摘要

  • LACNIC 董事会一致通过 DIR-POL-005.05：最高评级区间的剩余风险须立即报告董事会风险委员会，在不超过 90 天内提交处置方案，并以少于 120 天退出该区间为目标。
  • 公开纪要给出了两段时长，却没有给出启动、受理和退出事件。使用不透明编号的风险时钟凭证，可以在不暴露风险内容的前提下证明治理过程。

数字清楚，计时仍不完整

2026 年 2 月 23 日，LACNIC 董事会在利马开会。纪要第 2.8 项记录了对风险政策的更新建议：一旦剩余风险落入最高评级区间，应立即通知董事会风险委员会；须在不超过 90 天的期限内提出处置方案；目标是在少于 120 天内将风险降出该区间。董事会随后一致批准风险管理政策第五版 DIR-POL-005.05。

这几行文字值得肯定。很多机构文件只说“持续监控”，把高风险留在没有边界的现在时里。LACNIC 的表述不同：它确定了一个严重程度状态、一条上报路径、一个中间行动以及一个期待达到的终点。纪要使用的还是“剩余风险”，也就是现有控制措施实施后仍然存在的暴露，而不是未经处理的威胁清单。

对保密的最有力辩护也应当先说清楚。机构风险可能涉及安全弱点、关键供应商、人员、财务安排或应对计划。把风险登记册原样公开，不一定增加问责，反而可能增加风险。现有纪要已经显示出权力链条：工作人员负责处理，董事会风险委员会承担监督，董事会批准政策。5 月会议纪要又记载，工作人员汇报了风险重估、处置以及缓解控制的工作摘要，而这些信息此前已经提交风险委员会。不能据此说 LACNIC 没有治理动作。

真正的问题窄得多：公众能读到 90 天和 120 天，却无法从纪要判断从哪一天开始数。

“通知”“提交”“降级”是三种状态

立即通知意味着监督权被激活。提交处置方案意味着一个可审议的方案进入决策流程。将风险降出最高区间，则需要依照相应方法重新评估剩余风险。方案交到委员会手里，并不等于风险已经下降；措施开始实施，也不必然意味着评分立即跨过区间边界。

因此，起点不是文字细节，而是期限本身的一部分。90 天可能从首次评定开始，也可能从评定确认或委员会收到通知开始。120 天目标可以共用同一起点，也可以从另一项决定开始。如果风险评分正在复核，计时是否暂停？如果风险一度降级后再次上升，是重新开启原案，还是生成新案？

这些问句不是对 LACNIC 内部流程的推断。完整政策或内部系统完全可能已经定义并记录所有事件。本文只能确认：所查公开会议纪要没有呈现这些字段，外部读者无法复算这两段期限。

同样不能声称 LACNIC 已经超期。2 月纪要写的是一般规则，并未说当时存在某个最高区间风险，也没有案号、进入时间、责任人或截止日。规则获批，不等于某个具体时钟已经启动。

5 月的汇报没有替代逐案凭证

5 月 24 日的会议提供了后续线索。工作人员概述了风险重估、处置和缓解控制，并说明相关信息此前已向董事会风险委员会汇报。这项记录证明风险治理沿着委员会渠道继续运转，也说明 2 月的政策更新并非公共档案中的孤立句子。

但它不是逐案生命周期记录。纪要没有说汇报中是否包含最高区间风险，没有说新规则是否被触发，也没有把某一项处置与 90 天期限连接，更没有给出跨出区间的重估时间。

于是，两种方便的叙事都站不住脚。公开细节不足，不能证明机构无所作为；出现一份综合汇报，也不能证明每个期限都已履行。汇报证明“有工作”，时钟凭证才证明“某个状态在某个时间、由某项权力改变”。

2024 年 11 月 5 日的会议纪要为版本沿革提供了一个锚点：董事会当时一致批准第四版 DIR-POL-005.04。在紧接着的其他文件历史讨论中，管理层说旧版本另行存档，一名董事认为没有必要投入资源统一整理。这段话不能证明现行政策未公开，也不能补写第五版的内容；它只能提醒读者，版本号、存档和会议纪要本来就是不同证据。

可以保密内容，也可以公开刻度

最合适的控制不是公开风险本身，而是发布一份“最高风险时钟凭证”。每个风险使用不透明编号，记录剩余风险进入最高区间的时间、立即通知风险委员会的时间，以及两项计时各自依据的起始事件。

凭证还应列出处置方案的截止时间、被视为“提交”或“受理”的事件、责任人和批准权力、目标退出日期、当前区间以及概括性的证据类型。现实不会总沿直线前进，因此还应有例外、暂停、重启和更正字段。评分变化时，读者能知道哪只时钟被调整、谁有权调整，却无须知道风险究竟是什么。

这样的记录不必出现系统名称、漏洞细节、供应商或防御措施。公众看到的是一个保密事项如何经历制度规定的状态变化，而不是可以被利用的技术信息。保密保护风险实体，透明保护决策过程，两者并不冲突。

凭证还必须忠实保留原文力度。90 天是提交处置方案的最长时限；不足 120 天是把风险降出该区间的“目标”。前者不证明缓解已经发生，后者不是无条件保证。把二者写成同样的硬结果，只会让公开记录比董事会决定更武断。

网络基础设施也依赖机构状态

LACNIC 支撑拉丁美洲和加勒比地区的互联网号码资源治理。登记、分配、路由安全和社区服务都依赖机构连续性，即使具体风险并不是一次网络事故。运营商不需要看到保密风险清单，也有理由知道最高等级的治理规则是否留下可验证轨迹。

在网络运行中，道理相同。告警、获批方案、已经部署的措施和新的剩余风险评分不是一个事件。若全部压缩成一个红绿状态，时间和权力都会消失；若保留每次转换，机构就能在不扩散敏感信息的情况下学习。

LACNIC 已经完成了最重要的一步：让时间进入规则。下一步不是掀开风险登记册，而是公开表盘——什么让两只时钟开始走，什么算到达终点，以及更正如何留在历史里。

这类表盘还有一个常被忽略的价值：它能区分政策生效日与个案起算日。董事会在 2 月批准第五版，只能证明新规则何时获得权威，不能自动成为后来每个风险的第一天。如果把两者混在一起，某个风险在政策修订之后才进入最高区间，却会被错误地赋予一个更早的截止日；反过来，延迟确认也可能把已经存在的暴露排除在可见计时之外。公开凭证只需明确采用哪一种事件，不必解释风险内容。

它也能让 5 月式综合汇报更有用。综合报告可以保留总量和趋势，个案凭证负责保存转换时刻；两者通过版本和统计期连接。这样，公众既不会从汇总数字猜测某个秘密风险，也能判断治理规则是否持续产生可核对的记录。

来源