Resumo

  • A resiliência institucional não pode ser inferida apenas pela disponibilidade ou reservas; deve ser testada por meio de autoridade legal, legitimidade da governança, integridade dos dados, finanças, confiança criptográfica e dependência do operador.
  • O conjunto básico de cenários deve combinar eleições contestadas, insolvência, sanções e interrupções de pagamento, um ataque cibernético coordenado, uma migração da âncora de confiança RPKI e uma onda de transferências contestadas ou inter-regionais.
  • Os exercícios devem progredir de testes de decisão documentados para ensaios funcionais, serviço espelho, failover controlado e simulação interinstitucional completa sem arriscar o controle ao vivo dos recursos.
  • As condições de sucesso devem medir a preservação dos registros autorizados, os direitos de decisão legais, a restauração dos serviços, o acesso dos titulares, a equivalência da segurança de roteamento, a capacidade de correção, a autonomia regional e o retorno seguro do controle.
  • Os operadores de emergência devem receber os poderes temporários mínimos necessários para a continuidade, com proibições explícitas de mudança de política, realocação discricionária e manutenção indefinida da autoridade.
  • Os operadores devem participar como validadores ativos, pois um registro pode acreditar que um serviço foi restabelecido enquanto as partes interessadas, a automação, os diretórios e os sistemas de segurança de roteamento ainda observam um estado inconsistente.
  • Os relatórios públicos devem divulgar as premissas, o escopo testado, as falhas, as evidências, os responsáveis pela correção e as datas de novo teste, protegendo identificadores, registros pessoais e detalhes de segurança exploráveis.
  • A NRS pode organizar a discussão, coletar contas e submissões autorizadas de membros e publicar comparações de resultados de exercícios divulgados. Ela não pode controlar o exercício, fornecer autoridade de conformidade, deter evidências operacionais protegidas ou substituir os RIR, serviços IANA, operadores de emergência e examinadores independentes responsáveis pela execução.

Uma década é a escala certa de seriedade

Um único exercício anual é curto demais para revelar a perda de memória institucional, a rotatividade de fornecedores, a substituição criptográfica, as mudanças no conselho e a deriva jurídica. Dez anos é tempo suficiente para que os executivos seniores saiam, os contratos expirem, os sistemas sejam substituídos, os conflitos políticos se repitam e a documentação de emergência se torne obsoleta. Também é curto o suficiente para atribuir marcos, orçamentos e responsabilidades públicas agora.

O programa deve funcionar como uma sequência, não como dez repetições da mesma mesa redonda. Os primeiros anos estabelecem inventários, mapas de autoridade e metas de recuperação mensuráveis. Os anos intermediários testam a substituição funcional e a coordenação inter-regional. Os anos posteriores combinam falhas e exigem que equipes independentes se recuperem a partir de informações incompletas ou enganosas. Cada etapa deve incorporar lições de incidentes reais e mudanças na lei ou nas normas.

O objetivo não é criar drama. Um teste deve ser severo, mas plausível. Regras eleitorais podem produzir resultados contestados. Instituições sem fins lucrativos podem enfrentar choques de receita, litígios ou insolvência. Sanções podem restringir serviços, operações bancárias e contrapartes. Atacantes sofisticados podem atingir simultaneamente identidade, autenticação, registro e sistemas de publicação. Chaves de âncora de confiança eventualmente exigem migração, pois hardware e algoritmos não duram para sempre. Escassez e reestruturação corporativa podem criar ondas de transferências. Nenhuma dessas condições é especulativa.

A versão revisada doprojeto de documento de governança dos RIRdá atenção explícita à continuidade de emergência, a um operador de emergência, à passagem e à revisão pós-evento. Aavaliação preliminar de implementaçãodo NRO identifica a necessidade de disposições técnicas, administrativas e legais para um operador de emergência e uma transferência estável. Esses são compromissos institucionais importantes. Um teste de estresse pergunta se eles podem ser executados com inventários, autoridades, pessoal, contratos, credenciais e prazos reais.

Definir o sistema antes de tentar quebrá-lo

O sistema testado é maior do que um único registro. Em seu centro estão registros autorizados que vinculam recursos digitais a titulares reconhecidos. Ao redor deles estão identidade de membros e titulares, contratos, faturamento, revisão de transferências, serviços de diretório público, DNS reverso, certificação e publicação RPKI, suporte político, eleições, tratamento de disputas, provas de auditoria, comunicações e coordenação com a IANA. Os operadores consomem o estado resultante por meio de sistemas humanos e automatizados.

Cada instituição participante deve começar com um mapa de serviços e autoridade. Para cada função crítica, o mapa identifica a fonte legal da autoridade, o proprietário da decisão, o proprietário operacional, o armazenamento de dados, a dependência de autenticação, o fornecedor crítico, a instituição a montante e a jusante, a interrupção máxima tolerável, o intervalo aceitável de perda de dados e o substituto autorizado. Também deve identificar os poderes que não podem ser delegados sob a lei ou os documentos constitutivos atuais.

O mapa deve distinguir continuidade de serviço de continuidade de governança. Uma equipe de emergência pode ser capaz de manter um serviço RDAP online sem ter autoridade para aprovar transferências. Pode preservar a publicação RPKI sem estar habilitada a emitir novos certificados de recursos. Pode cobrar taxas de membros sem poder alterar a tabela de preços. Um teste de estresse falha se o acesso técnico for confundido com poder legal.

O inventário deve classificar as funções em quatro níveis de recuperação. O nível um inclui preservação de dados autorizados, acesso somente leitura ao diretório, continuidade do repositório RPKI, monitoramento de segurança e comunicação de incidentes. O nível dois inclui autenticação de titulares, correção de registros, mudanças urgentes de segurança de roteamento e medidas cautelares ordenadas por tribunal. O nível três inclui alocação de rotina, transferências, faturamento e suporte político. O nível quatro inclui eventos, treinamento, pesquisa e projetos discricionários.

Instituições locais podem ajustar a ordem, mas cada desvio deve ter uma razão.

Essa priorização evita um erro comum em exercícios: declarar sucesso porque sites visíveis voltam enquanto as funções que estabelecem autoridade permanecem indisponíveis. Também impede que poderes de emergência sejam ampliados simplesmente porque os negócios normais são inconvenientes. Continuidade é a preservação de direitos essenciais e registros sob condições restritas, não a recriação de cada serviço desde o primeiro dia.

O método de resolução requer fases fixas

Cada cenário deve ser resolvido em seis fases observáveis. A primeira é a detecção: quando a instituição soube e quais evidências ultrapassaram o limiar? A segunda é a classificação: quais serviços, autoridades, populações e dependências externas são afetados? A terceira é o confinamento: quais ações preservam evidências e impedem modificações não autorizadas? A quarta é a continuidade: qual acordo temporário de serviço é ativado, por quem e sob quais limites? A quinta é a recuperação: como o estado autorizado, o acesso do titular e os serviços dependentes são reconciliados?

A sexta é o retorno: como a autoridade temporária termina e como a decisão é revisada?

Cada fase requer um registro de decisão. O registro deve identificar as evidências disponíveis naquele momento, o tomador de decisão autorizado, a base legal, as divergências, os serviços afetados, a condição de expiração e o próximo ponto de revisão. Os exercícios devem deliberadamente remover um tomador de decisão esperado para testar a sucessão. Também devem introduzir evidências contraditórias para que as entidades distingam urgência de certeza.

As condições de sucesso devem ser escritas antes que os detalhes do cenário sejam revelados. Elas incluem o tempo máximo para reconhecer o evento, congelar mudanças perigosas, estabelecer um instantâneo autorizado, notificar instituições dependentes, ativar um substituto legal, restaurar serviços priorizados e reconciliar o estado a jusante. Também incluem condições qualitativas: nenhuma alocação não autorizada, nenhuma perda silenciosa de direitos de revisão, nenhum uso de autoridade de emergência para alterar política, nenhuma destruição de evidências e nenhum controle temporário indefinido.

A resolução deve ser reversível sempre que possível. Uma restrição temporária pode ser levantada. Um serviço somente leitura pode retornar ao modo transacional após reconciliação. Um operador de emergência pode devolver a autoridade a uma instituição regional restaurada. Ações irreversíveis, como revogação de recursos ou destruição de âncora de confiança, requerem aprovação e evidências mais fortes. Os testes devem penalizar decisões rápidas, porém irreversíveis, que criem danos maiores a longo prazo.

Cenário um: uma eleição não produz autoridade legítima

O primeiro cenário começa com uma eleição ordinária do conselho. Os dados de elegibilidade são contestados pouco antes do fechamento da votação. Um fornecedor relata que um erro de configuração pode ter excluído alguns membros e permitido identificadores duplicados para outros. A margem aparente é estreita. O mandato do conselho cessante expira antes que uma revisão independente completa possa ser concluída. Ao mesmo tempo, o conselho deve aprovar um orçamento e nomear signatários de contratos críticos.

Este cenário testa se a continuidade institucional depende da aceitação de um resultado contestado. As entidades devem determinar qual órgão pode preservar as operações, se a autoridade cessante continua temporariamente, quais decisões podem ser adiadas, como as evidências são protegidas e como os membros afetados obtêm revisão. A resposta correta variará de acordo com a lei aplicável e os estatutos. O teste verifica se a resposta é conhecida, legal e contida antes que a disputa surja.

Sucesso não significa produzir um vencedor rapidamente. Significa preservar evidências eleitorais, impedir que partes interessadas controlem a investigação, manter apenas a autoridade necessária para a empresa e concluir um recurso crível. A instituição deve ser capaz de reemitir cédulas ou reiniciar uma eleição sem perder as operações do registro. Administradores ou dirigentes temporários não devem tomar decisões irreversíveis sobre política, remuneração de executivos ou ativos, a menos que o atraso cause danos demonstráveis.

O dossiê de provas deve incluir o instantâneo de elegibilidade, os números de emissão de identificadores, as falhas de entrega, os denominadores de participação, a verificação independente, o cronograma de contestações, as decisões tomadas durante a interinidade e o recurso final. Os votos individuais permanecem secretos. O resultado público deve revelar se cada categoria elegível recebeu tratamento igual e se o acordo de continuidade alterou o campo competitivo.

Uma variante mais difícil combina a falha eleitoral com desinformação. Notificações falsas circulam sobre datas de votação e retirada de candidatos. A instituição deve autenticar as comunicações sem conceder aos cessantes o controle exclusivo da narrativa. Operadores e membros devem ser capazes de verificar avisos oficiais por mais de um canal. O exercício testa legitimidade, não apenas software de votação.

Cenário dois: uma falha financeira atinge a autoridade operacional

O cenário de insolvência não deve começar com uma declaração clara de que os fundos estão esgotados. Deve começar com sinais de deterioração: receitas concentradas, atrasos no pagamento de membros, custos de litígio, perdas cambiais, um fornecedor exigindo pagamento antecipado e um auditor questionando a premissa de continuidade operacional. A administração acredita que a recuperação é possível. O conselho teme que a divulgação acelere o fracasso.

As entidades devem decidir quando o estresse financeiro se torna um evento de continuidade, o que deve ser divulgado e quais despesas recebem prioridade. A folha de pagamento para operações críticas, segurança, seguros, instalações, preservação de dados, obrigações legais e fornecedores essenciais compete com programas ordinários. O teste deve incluir um congelamento de conta bancária ou retirada do prestador de pagamento para que as reservas nominais não possam ser gastas automaticamente.

O NRO publica oFundo Conjunto de Estabilidade dos RIRcomo um compromisso coletivo de apoio emergencial. Sua página atual registra contribuições voluntárias das reservas dos RIR, uma solicitação formal documentada pelo conselho do RIR afetado, aprovação unânime do Conselho Executivo do NRO e contribuições feitas apenas quando necessário, em vez de uma conta mutualizada pré-financiada. Um exercício crível deve testar as condições de acesso, o prazo, a moeda, a governança, os termos de reembolso ou subvenção e as evidências que os outros RIR precisam antes de liberar o apoio. Um compromisso que exige uma solicitação formal do conselho pode chegar tarde demais se a instituição afetada já tiver perdido a capacidade de fazer tal solicitação.

O cenário também deve testar os limites de tribunais e credores. Dados de registro, chaves criptográficas, domínios, equipamentos e créditos podem ser tratados de forma diferente de acordo com a lei local. As entidades devem saber quais ativos podem ser transferidos, licenciados ou protegidos, e quais requerem aprovação judicial. Eles devem verificar se um profissional de insolvência entende que os registros autorizados de recursos digitais não são estoques ordinários vendáveis.

As condições de sucesso incluem preservação ininterrupta de registros autorizados, nenhuma penhora ou venda de controle além da autoridade institucional, continuação de serviços prioritários, uso documentado de reservas, ativação de assistência legal e um caminho crível para reabilitação ou operação interina. A confiança pública não pode depender de esconder o problema até que o caixa se esgote.

Cenário três: sanções fragmentam o direito, os pagamentos e os serviços

Sanções são um teste de estresse particularmente útil porque combinam incerteza legal, risco de identidade, dependência bancária e pressão política. Orelatório de sanções do RIPE NCC do segundo trimestre de 2026explica que as sanções aplicáveis da UE podem congelar modificações de registro sem cancelar o registro de recursos ou encerrar a adesão, enquanto as restrições de pagamento também podem decorrer do processamento pelos bancos de outras listas de sanções. Essa distinção entre registro, uso, serviço e pagamento é exatamente o que um exercício deve preservar.

O cenário deve introduzir um novo regime que pode se aplicar a um membro por controle indireto. Uma triagem produz uma correspondência possível, mas não confirmada. Um banco rejeita pagamentos de vários membros não relacionados na mesma jurisdição. Um tribunal de outro país ordena a continuação do serviço, enquanto um regulador do país onde o registro é constituído ameaça sanções. O titular afetado solicita uma mudança urgente de autorização de origem de rota após um incidente de roteamento.

As entidades devem separar fatos de interpretações legais. Eles devem estabelecer quem pode decidir que uma correspondência é confirmada, quais serviços são congelados, quais mudanças de segurança permanecem autorizadas, como os falsos positivos são corrigidos e como os membros em situações semelhantes são tratados. Eles devem registrar o horário efetivo de cada restrição e preservar um caminho de revisão.

O exercício deve testar a publicação de relatórios públicos agregados sem expor identidade privada ou aconselhamento jurídico. Também deve testar alternativas de pagamento em conformidade com a lei aplicável. Um membro que não pode pagar porque o banco do registro recusa uma transação legal não deve ser tratado automaticamente como um membro inadimplente que opta por não pagar. A instituição precisa de uma distinção documentada e de um meio de preservar a continuidade enquanto a incerteza é resolvida.

As condições de sucesso incluem escalada legal em tempo hábil, nenhum cancelamento de registro não autorizado, tratamento definido para mudanças urgentes de segurança, correção de falsos positivos baseada em evidências, restrições consistentes e retorno reversível ao serviço ordinário. Uma decisão politicamente popular que viola as obrigações legais da instituição é uma falha; assim como a cautela legal que impede os operadores de proteger o roteamento sem revisão fundamentada.

Cenário quatro: ataque cibernético coordenado contra a autoridade

O cenário cibernético deve ter como alvo a confiança, não apenas a disponibilidade. Os atacantes comprometem uma conta de suporte, modificam alguns registros de contato de titulares, obtêm uma sessão válida para um administrador e publicam um aviso fabricado alegando que os dados do registro foram corrompidos. Ao mesmo tempo, tráfego de negação de serviço afeta consultas de diretório e um ponto de publicação RPKI. Backups existem, mas seu teste de restauração mais recente não incluía todos os serviços a jusante.

A instituição deve determinar qual estado é autorizado. Deve preservar logs, revogar acessos, congelar modificações de alto risco, estabelecer um instantâneo de confiança e comunicar a incerteza sem convidar suposições perigosas. Um site público limpo não é o objetivo. O objetivo é uma cadeia defensável de evidências até a autoridade restaurada.

Os exercícios devem incluir variantes de risco interno e de fornecedor. Um funcionário privilegiado pode estar indisponível ou sob suspeita. Um provedor de identidade pode ser comprometido. Um provedor de nuvem pode restaurar a infraestrutura, mas não a ordem precisa dos eventos necessária para identificar modificações não autorizadas. As entidades devem ser forçadas a usar evidências independentes, como registros assinados, logs replicados, observações externas e confirmação do titular.

A resposta técnica deve permanecer vinculada aos direitos. Se todas as transferências forem congeladas, os titulares devem conhecer a base, o prazo de revisão previsto e o caminho para exceção urgente. Se as credenciais forem redefinidas, organizações cujos contatos saíram precisam de um caminho de recuperação robusto. Se os dados do diretório forem restaurados a partir de um instantâneo anterior, as correções feitas após esse ponto devem ser repetidas e verificadas, em vez de perdidas silenciosamente.

As condições de sucesso incluem perda limitada de dados, identificação completa de registros modificados, validação independente do instantâneo restaurado, recuperação de serviços de nível um, reautenticação segura de titulares, reconciliação do estado RPKI e de diretório e um relato público após o risco de segurança imediato ter passado. O exercício deve medir o tempo no 95º percentil para que os titulares afetados recuperem o acesso seguro, não apenas quando os administradores podem fazer login.

Cenário cinco: migração da chave de âncora de confiança sob adoção desigual

A continuidade criptográfica é institucional porque um registro não controla todas as partes interessadas. ORFC 9691define um objeto de chave de âncora de confiança assinado que pode sinalizar uma chave pública atual e sucessora, e suportar a substituição planejada da âncora de confiança RPKI. Ele usa um período de aceitação para que as partes interessadas possam observar e validar o sucessor antes de migrar. O padrão também reconhece que algumas partes interessadas podem não suportar a transição automática e podem continuar usando informações de confiança antigas.

O cenário começa com uma substituição planejada de um módulo de segurança de hardware. A chave privada antiga não pode ser exportada para o novo dispositivo. A instituição preparou uma chave sucessora, mas as medições mostram suporte desigual entre as implementações das partes interessadas. Durante o período de aceitação, um anúncio de vulnerabilidade encurta a vida útil segura do dispositivo antigo. Um incidente de serviço separado cria conteúdo de repositório inconsistente para um pequeno subconjunto de validadores.

As entidades devem decidir se continuam, pausam ou reiniciam a migração. Precisam de evidências de que os caminhos de confiança antigo e novo produzem resultados validados equivalentes. Devem coordenar com mantenedores de software e operadores sem permitir que mensagens não verificadas se tornem uma nova raiz de confiança. Devem reter a chave antiga por tempo suficiente para continuidade, enquanto limitam a exposição devido ao hardware vulnerável.

O exercício deve executar uma verificação real contra repositórios de teste isolados e versões representativas de partes interessadas. Deve medir adoção, falhas de recuperação, validação inconsistente, dados de confiança obsoletos e resposta dos operadores. Deve incluir uma organização que deliberadamente fixa informações de confiança antigas e outra que só atualiza por meio de versões de software. O resultado não pode ser julgado apenas a partir do validador do registro.

As condições de sucesso incluem cobertura equivalente de recursos sob ambas as chaves, aceitação bem-sucedida pelos validadores suportados, um caminho documentado para transição manual, aviso público autenticado, reversão antes da aposentadoria destrutiva da chave e um cronograma baseado em evidências para remoção da chave antiga. O teste deve falhar se uma categoria significativa de operadores ficar cega a uma árvore de certificação regional inteira sem detecção.

Cenário seis: transferência massiva após um choque corporativo e de mercado

O cenário de transferência começa com a insolvência de um grande grupo de infraestrutura que detém recursos por meio de muitas subsidiárias em várias regiões. Tribunais autorizam vendas em diferentes jurisdições. Algumas transferências são sucessões empresariais, algumas são vendas de ativos, algumas são contestadas por credores e algumas envolvem compradores que já detêm espaço de endereçamento substancial. Corretores submetem documentos sobrepostos. Uma parte dos recursos possui autorizações de origem de rota ativas e usuários críticos do setor público.

O volume resultante deve exceder a capacidade ordinária por vários meses. O teste verifica se as instituições podem aumentar a revisão sem abandonar as verificações de autoridade, favorecer candidatos mais bem financiados ou transformar uma fila em um moratório oculto. Também testa se os registros inter-regionais se reconciliam quando uma instituição aprova uma etapa e outra exige evidências adicionais.

O cenário requer um inventário sintético, mas internamente consistente, de entidades legais, blocos de recursos, contratos, ordens judiciais, documentos históricos, estado de certificação e observações de roteamento. As equipes devem receber os documentos em etapas, incluindo contradições que exigem escalada. Devem distinguir controle legal de uma empresa da autoridade para transferir um registro de recurso particular.

Capacidade de emergência não deve significar revisão de identidade relaxada. As instituições podem criar triagem, verificação compartilhada de documentos, análise padronizada de ordens judiciais e regras de prioridade transparentes. Mudanças urgentes necessárias para proteger redes ativas podem ser separadas da transferência final. Cada exceção deve ser registrada, limitada no tempo e revisável.

As condições de sucesso incluem nenhuma dupla disposição, encadeamento completo entre registros de origem e destino, preservação do status contestado, atraso final limitado, identificadores inter-regionais consistentes, reconciliação rápida de certificação e relatório público da fila. Efeitos de concentração devem ser medidos, mas não usados para inventar uma proibição política durante o evento. Se a política permite uma transferência, a equipe de emergência não deve substituir seu próprio julgamento de mercado.

Cenário sete: a coordenação com a IANA se torna incerta

A camada de numeração global tem um conjunto deliberadamente estreito de transações, e seu desempenho publicado é sólido. Osrelatórios de desempenho de recursos numéricos da IANAmostram confirmação de recebimento, resposta, implementação e precisão em relação às metas de serviço, bem como propagação e disponibilidade de DNS reverso. Esse histórico torna a coordenação com a IANA um cenário de controle apropriado: o desempenho ordinário é mensurável, portanto um desvio pode ser detectado com precisão.

O cenário começa com solicitações conflitantes que parecem vir de contatos RIR autorizados durante um evento de continuidade regional. Uma solicita uma mudança de DNS reverso; outra pede à IANA que não aja porque a autoridade está contestada. Uma terceira instituição alega que um acordo de emergência entrou em vigor, mas o aviso de ativação está incompleto. Ao mesmo tempo, uma falha de comunicação afeta um canal de verificação estabelecido.

A equipe da IANA deve preservar a neutralidade enquanto decide quais evidências são suficientes para confirmar recebimento, reter, rejeitar ou executar uma solicitação. Rapidez por si só não é sucesso. Uma instrução executada com precisão de um solicitante não autorizado seria uma falha grave. Recusar todas as solicitações indefinidamente também transferiria o risco para a comunidade de numeração. O teste, portanto, precisa de uma escala de verificação de autoridade pré-estabelecida, caminhos de confirmação fora de banda e tratamento definido para reivindicações conflitantes.

As entidades devem verificar se os contatos de emergência estão atualizados, se as alterações nesses contatos exigem verificação dupla e se a base para reconhecer uma autoridade temporária pode ser auditada posteriormente. Um serviço RIR substituto não deve obter autoridade perante a IANA simplesmente porque tecnicamente possui dados copiados. Inversamente, um órgão de emergência formalmente designado não deve ser bloqueado porque um antigo dirigente mantém acesso a um canal de contato obsoleto.

O elemento de DNS reverso deve usar zonas sintéticas e infraestrutura isolada. As equipes devem medir autenticação de requisições, tempo de decisão, precisão de implementação, propagação e reversão. O elemento de registro deve verificar se o estado de alocação autorizado permanece inequívoco entre a IANA e todas as entidades RIR após o evento. Nenhuma alocação ou delegação global ao vivo deve ser colocada em risco.

As condições de sucesso incluem identificação correta do solicitante autorizado, preservação de evidências de reivindicações conflitantes, tempo de retenção limitado, nenhuma modificação não autorizada do registro global, implementação precisa após resolução e estado a jusante consistente. O relatório público deve divulgar o caminho de autoridade testado e o prazo, retendo segredos de autenticação. Este cenário prova que a continuidade institucional se estende além das fronteiras, em vez de parar na porta do escritório regional.

O teste decisivo é um cenário composto

Testar cada choque separadamente é necessário e insuficiente. Em 2033 ou 2034, o programa deve realizar um exercício composto no qual a legitimidade eleitoral é contestada, um pacto financeiro é violado, uma atualização de sanções afeta um grande titular, atacantes exploram a confusão, uma transição de âncora de confiança já está em andamento e um caso de transferência massiva atinge um prazo judicial.

O cenário não deve simplesmente adicionar seis tarefas independentes. As dependências devem forçar escolhas. Congelar todas as mudanças ajuda no confinamento cibernético, mas pode impedir uma correção necessária de chave ou segurança de roteamento. A divulgação pública pode proteger os membros, mas piorar uma corrida bancária. O desbloqueio de fundos de estabilidade pode exigir as assinaturas de um conselho contestado. A ativação de um operador de emergência pode preservar serviços, mas desencadear restrições legais sobre acesso transfronteiriço a dados.

A prorrogação da chave de âncora de confiança antiga pode favorecer a compatibilidade, mas aumentar a exposição à segurança.

As entidades devem receber informações incompletas em cronogramas realistas. Controladores independentes podem injetar novas evidências com base nas decisões. Se uma equipe não preservar logs, a atribuição posterior se torna impossível. Se emitir um congelamento jurídico muito amplo, o dano aos operadores aumenta. Se esperar pela certeza, a restauração do serviço desacelera. O objetivo é expor as compensações, não recompensar a decisão teatral.

Nenhuma organização deve controlar toda a narrativa do exercício. Equipes distintas devem representar o RIR afetado, os outros RIR, os serviços de numeração da IANA, um operador de emergência, os operadores, os titulares de recursos, os auditores e as autoridades legais. A NRS pode participar como observadora de defesa ou como representante de um membro que a autorizou expressamente. A NRS não deve receber credenciais operacionais, direitos de decisão ou custódia de evidências protegidas. Os limites de autoridade devem corresponder a acordos plausíveis.

Os observadores devem registrar não apenas as decisões, mas também as solicitações que ficaram sem resposta e as suposições que ninguém verificou.

Sucesso significa preservar um estado mínimo legítimo: os registros autorizados permanecem intactos, as modificações perigosas são contidas, os serviços públicos críticos continuam, os direitos urgentes dos titulares podem ser exercidos, a certificação permanece interpretável, os poderes temporários permanecem limitados, as evidências sobrevivem e o controle regional retorna quando os critérios de restauração são atendidos. Isso não significa que todo serviço de rotina atinja metas normais.

Referências, injeções e controle do exercício

Um teste de estresse pode ser manipulado antes de começar escolhendo uma referência fácil. Cada exercício compartilhado deve, portanto, começar com uma declaração de inventário assinada: números de registros autorizados, titulares ativos, processos abertos, certificados, objetos de diretório, contas privilegiadas, contratos críticos e dependências de serviço. Examinadores independentes devem verificar amostras e registrar as deficiências conhecidas. As equipes não podem depois atribuir cada inconsistência ao cenário ou excluir silenciosamente uma população inconveniente.

As injeções de cenário devem ser derivadas de riscos documentados e dependências institucionais reais. Podem incluir uma ordem judicial, um aviso bancário, um alerta de fornecedor eleitoral, um log de segurança, um resultado de validador, uma reclamação de membro ou uma mudança na disponibilidade de pessoal. Cada injeção precisa de um horário de emissão, um papel de origem, uma classe de confiabilidade e uma consequência de prova prevista.

As entidades podem questionar a confiabilidade de uma injeção, assim como devem questionar evidências incertas em um evento real, mas os controladores devem preservar a verdade fundamental necessária para avaliação posterior.

Os controladores não devem orientar as equipes para um resultado político preferido. Seu trabalho é manter fatos consistentes, aplicar consequências, medir decisões e impedir qualquer contato perigoso com sistemas ao vivo. Um grupo de avaliação separado deve julgar as condições de sucesso. Outro grupo protegido deve gerenciar qualquer elemento técnico confidencial. A separação reduz o risco de que aqueles que projetaram o cenário declarem suas próprias suposições corretas.

O relógio do exercício deve refletir a função testada. Um cenário financeiro ou de sanções pode comprimir semanas em horas, preservando a ordem das decisões e os períodos de aviso. Uma transição de âncora de confiança não pode simplesmente comprimir o comportamento de aceitação se a duração em si oferece segurança. Testes funcionais podem simular intervalos longos, mas o programa final também deve realizar pelo menos um ensaio prolongado em tempo real que exponha as passagens entre equipes e regiões.

Cada comunicação deve ser capturada por meio de canais acordados. Chamadas informais frequentemente carregam contexto decisivo durante incidentes, mas não deixam vestígio para revisão. Os exercícios devem exigir uma breve nota de decisão após instruções orais e devem testar a falha do serviço de conferência ou mensagens principal. Avisos públicos devem ser redigidos e autenticados como se fossem reais, e depois distribuídos apenas no ambiente de exercício, a menos que claramente identificados como testes.

Um exercício pode ser interrompido se arriscar serviços ao vivo, dados protegidos ou a segurança das entidades. O poder e os critérios de interrupção devem ser definidos antecipadamente. Parar por segurança não é uma falha; criar risco evitável ao vivo é uma. A avaliação deve ainda registrar qual premissa de design provocou a parada e exigir um novo teste mais seguro.

Os métodos de exercício devem progredir além da discussão

O primeiro método é a verificação de documentos. Examinadores independentes verificam se as autoridades, inventários, contatos, contratos, metas de recuperação e poderes substitutos estão atualizados e mutuamente consistentes. Isso pode revelar contradições antes de qualquer simulação. Um documento que nomeia um ex-funcionário ou um fornecedor expirado deve ser considerado uma constatação, não preparação concluída.

O segundo método é a simulação de decisões. Os líderes e o pessoal técnico recebem injeções cronometradas e devem produzir registros de decisão reais, avisos, escaladas legais e prioridades de serviço. Os observadores comparam as decisões com os documentos constitutivos e as condições de sucesso. As entidades não devem receber a resposta esperada antecipadamente.

O terceiro método é o ensaio funcional em ambientes isolados. As equipes restauram instantâneos autorizados, reconstroem acesso de identidade, reemitem certificados de teste, reconciliam diretórios e processam transferências sintéticas. Os resultados medidos vêm dos sistemas e de validadores independentes, não da autoavaliação. Identificadores e dados devem ser sintéticos ou fortemente protegidos.

O quarto método é o serviço espelho. Uma equipe substituta recebe um estado não produtivo replicado e tenta fornecer funções definidas sem a ajuda da equipe principal. Os resultados revelam conhecimento não documentado, dependências proprietárias e autoridade ambígua. A instituição principal permanece no controle dos serviços ao vivo.

O quinto método é o failover controlado. Um serviço restrito e reversível, como um conjunto de dados públicos somente leitura ou um repositório RPKI de teste, é transferido para uma alternativa preparada sob observação. Qualquer item ao vivo requer controles de mudança rigorosos, aviso prévio aos membros quando apropriado, reversão e aprovação explícita. Os exercícios nunca devem criar risco desnecessário ao controle real dos recursos.

O último método é uma simulação interinstitucional com comunicações reais, temporização independente e sistemas de operadores representativos. Deve incluir condições de noite, fim de semana e múltiplos fusos horários. Planos de recuperação que funcionam apenas quando todos os especialistas estão imediatamente disponíveis não são resilientes.

Os operadores são validadores, não uma plateia

As instituições de registro podem testar a restauração interna de serviços e ainda assim perder uma falha externa. Os operadores podem armazenar em cache dados de diretório, executar diversos softwares de partes interessadas, automatizar mudanças de certificados, depender de listas de permissão ou interpretar avisos de incidentes de forma diferente. Suas observações determinam se o estado restaurado é utilizável.

O programa deve recrutar operadores de diferentes tamanhos, regiões e modelos técnicos. As entidades devem incluir provedores de acesso, redes de hospedagem, redes do setor público, redes de conteúdo, empresas e mantenedores de software de segurança de roteamento. Seu papel é validar os resultados sintéticos, testar comunicações e relatar consequências operacionais. A participação não deve dar acesso a dados privados de titulares.

As medições dos operadores devem incluir o tempo para autenticar um aviso oficial, o tempo para recuperar o estado atual do diretório, a convergência dos validadores, resultados inconsistentes de validade de rota, falha de automação, intervenção manual e incerteza residual. Um serviço pode atingir uma meta de disponibilidade interna enquanto os operadores recebem resultados conflitantes. A convergência externa é, portanto, uma condição de sucesso.

Os operadores também devem testar a contenção. Comunicações de emergência não devem encorajar redes a rejeitar rotas com base em evidências incertas ou incompletas. A autoridade do registro sobre os registros não transforma uma instituição em controladora universal do roteamento. Os avisos devem descrever o estado observado, a confiança, os serviços afetados e a verificação recomendada, sem exagerar o comando.

A autoridade de emergência deve ser estreita e temporária

Um operador de emergência precisa de acesso e capacidade legal suficientes para preservar serviços essenciais. Não deve herdar um mandato ilimitado. O instrumento de ativação deve listar as funções autorizadas, as ações proibidas, os limites de dados, a autoridade de gastos, os intervalos de revisão, as condições de expiração e os critérios de retorno.

As ações proibidas devem normalmente incluir modificar a política regional de recursos numéricos, realocar recursos contestados, alterar regras eleitorais, alienar ativos institucionais, usar dados de membros para fins não relacionados e prorrogar seu próprio mandato. Exceções devem exigir um órgão separadamente autorizado e justificativas públicas. O órgão de emergência não deve se tornar juiz de sua própria necessidade contínua.

O retorno da autoridade merece tanto teste quanto a ativação. A instituição restaurada deve demonstrar legitimidade de governança, segurança, integridade dos dados, pessoal, capacidade financeira e controle legal. O órgão de emergência deve fornecer registros completos e devolver as credenciais. Operação paralela pode ser necessária para reconciliação, mas a propriedade das decisões deve ser inequívoca.

O enfoque do projeto de material de governança na revisão pós-emergência é importante. Cada exercício deve usar a mesma disciplina mesmo quando nenhuma emergência real ocorreu. O relatório público deve identificar a duração, os serviços prestados, a autoridade exercida, as exceções, os direitos afetados, a decisão de retorno, as deficiências não resolvidas e as recomendações.

A NRS pode reunir instituições que podem desconfiar umas das outras, ajudar membros pequenos a expressar sua experiência e publicar pesquisas comparando medidas e resultados públicos. Ela não deve manter ativos de teste, definir conformidade, deter evidências protegidas, operar o exercício ou controlar uma transferência de autoridade. Essas funções pertencem às entidades RIR, serviços IANA, operadores de emergência qualificados e examinadores independentes. A legitimidade da NRS é mais forte quando sua defesa torna o poder mais responsável sem adquirir nenhum desse poder ela mesma.

Uma pontuação deve preservar a falha, não escondê-la

Uma única nota de resiliência seria atraente e enganosa. Instituições podem ser fortes na recuperação técnica e fracas na autoridade legal, ou financeiramente resilientes e criptograficamente frágeis. O resultado deve usar um painel multidimensional com condições de falha estritas.

As dimensões são autoridade, governança, finanças, integridade dos dados, confinamento de segurança, continuidade de serviço, acesso dos titulares, equivalência RPKI, convergência externa, comunicação, reversibilidade e aprendizado. Cada dimensão deve mostrar o alvo, o resultado observado, a fonte de evidência e a confiança. Falhas estritas incluem mudança de recurso não autorizada, perda de dados autorizados, incapacidade de identificar um tomador de decisão legal, poder de emergência ilimitado, divergência de certificação não detectada e falha em preservar direitos de revisão.

As medidas de tempo devem relatar distribuições. A recuperação dos titulares não pode ser representada pelo primeiro login bem-sucedido. A recuperação das transferências não pode ser representada por um caso fácil. A convergência dos validadores não pode ser representada pela própria implementação da instituição. Os resultados de cauda revelam quem arca com o custo do estresse institucional.

As constatações devem ser classificadas por consequência e frequência. Um defeito de documentação pode ser menor até que bloqueie a autoridade de assinatura de emergência. Um teste falhado não é uma derrota de reputação se produzir uma correção rápida e um novo teste bem-sucedido. Esconder ou reduzir o teste após uma falha é mais grave do que descobrir uma fraqueza.

A correção e o novo teste fazem parte do resultado

Um relatório de exercício sem correção financiada é uma observação, não uma melhoria de resiliência. Cada constatação material deve ter um proprietário responsável, recursos aprovados, tratamento de risco interino, data alvo e método de novo teste. Se a administração aceitar o risco, o órgão de aprovação deve indicar por que a exposição residual é tolerável e quando esse julgamento expira. Constatações críticas devem retornar ao conselho ou órgão de governança equivalente, em vez de desaparecer na manutenção técnica.

Os novos testes devem reproduzir a condição falhada com fidelidade suficiente para provar a correção. Um novo documento não é suficiente quando a falha envolveu a restauração real. Uma carta de garantia do fornecedor não é suficiente quando a falha envolveu a substituição entre fornecedores. Um validador interno bem-sucedido não é suficiente quando os operadores observavam resultados RPKI divergentes. As evidências devem corresponder à condição de sucesso original.

O programa deve distinguir confinamento imediato, correção duradoura e aprendizado sistêmico. O confinamento imediato reduz a exposição presente, como atualizar contatos de emergência ou manter um backup adicional. A correção duradoura muda a capacidade, como estabelecer uma autoridade delegada legal ou um caminho de restauração testado independentemente. O aprendizado sistêmico muda instituições ou normas relacionadas para que a mesma fraqueza não se repita em outro lugar.

O prazo do novo teste deve refletir a gravidade. Uma falha dura envolvendo dados autorizados, poder ilegal ou divergência criptográfica deve ser testada novamente dentro de seis meses. Uma fraqueza maior de continuidade deve ser testada novamente dentro de um ano. Constatações de menor gravidade podem seguir o próximo exercício anual, mas os itens atrasados devem permanecer públicos. As instituições não devem esperar pelo próximo marco de década do mesmo cenário.

Falha repetida requer escalada. Se dois novos testes falharem pela mesma causa subjacente, examinadores independentes devem verificar se o remédio declarado trata a causa, se os recursos são adequados e se os líderes têm incentivos para atrasar. Apoio coletivo pode ser apropriado, especialmente para capacidades criptográficas ou legais especializadas. A assistência deve fortalecer a instituição regional afetada antes de considerar uma substituição.

Novos testes bem-sucedidos não devem apagar as constatações originais. O registro de dez anos deve mostrar a descoberta, o tratamento interino, a correção, as evidências e o encerramento. Esse histórico permite que os membros distinguam instituições que aprendem daquelas que apenas renovam a linguagem. Também protege o pessoal que relata fraquezas: um histórico transparente de melhoria torna a descoberta um sinal de controle eficaz, em vez de uma razão para suprimir más notícias.

Até 2036, a medida de sucesso mais convincente pode ser a taxa de encerramento de constatações difíceis em várias instituições. Essa medida captura a disposição de financiar resiliência sem glamour, aceitar evidências independentes e retornar após uma falha inicial. Um primeiro exercício perfeito é menos crível do que um programa exigente que encontra defeitos reais e prova que foram corrigidos.

Evidências públicas e detalhes protegidos podem coexistir

O relatório público deve declarar as premissas do cenário, as entidades por papel, os serviços testados, o escopo excluído, as condições de sucesso, as decisões, os resultados observados, as falhas, os direitos afetados, os proprietários da correção e as datas de novo teste. Deve incluir dados de cronograma e reconciliação suficientes para que estranhos entendam o resultado.

Não deve publicar identificadores, registros pessoais, pareceres jurídicos privilegiados, vulnerabilidades detalhadas, chaves privadas, arquitetura explorável ou evidências confidenciais de membros. Auditores independentes podem examinar esses materiais e emitir uma declaração de garantia limitada. Constatações de segurança podem ser adiadas até a correção quando a divulgação criar risco imediato, mas a existência e a gravidade da constatação não devem desaparecer.

As evidências devem ser duráveis. Os registros do exercício devem preservar instantâneos assinados, logs de eventos, saídas de validadores, registros de decisões, comunicações e revisões sob custódia controlada. Os relatórios públicos devem vincular artefatos estáveis e de integridade verificada onde for seguro. Novos testes subsequentes devem citar a constatação original e mostrar o que mudou.

O público também deve ver os desacordos. Se assessores jurídicos, operadores e líderes institucionais interpretarem uma condição de sucesso de forma diferente, o relatório deve explicar a divergência e a decisão final. O teatro do consenso não é resiliência. As instituições ganham confiança mostrando como evidências contestadas foram resolvidas.

O cronograma de teste 2026-2036

2026:estabelecer a carta comum, mapas de autoridade, níveis de serviço, termos compartilhados, condições de sucesso e regras de proteção de evidências. Publicar lacunas em nível institucional.

2027:testar disputa eleitoral, sucessão e comunicações em cada instituição participante. Exigir revisão independente do escrutínio e da autoridade.

2028:testar dificuldades financeiras, interrupção bancária, acesso ao fundo de estabilidade e limites judiciais. Reconciliar premissas de custo e liquidez dos serviços básicos.

2029:testar sanções, falsos positivos, barreiras de pagamento, exceções urgentes de segurança e conflitos legais transfronteiriços.

2030:realizar exercícios funcionais cibernéticos coordenados, incluindo recuperação de instantâneos autorizados, reautenticação de titulares e reconciliação a jusante.

2031:realizar testes de migração planejada da âncora de confiança RPKI contra diversas implementações de partes interessadas e caminhos de transição manual.

2032:executar uma onda de transferência massiva com sucessão empresarial, insolvência, casos inter-regionais e autoridade contestada.

2033:operar serviços de continuidade espelho e testar a prontidão legal, administrativa e técnica de um operador de emergência.

2034:realizar o primeiro cenário internacional composto com controle independente e operadores representativos.

2035:corrigir, testar novamente falhas duras e repetir cenários selecionados com indisponibilidade não anunciada de pessoal e fornecedores.

2036:realizar um segundo cenário composto, comparar evidências de dez anos, revisar acordos de continuidade e definir o próximo ciclo de teste.

Os exercícios anuais em nível institucional devem continuar entre os marcos. O cronograma identifica o objetivo compartilhado, não o único trabalho de resiliência. Incidentes reais devem desencadear novos testes direcionados. Mudanças materiais de sistema, lei, fornecedor ou chaves não devem esperar o ano previsto.

Como seria um sucesso crível

Até 2036, um membro deve poder perguntar quem pode agir quando um conselho é contestado e receber uma resposta precisa e legal. Um auditor deve poder rastrear como os fundos de emergência apoiam os serviços básicos. Um titular sancionado ou falsamente correspondido deve manter um caminho de revisão documentado. Um operador deve poder validar uma transição de âncora de confiança por mais de um canal. Um provedor de serviços sucessor deve poder restaurar funções priorizadas a partir de inventários testados sem herdar o poder político.

As instituições também devem conhecer seus limites irredutíveis. Alguns conflitos judiciais não podem ser resolvidos por coordenação técnica. Algumas partes interessadas permanecerão lentas para atualizar. Alguns fornecedores não podem ser substituídos imediatamente. Algumas evidências confidenciais não podem ser públicas. O teste de estresse não abole a incerteza. Ele a torna limitada, possuída e visível.

O pior resultado seria uma série de exercícios polidos nos quais os cenários nunca ameaçam os direitos de decisão, os líderes permanecem sempre disponíveis, as equipes substitutas recebem instruções perfeitas e os relatórios declaram sucesso sem validação externa. Isso testaria a apresentação, não as instituições.

O melhor resultado é mais modesto e mais exigente: evidências repetidas de que o sistema de registro pode degradar-se com segurança, preservar autoridade, proteger direitos urgentes, recuperar um estado técnico consistente e devolver o poder temporário. Os RIR permanecem responsavelmente regionais. Os serviços de numeração da IANA permanecem estáveis e mensuráveis. A NRS contribui por meio de defesa, convocação, representação autorizada de membros e comparação pública sem adquirir autoridade operacional. Os operadores validam o que as instituições não podem ver de dentro.

A legitimidade institucional é frequentemente discutida como consentimento em tempos normais. Seu teste mais agudo é a contenção em tempos anormais. Um corpo prova sua competência não apenas agindo, mas sabendo quais poderes lhe faltam, quais decisões devem esperar, quais evidências devem sobreviver e quando o controle deve ser restituído. Um teste de estresse de dez anos tornaria essas virtudes observáveis antes que o sistema de registros de números da Internet tenha que aprendê-las em público sob pressão real.

Base de evidências