedor fornecia endereços, o custo futuro de substituí-los parecia baixo. A escassez torna esse modelo informal obsoleto. Uma faixa de IPv4 pública pode carregar reputação, acesso a listas de permissão, suposições de geolocalização, dependências de firewall, integrações de parceiros, confiança de e-mail e histórico de validação em nuvem. Substituí-la pode ser caro, mesmo que uma nova faixa esteja tecnicamente disponível.

O espaço pertencente ao fornecedor é a armadilha de saída clássica. Uma prefeitura pode aceitar endereços de uma operadora de telecomunicações para serviços públicos porque é rápido e barato. Anos depois, esses endereços aparecem em sistemas policiais, gateways de pagamento, filtros escolares, integrações comerciais locais, alertas de emergência e serviços voltados ao cidadão. A cidade quer trocar de fornecedor, mas cada parceiro precisa atualizar listas de permissão e logs. O antigo fornecedor pode cooperar, mas a cidade ainda enfrenta atrasos. Se o fornecedor falir ou se recusar, a dependência se torna mais visível.

A economia aparente na compra torna-se uma taxa de saída.

O espaço detido pela agência tem o ônus inverso. Pode preservar a portabilidade e a identidade pública, mas exige uma gestão rigorosa. A agência deve manter registros precisos do registro, contatos autorizados, declarações de origem de roteamento, delegação de DNS reverso, provas de validação em nuvem, gestão de reputação e documentos de continuidade. Deve decidir quais serviços merecem faixas públicas estáveis e quais podem usar o espaço do fornecedor. Deve orçar expertise. Deve garantir que o pessoal de compras entenda por que uma oferta que usa endereços baratos do fornecedor pode impor um custo futuro aos cidadãos.

Este é um problema de custos de transação, não uma competição de pureza. O espaço do fornecedor pode ser racional para serviços de baixo risco, ferramentas internas, campanhas temporárias ou funções cuja identidade de endereço não é sustentável. O espaço detido pela agência ou portátil pode ser racional para portais fiscais, sistemas de identidade, plataformas de segurança pública, acesso a tribunais, trocas de saúde, principais serviços municipais e comunicações de emergência. A falha não está em escolher um ou outro. A falha está em escolher sem calcular o custo de saída.

A escassez também altera os incentivos dos fornecedores. Um fornecedor com capacidade de endereçamento pode incorporá-la ao serviço, tornando uma oferta atraente. Um provedor de nuvem pode oferecer implantação rápida usando suas próprias faixas. Uma empresa de segurança gerenciada pode rotear o tráfego por meio de sua plataforma com administração mínima da agência. Esses são serviços úteis. Mas podem criar dependência se os órgãos públicos não mantiverem as provas e a autoridade para sair. A camada de endereçamento torna-se parte do poder de barganha do fornecedor.

As regras de contratação pública devem, portanto, fazer perguntas explícitas. Quem detém as faixas públicas? Elas estão registradas no RIPE NCC em nome do órgão público, de uma autoridade de TI pública, de uma operadora de telecomunicações, de um provedor de nuvem ou de outro fornecedor? A agência pode trazer suas próprias faixas? Se o espaço do fornecedor for usado, qual é o custo e o prazo de saída? Quais listas de permissão externas mudarão? Quem gerencia o DNS reverso? Quem cria as declarações RPKI? Quem atualiza os contatos? O que acontece se o fornecedor for adquirido, insolvente, sancionado, comprometido ciberneticamente ou em litígio?

Os registros de endereços estão incluídos nas obrigações de transferência?

O objetivo não é transformar os responsáveis pelas compras em especialistas em roteamento. É tornar a escolha econômica visível antes da adjudicação do contrato. A escassez de IPv4 garante que as decisões de endereçamento tenham valor de capital. Os órgãos públicos não devem deixar esse valor repousar de forma invisível nos contratos dos fornecedores.

Os sistemas de identidade e as redes de segurança pública aumentam os riscos

Alguns serviços públicos podem tolerar inconveniências. Outros não. Os sistemas de identidade e as redes de segurança pública estão no topo da dependência do endereçamento porque conectam direitos legais, resposta de emergência e confiança pública à acessibilidade da rede.

Os sistemas de identidade digital estão se tornando portas de entrada para impostos, benefícios, saúde, educação, licenças, serviços eleitorais, acesso a tribunais e administração transfronteiriça. Seus endpoints públicos devem ser confiáveis para cidadãos, bancos, empregadores, governos locais e órgãos públicos estrangeiros. Eles dependem de emissão de certificados, DNS, reputação de endereços, roteamento em nuvem, proteção DDoS, registro de logs e listas de permissão de parceiros.

Se a camada de endereçamento for instável durante uma migração, os usuários podem ver falhas de login, redirecionamentos suspeitos, e-mails bloqueados ou interrupções de serviço. Se uma campanha de fraude explorar a confusão em torno de mudanças de endpoint, o dano não é apenas técnico. Isso mina a confiança pública no governo digital.

Os sistemas de identidade também criam requisitos de auditoria. Um governo deve saber para onde o tráfego foi roteado, qual fornecedor anunciou qual faixa, qual endereço serviu qual função, quando uma rota mudou e quem autorizou a mudança. As provas do registro e do roteamento não provam todos os fatos no nível do usuário, mas apoiam a cronologia da infraestrutura. Uma investigação pública após um incidente de serviço de identidade não aceitará uma resposta vaga sobre operações de fornecedor. Ela perguntará se o Estado podia provar o controle no nível da camada de rede.

As redes de segurança pública criam uma pressão diferente. A gestão de chamadas de emergência, despacho, alerta, coordenação de crises, sistemas policiais, redes de ambulância, serviços de bombeiros e plataformas de defesa civil dependem de camadas de conectividade, muitas das quais agora fazem interface com redes IP e serviços em nuvem. Alguns sistemas permanecem privados ou especializados; outros usam caminhos públicos da internet para administração, comunicação pública, mapeamento, alertas, relatórios ou integração.

Quanto mais esses sistemas dependem de fornecedores gerenciados, mais a autoridade de endereçamento importa durante falhas regionais, incidentes cibernéticos e recuperação de desastres.

As condições de emergência punem a ambiguidade. Se uma enchente afeta um data center municipal, se um incidente cibernético força um reroteamento de emergência, se uma operadora de telecomunicações sofre uma falha grave, se uma região de nuvem sofre uma interrupção, ou se um provedor de segurança gerenciada precisa desviar o tráfego, o órgão público precisa de autoridade pré-aprovada. Esperar para descobrir quem pode atualizar RPKI, modificar o DNS reverso, autorizar um anúncio de nuvem ou contatar o RIPE NCC não é um plano de continuidade. É esperança.

Os hospitais e escolas estão entre a identidade e a emergência. Um hospital pode depender de faixas públicas para portais de pacientes, relatórios de laboratório, coordenação de ambulâncias, telemedicina, notificação de saúde pública e interfaces com fornecedores. Uma rede escolar pode depender de endereçamento estável para registros de alunos, sistemas de proteção, exames, filtragem, aprendizado remoto e alertas de emergência aos pais. O dano público da interrupção é desigual: alguns usuários podem tentar novamente mais tarde; outros não.

A economia é, mais uma vez, institucional. Os órgãos públicos frequentemente subinvestem na governança do endereçamento porque a falha é rara e a linha orçamentária é obscura. Os benefícios de uma boa higiene do registro estão distribuídos entre crises evitadas, migrações mais rápidas, melhores provas e menor custo de saída de fornecedores. Os custos são visíveis: tempo de pessoal, consultoria, treinamento, auditorias, atualizações de registros e cláusulas de contratação. Essa assimetria leva ao subinvestimento, a menos que os líderes tratem a continuidade do endereçamento como infraestrutura de serviço público.

O RIPE NCC não pode classificar a importância social de cada rede pública. Também não deve. Mas pode projetar seus serviços tendo em mente a dependência pública: disponibilidade sustentável, caminhos de escalonamento claros, procedimentos confiáveis de atualização de contatos, status de serviço transparente, segurança reforçada em torno dos portais de membros, comportamento previsível de certificação de recursos e documentação que os órgãos públicos possam usar em processos de compras e auditoria. Não precisa se tornar uma agência de segurança pública para reconhecer que a segurança pública pode depender de seu registro.

A resposta a incidentes expõe cada registro desatualizado

A governança do endereçamento é testada durante incidentes porque os incidentes comprimem o tempo. Um registro desatualizado que permaneceu inofensivo por anos pode se tornar uma barreira ao vivo em minutos. O incidente pode ser cibernético, financeiro, jurídico, operacional ou geopolítico. A característica comum é que o órgão público deve agir mais rápido do que seus velhos hábitos administrativos.

Durante um incidente cibernético, os respondedores podem precisar mover o tráfego para trás de um provedor DDoS, retirar uma rota, modificar uma declaração de origem de roteamento, atualizar o DNS reverso, isolar sistemas comprometidos, provar controle a um provedor de nuvem ou coordenar-se com operadoras. Se os contatos do registro apontarem para um engenheiro aposentado ou uma caixa postal de fornecedor, o órgão público perde tempo. Se ninguém puder acessar o portal do RIPE NCC, a agência pode precisar de suporte de emergência enquanto advogados e engenheiros buscam autoridade.

Se os registros de origem de roteamento estiverem errados, o tráfego pode ser filtrado. Se o DNS reverso estiver desatualizado, logs e sistemas de reputação podem confundir os respondedores.

Durante uma falha de fornecedor, um padrão diferente aparece. Um provedor de hospedagem pode se tornar insolvente. Um provedor de segurança gerenciada pode sofrer uma interrupção. Uma operadora de telecomunicações pode perder uma rota regional. Um integrador de nuvem pode ser adquirido ou sancionado. Um provedor de SaaS pode deixar de cooperar durante uma disputa. O órgão público então pergunta se a camada de endereçamento pode ser movida sem o fornecedor. Se o fornecedor detém os endereços, a resposta pode ser lenta.

Se o órgão público detém os endereços, mas o fornecedor controla o acesso prático aos registros, a resposta ainda pode ser lenta.

Durante uma interrupção jurídica ou de pagamento, a continuidade do registro pode se enredar com finanças públicas. Sanções, restrições bancárias, litígios de contratação ou faturas não pagas podem afetar fornecedores e órgãos públicos em diferentes jurisdições. Uma agência pública pode acreditar que sua missão legal deve garantir a continuidade. O registro e os fornecedores ainda podem precisar observar suas próprias restrições legais. O design mais seguro não é contar com alegações morais de emergência. É ter procedimentos de preservação da continuidade antes que os canais de pagamento ou relações jurídicas falhem.

Durante a recuperação de desastres, a geografia importa. Uma cidade pode fazer failover para outra região. Um sistema nacional pode mover o tráfego de um data center para outro. Uma rede hospitalar pode ativar um provedor de hospedagem externo. Um radiodifusor público ou serviço de alerta de emergência pode usar vários provedores upstream. A camada de endereçamento deve estar pronta para esses movimentos. Um plano de recuperação que lista etapas de aplicações, mas omite a autoridade de origem de roteamento e DNS reverso, está incompleto.

A resposta a incidentes também testa a comunicação pública. Se os cidadãos são instruídos a usar um novo endpoint, eles devem acreditar nele. Se o e-mail vem de uma nova faixa, os sistemas de correio devem aceitá-lo. Se um tribunal estende prazos de protocolo porque o acesso falhou, a razão será examinada. Se um portal hospitalar cai durante um incidente de ransomware, a agência deve explicar o que falhou e o que foi restaurado. As provas do registro ajudam a construir uma cronologia crível.

A lição não é que todo órgão público deve possuir toda faixa ou gerenciar toda rota. É que os órgãos públicos devem saber onde termina seu controle. Devem ser capazes de responder, durante um exercício de incidente, quem pode agir em cada faixa, como os registros do RIPE NCC são atualizados, como as modificações RPKI são aprovadas, onde reside o DNS reverso, quais fornecedores podem anunciar os prefixos, qual é o prazo máximo de emergência e quais provas serão apresentadas aos auditores depois. Se a resposta for "pergunte ao fornecedor", a próxima pergunta é se o contrato obriga o fornecedor a agir nas condições de emergência exatas testadas.

Registros desatualizados não são falhas morais. São resíduos administrativos comuns. No setor público, no entanto, o resíduo se torna risco porque os serviços carregam deveres legais e sociais. A resposta a incidentes não cria a dependência. Ela a revela.

O papel de interesse público do RIPE NCC é a contenção e a confiabilidade

O principal papel de interesse público do RIPE NCC não é se tornar maior. É permanecer uma instituição confiável e enxuta cujos registros e serviços associados são dignos de confiança em diferentes sistemas jurídicos, mercados e funções públicas. A tentação para qualquer registro crítico é o desvio de escopo. Uma vez que muitos atores dependem do registro, é fácil imaginar o registro como um planejador, um regulador, um árbitro de mercado, um tribunal de interesse público ou um braço armado de execução. Isso seria um erro.

As tarefas legítimas de interesse público do registro são mais modestas e mais exigentes. Deve manter dados de registro precisos. Deve manter o banco de dados RIPE, os serviços de DNS reverso, os sistemas de certificação de recursos e os canais de acesso de membros resilientes. Deve preservar procedimentos previsíveis para modificações, transferências, fusões e atualizações de contatos. Deve publicar informações suficientes para que órgãos públicos e fornecedores entendam as dependências. Deve lidar com sanções, processos legais e disputas sem transformar restrições excepcionais em amplo poder discricionário.

Deve permanecer seguro o suficiente para que o acesso ao registro em si não se torne uma vulnerabilidade do serviço público.

A expressão "registro enxuto" não deve ser confundida com operação fraca. Um registro enxuto pode ser tecnicamente sólido, juridicamente prudente e transparente. Ele exige provas relacionadas a fatos restritos de registro: identidade do titular, autoridade para solicitar uma alteração, validade do contato, elegibilidade para o serviço, autorização de roteamento, delegação de DNS reverso, continuidade durante uma transferência reconhecida ou restrição legal.

Não pergunta se uma estratégia de digitalização governamental é sábia, se um fornecedor deveria ter vencido uma licitação, se um bloco de endereços deve ser tratado como propriedade nacional ou se o plano de nuvem de uma agência pública é politicamente preferido.

Essa contenção protege tanto os órgãos públicos quanto as redes privadas. Um registro que se torna um braço armado para uma política pública hoje pode se tornar um braço armado para outra amanhã. Um registro que trata reivindicações nacionais como superiores à continuidade regional pode desestabilizar serviços transfronteiriços. Um registro que adiciona escrutínio discricionário a cada atualização politicamente sensível do setor público pode retardar a continuidade precisamente quando os serviços públicos precisam de previsibilidade.

A confiabilidade também tem uma dimensão de transparência. Órgãos públicos precisam de documentos em linguagem clara que expliquem o que os registros do RIPE NCC provam e não provam, como o DNS reverso é delegado, o que o RPKI pode e não pode validar, como os dados de contato devem ser mantidos, como as agências públicas podem preservar a continuidade durante uma troca de fornecedor e quais provas são necessárias quando uma instituição pública se reorganiza. Isso não é tratamento especial para o governo. É uma redução nos custos de transação para um setor cujos erros afetam cidadãos que não podem escolher outro provedor de direito público.

O RIPE NCC também deve manter um relatório de interesse público restrito e útil. Informações agregadas sobre disponibilidade de serviço, incidentes de segurança, cronograma de transferências, restrições de sanções, problemas de canais de pagamento e carga de documentação podem ajudar membros e órgãos públicos a avaliar o risco sem expor detalhes sensíveis. O objetivo não é culpar agências públicas ou fornecedores. É mostrar se o registro reduz a incerteza ou a adiciona.

O teste de legitimidade institucional não é, portanto, se o RIPE NCC pode pronunciar valores elevados. É se os atores públicos e privados de toda a região continuam a acreditar que o registro é previsível, contido, tecnicamente competente e resistente à captura. A dependência do setor público em relação ao endereçamento aumenta os riscos porque as falhas reverberam em impostos, tribunais, escolas, hospitais e serviços de emergência. Isso não altera o modelo institucional correto. Torna esse modelo mais urgente.

O que os órgãos públicos devem exigir antes de comprar

A resposta prática começa nas compras porque é lá que muitas dependências são criadas. Os órgãos públicos não precisam transformar licitações em manuais de roteamento. Eles precisam fazer um pequeno número de perguntas que forçam o controle do endereçamento a ser destacado.

Primeiro, a licitação deve identificar a detenção do endereçamento. O serviço usará faixas do órgão público, faixas do fornecedor, faixas do provedor de nuvem ou um modelo misto? Se forem usadas faixas do órgão público, quem gerenciará os registros do RIPE NCC, a visibilidade RDAP, as declarações de origem de roteamento, o DNS reverso e a validação em nuvem? Se forem usadas faixas de fornecedor, quais funções públicas serão vinculadas a elas, e qual é o plano de saída? Se um modelo misto for usado, quais funções merecem portabilidade e quais podem aceitar a identidade do fornecedor?

Segundo, o contrato deve definir a autoridade. Quem pode solicitar modificações nos registros do registro? Quem pode criar ou retirar declarações de origem de roteamento? Quem pode autorizar um provedor de nuvem ou segurança a anunciar a faixa? Quem pode modificar o DNS reverso? Quais aprovações são necessárias em condições normais e em condições de emergência? As contas de função, os controles de múltiplas pessoas e os planos de sucessão estão documentados? Um órgão público nunca deve descobrir, durante um incidente, que a única pessoa que pode agir é um terceirizado indisponível ou contestado.

Terceiro, o contrato deve definir as provas. Os fornecedores devem fornecer um registro de controle de endereçamento que liste as faixas, os registros do registro, as declarações de origem de roteamento, a delegação de DNS reverso, os caminhos de contato, os registros de validação em nuvem, as notas de geolocalização, os problemas de reputação e as dependências de listas de permissão de parceiros. O registro deve ser atualizado em intervalos definidos e na saída. Deve ser legível por auditores e planejadores de continuidade, não apenas por engenheiros de rede.

Quarto, o contrato deve definir a saída. Se o fornecedor detém os endereços, como a migração será realizada? Por quanto tempo o encaminhamento, o suporte a listas de permissão, os logs e o suporte de reputação permanecerão disponíveis? Se o órgão público detém os endereços, como o fornecedor removerá as antigas entradas de roteamento, devolverá o acesso, atualizará o DNS reverso e certificará que nenhuma dependência residual permanece? O que acontece se o fornecedor for insolvente, sancionado, adquirido, comprometido ciberneticamente ou em litígio com a agência?

Quinto, o contrato deve definir exercícios. Um exercício de recuperação de desastres deve incluir a camada de endereçamento: movimento de rota, verificações RPKI, autoridade de atualização de DNS reverso, validação de anúncio em nuvem, escalonamento de contato e notificação de parceiros externos. O exercício não deve parar quando a aplicação é restaurada em um ambiente de teste. A acessibilidade pública e as provas públicas devem ser testadas.

Sexto, o órgão público deve mapear a criticidade. Nem todos os sites precisam do mesmo nível de controle de endereçamento. Um site de campanha não é um sistema fiscal. Uma página de museu não é uma plataforma de alerta de emergência. Um boletim local não é um sistema de petição judicial. O modelo de governança do endereçamento deve corresponder ao dano público. As faixas raras de IPv4 e o tempo da equipe devem ser reservados para serviços onde continuidade, provas e confiança justifiquem o custo.

Sétimo, os altos responsáveis devem assumir o risco. As equipes de rede podem manter os registros, mas não podem decidir sozinhas a criticidade dos serviços públicos. Os responsáveis por compras, jurídico, auditoria, cibernética, continuidade e serviços devem entender a escolha. A dependência do endereçamento é uma decisão de governança que se esconde sob uma forma técnica.

Uma norma de continuidade para os próximos três anos

Os próximos três anos provavelmente tornarão essa dependência mais visível. Os órgãos públicos da região do RIPE NCC continuarão a transferir serviços para plataformas de nuvem, consolidar sistemas de identidade, terceirizar segurança, digitalizar acesso a tribunais e impostos, conectar sistemas de saúde, melhorar comunicações de emergência e modernizar redes de governos locais. A implantação do IPv6 continuará, mas as dependências de IPv4 permanecerão incorporadas em listas de permissão, sistemas de reputação, aplicações legadas, interfaces de parceiros e serviços voltados ao cidadão.

A camada de endereçamento permanecerá, portanto, tanto técnica quanto econômica.

Uma norma crível para o setor público começaria com um inventário. Cada ministério, prefeitura, serviço judiciário, autoridade hospitalar, rede educacional e órgão de segurança pública deve saber quais faixas públicas suportam serviços críticos; quem as detém; onde estão registradas; como roteiam; como o DNS reverso está delegado; quais fornecedores de nuvem ou telecomunicações podem anunciá-las; quais sistemas externos dependem delas; e quais contatos podem agir em um incidente. O inventário deve ser mantido como um registro de continuidade do serviço público, não como uma planilha de engenharia única.

A segunda etapa é a classificação. Os serviços públicos devem ser agrupados de acordo com a necessidade de continuidade do endereçamento. Serviços de alta criticidade incluem declaração fiscal, benefícios sociais, identidade, acesso a tribunais, comunicações de emergência, troca de saúde pública, portais hospitalares e serviços municipais essenciais. Serviços de criticidade média podem incluir portais de informação pública, licenças, plataformas de compras e administração educacional. Serviços de criticidade mais baixa podem incluir campanhas temporárias ou páginas informativas.

A classificação deve orientar a agência sobre o uso de faixas portáteis, faixas de fornecedor ou faixas de provedor de nuvem.

A terceira etapa é a preparação de provas. Para serviços de alta criticidade, o órgão público deve ser capaz de produzir rapidamente provas de registro e roteamento: registro atual no RIPE NCC, contatos autorizados, declarações de origem de roteamento, delegação de DNS reverso, cartas de autorização de fornecedor, registros de validação em nuvem, caminhos de escalonamento de incidente e obrigações de saída. Essas provas devem ser revisadas após mudanças institucionais, trocas de fornecedor e migrações importantes.

A quarta etapa é a disciplina dos fornecedores. Os contratos devem exigir registros de controle de endereçamento, cooperação com atualizações do registro, mudanças oportunas de origem de roteamento, gestão de DNS reverso, suporte de saída e escalonamento de emergência. Os fornecedores não devem ser autorizados a esconder decisões de endereçamento em descrições genéricas de serviço. Se usarem suas próprias faixas, o órgão público deve entender o custo futuro. Se usarem faixas do órgão público, devem documentar cada ação que afeta o controle.

A quinta etapa é o realismo regional. A região de serviço do RIPE NCC inclui estados ricos, pequenas administrações, contextos afetados por conflitos, restrições bancárias, diversidade linguística e capacidade variada do setor público. Uma norma que funcione apenas para um grande ministério da Europa Ocidental é insuficiente. Pequenas prefeituras, hospitais públicos e agências em ambientes administrativos mais fracos precisam de modelos, orientação em linguagem clara e apoio de serviços compartilhados. O objetivo não é a perfeição. É um mínimo de provas de continuidade para serviços críticos.

A sexta etapa é a contenção na governança. Os órgãos públicos devem resistir à tentação de transformar a dependência do registro em reivindicações de controle nacional sobre o registro. O RIPE NCC deve resistir à tentação de transformar a dependência pública em poder discricionário mais amplo. Ambas as partes precisam de fronteiras previsíveis. Os governos devem manter autoridade legal clara em seus próprios registros e contratos. O RIPE NCC deve manter a autoridade do registro ligada a fatos de registro, continuidade de serviço e procedimento transparente.

A lição: legitimidade por meio de continuidade monótona

O RIPE NCC ocupa uma posição institucional incomum. Não é um governo, mas os governos dependem de seus registros. Não é um tribunal, mas seu reconhecimento pode afetar provas. Não é um regulador de telecomunicações, mas seu banco de dados e serviços de certificação podem influenciar a credibilidade e o roteamento de serviços públicos. Não é uma autoridade de contratação pública, mas as escolhas de contratação incorporam dependência de seu registro. Não é um registro soberano, mas na escassez, seus registros têm valor econômico.

Essa posição exige disciplina de todas as partes. Os órgãos públicos devem parar de tratar a identidade de endereçamento público como encanamento invisível. Devem saber o que possuem, o que os fornecedores possuem por eles, o que as plataformas de nuvem exigem, quais provas de roteamento existem, o que o DNS reverso diz e quem pode agir em caso de emergência. Devem integrar o controle de endereçamento em licitações, planos de continuidade, exercícios cibernéticos e provas de auditoria. Devem calcular o custo de saída de endereços pertencentes a fornecedores e o custo de gestão de faixas portáteis.

Devem tratar a autoridade legal como uma rede de segurança, não como substituto para preparação.

O RIPE NCC deve preservar as virtudes monótonas de um registro legítimo. Precisão, disponibilidade, segurança, procedimento previsível, padrões claros de prova, modificações que preservam a continuidade e limites transparentes são mais importantes do que grandeza institucional. Seu valor de interesse público aumenta quando ministérios, prefeituras, tribunais, hospitais, escolas, serviços de emergência e contratados podem confiar no registro sem temer que ele se torne uma porta política ou um planejador de mercado. Deve ajudar o setor público a entender a dependência, enquanto se recusa a se apropriar da estratégia do setor público.

O quadro de economia institucional é, portanto, o do registro versus controlador de acesso. O RIPE NCC é mais legítimo quando atua como um registro enxuto e confiável cujos registros reduzem os custos de transação para muitos atores. Torna-se arriscado se a dependência o transforma em um controlador de acesso à estratégia de serviço público, movimentos de capital ou reconhecimento político. Os órgãos públicos são mais fortes quando usam o registro de forma inteligente sem confundi-lo com soberania. Os fornecedores são mais úteis quando preservam a saída pública em vez de converter o controle de endereçamento em dependência.

O portal fiscal, o hospital, o tribunal, a rede escolar e o serviço de emergência raramente mencionarão o RIPE NCC publicamente. Os cidadãos não se importam com qual registro de registro apoiou uma migração para a nuvem ou qual declaração de origem de roteamento tornou um failover crível. Eles se importam que o serviço funcione, que possa se mover em caso de crise, que os registros sejam confiáveis, que os e-mails cheguem, que os prazos sejam justos e que o Estado possa explicar o que aconteceu quando algo falha.

É por isso que a dependência do setor público em relação ao endereçamento importa. Não é um slogan da moda da governança da internet. É uma dependência silenciosa dentro de uma administração legal. Ela transforma recursos de endereçamento escassos em provas de continuidade, a escolha de fornecedor em custo de transação, a precisão do registro em confiança pública e a contenção institucional em uma forma de resiliência. A boa ambição não é espetacular. É que os serviços públicos mantenham sua identidade de rede quando a tecnologia, os fornecedores, os desastres e a política mudam ao seu redor.

Na região do RIPE NCC, essa ambição começa com um registro que permanece preciso, enxuto e confiável, e com órgãos públicos que finalmente tratam o registro como parte do serviço que devem prestar.