Resumo

  • O Conselho da LACNIC aprovou por unanimidade a versão DIR-POL-005.05, registrando aviso imediato ao Comitê de Riscos, apresentação de tratamento em prazo não superior a 90 dias e objetivo de baixar o risco da zona máxima em menos de 120 dias.
  • A ata pública não identifica o marco inicial nem os eventos de aceitação e saída. Um recibo com identificador opaco pode provar o ciclo sem divulgar a natureza do risco.

A virtude da regra está nos verbos

No dia 23 de fevereiro de 2026, em Lima, o Conselho da LACNIC examinou uma atualização da Política de Riscos. A proposta era acrescentar uma nota para riscos residuais que alcançassem a zona de máxima avaliação. Nessa condição, o Comitê de Riscos do Conselho deveria ser informado imediatamente. Um tratamento teria de ser apresentado em prazo não superior a 90 dias. O objetivo seria retirar o risco daquela zona em menos de 120 dias. A atualização foi aprovada por unanimidade como DIR-POL-005.05.

É um desenho mais forte do que uma promessa genérica de acompanhamento. Há um limiar de gravidade, uma autoridade que recebe a informação, uma ação intermediária e uma mudança de estado pretendida. A expressão “risco residual” também faz diferença: trata-se da exposição que permanece depois dos controles existentes, não da mera possibilidade abstrata de algo dar errado.

Antes de apontar a lacuna, convém reconhecer a melhor defesa da LACNIC. Riscos institucionais podem envolver falhas de segurança, dependências críticas, pessoas, fornecedores, finanças ou planos de resposta. Publicar a descrição seria imprudente. A ata também mostra que o tema passa pelo staff, por um comitê do Conselho e pelo plenário. Em maio, o Conselho recebeu um resumo da reavaliação de riscos, dos tratamentos e dos controles de mitigação; o material já havia sido apresentado ao Comitê de Riscos. Existe uma cadeia de governança visível.

O que falta é mais modesto: a ata fornece dois intervalos, mas não o marco público a partir do qual eles correm.

Um relógio não é um calendário

“Informar”, “apresentar” e “baixar” descrevem três fatos diferentes. A informação imediata é uma escalada de autoridade. A apresentação do tratamento coloca uma proposta diante de quem supervisiona. A saída da zona máxima exige uma nova avaliação do risco. Um plano pode chegar no prazo e ainda precisar de ajustes; uma ação pode ser implementada sem que o risco residual caia de categoria.

Por isso a base de contagem é essencial. Os 90 dias podem começar quando uma equipe calcula a pontuação, quando a classificação é validada ou quando o Comitê é notificado. O objetivo de 120 dias pode compartilhar esse início ou usar outro. Uma contestação metodológica pode suspender a contagem, ou não. Um risco que sai da zona e depois volta pode reabrir o caso anterior ou gerar um novo.

Essas são perguntas sobre o registro público, não descrições do processo interno da LACNIC. A política completa talvez responda a todas. O sistema interno pode produzir uma trilha perfeita. As atas consultadas não mostram esses campos. Portanto, a conclusão correta é apenas que um leitor externo não consegue reconstruir a contagem a partir da evidência publicada.

Tampouco é possível dizer que algum prazo foi perdido. A ata não afirma que havia um risco na zona máxima quando a regra foi aprovada. Não apresenta identificador, data de entrada, responsável ou vencimento. Uma norma geral não é prova de que um caso concreto tenha sido ativado.

O registro de maio tem outro alcance

A reunião de 24 de maio ajuda a enxergar a cadência. O staff apresentou um resumo do trabalho realizado em reavaliação, tratamento e controles para mitigar riscos. A ata informa que o conteúdo já tinha passado pelo Comitê de Riscos do Conselho. Isso reforça a existência do canal de supervisão e mostra continuidade depois da atualização de fevereiro.

Mas não fecha nenhum dos dois relógios. O texto não diz se o resumo incluía riscos de classificação máxima, se a regra nova havia sido acionada, quando um tratamento foi entregue ou qual mudança de pontuação ocorreu. É evidência agregada de atividade, não um recibo individual de estado.

Os extremos seriam igualmente injustos. Não se pode alegar inércia porque faltam detalhes na ata; também não se pode declarar todos os objetivos cumpridos porque houve uma apresentação. Governança responsável começa por não pedir a um documento que prove mais do que ele contém.

Há ainda uma linha de versão. Em 5 de novembro de 2024, o Conselho havia aprovado a quarta versão, DIR-POL-005.04. Na discussão seguinte, sobre o histórico de outros documentos, a administração explicou que versões anteriores eram guardadas em pasta separada e um diretor considerou desnecessário reuni-las publicamente. Isso não demonstra que a política atual esteja indisponível nem permite supor seu conteúdo. Apenas mostra que ata, número da versão e arquivo histórico ocupam lugares diferentes na cadeia de evidência.

Um recibo sem segredo

O controle público pode preservar a confidencialidade do risco e ainda provar os seus movimentos. Para isso, basta tratar a sequência como um recibo de relógio de risco máximo.

O recibo teria um identificador opaco; data e hora de entrada na zona máxima; data e hora da comunicação ao Comitê; regra que define o início de cada período; vencimento e evento de apresentação ou aceitação do tratamento; responsável; autoridade que aprova; data-alvo para saída; zona atual; e classe geral da evidência. Campos de exceção, pausa, reabertura e correção evitariam que uma trajetória irregular fosse forçada a parecer linear.

Nada disso exige revelar uma vulnerabilidade, um prestador afetado ou um plano de defesa. O público veria que um caso confidencial mudou de estado sob uma regra determinada. O Conselho veria se os dois períodos medem o que deveria medir. O staff preservaria o espaço necessário para lidar com detalhes sensíveis.

O recibo também impediria duas trocas semânticas. Apresentar tratamento em até 90 dias não significa que o risco foi reduzido. Buscar a saída em menos de 120 dias é um objetivo, não uma garantia absoluta. A linguagem do registro deve conservar essa assimetria, pois ela define o que pode ser cobrado em cada etapa.

Infraestrutura também é instituição

O trabalho da LACNIC sustenta a gestão dos recursos numéricos da Internet na América Latina e no Caribe. Registro, alocação, segurança de roteamento e articulação comunitária dependem de continuidade institucional. Mesmo que o risco não seja uma falha de rede, sua governança afeta a confiança na organização que mantém essa camada de coordenação.

Operadores conhecem a distinção. Um alerta, um plano aprovado, uma correção implantada e uma nova medição não são a mesma coisa. Quando viram um único status, atrasos e autoridade desaparecem. Quando permanecem como transições ligadas, a organização aprende sem expor o conteúdo sensível.

A decisão de fevereiro já transformou tempo em controle. O próximo ganho não viria de publicar os riscos, mas de publicar o mostrador: o que dá início aos dois relógios, que fato conta como etapa cumprida e como uma correção altera o histórico.

Fontes