摘要

  • LACNIC 董事会在 2026 年 5 月 24 日一致批准信息安全框架 DIR-POL-019.01。
  • 会议纪要写明，批准之后由外部专家测量当前成熟度，然后才能确定目标水平；把这些阶段串成版本化回执，可以防止“批准”“实施”“达标”和“认证”被当成同一件事。

一份框架可以先于它所使用的基线得到批准。LACNIC 的 5 月 24 日董事会会议纪要正是这样描述的：拟议框架要保护注册职能、相关信息以及完成机构使命所需的关键服务，并维持成员与社群的信任；实施与评估将逐步推进，以形成可持续、正式化和持续改进的管理体系。

真正值得追踪的是决议前的一句话。纪要称，框架经董事会批准后，将由外部专家测量当前成熟度，之后才能确定拟达到的目标水平。紧接着，出席董事一致通过 DIR-POL-019.01 版本。

这个次序本身并不反常。董事会可以先确定评估所依据的制度语言、边界和授权。但是，一旦先后关系公开，后续记录就必须守住词义：批准框架不是完成控制；测出基线不是批准目标；确定目标不是完成差距计划；关闭部分差距也不等于所有残余风险已经获得授权接受；以上任何一步都不能自动替代认证。

公开纪要证明了什么

纪要能证明批准的日期、机关、表决结果和版本，也能证明会议上提出了外部测量的下一步。它没有公布 DIR-POL-019.01 全文、成熟度尺度、测量方法、评估方身份、系统范围、基线结果、目标值、目标日期、差距负责人或残余风险记录。

这里的“没有公布”只描述所审公开材料，不能外推为 LACNIC 内部“没有”。同样，材料不足以判断在本文发布时外部评估是否已经完成，也不足以判断目标是否已经确定。它也无法证明 LACNIC 已取得或没有取得 ISO/IEC 27001 认证。

正确的读法因此很窄：5 月决议是一份治理授权记录，不是一份运行成熟度报告。

控制目录、管理体系与证书是三层东西

会议纪要用一句简略的话区分 CIS 与 ISO：前者不做认证，后者可以通向认证。查阅各自的官方资料后，这条边界可以说得更准确。

CIS Critical Security Controls 是按优先级组织的网络安全实践。Implementation Groups 用组织的资源与风险特征来安排采用顺序，CIS Controls Assessment Specification 则给出判断保障措施是否实施、实施效果如何的度量办法。它们适合支持一条可复核的基线，但不会仅凭一个分数生成机构认证。

ISO/IEC 27001:2022规定信息安全管理体系的要求。ISO 的官方说明同时强调，组织可以实施这项标准而不申请认证；由合格评定机构实施的认证，是独立且可选的步骤。因此，“参考 ISO”“运行一个 ISMS”与“在特定范围和有效期内持有证书”是三种不同陈述。

成熟度与认证也回答不同问题。成熟度测量关注具体控制实施到什么程度；管理体系标准关注风险是否被制度化管理；认证则在明确范围内增加第三方证明。它们都不是“绝对安全”的同义词。

范围不能藏在分数背后

LACNIC 的 2026–2029 战略把信息安全列为内部能力，用来保障流程和系统的完整性与韧性。LACNIC CSIRT 的公开说明则界定了另一条边界：其服务对象是 LACNIC 成员，但除 LACNIC 自身内部系统外，无权操作社群成员的系统。5 月纪要还记录了如何把 CSIRT 能力适当纳入内部信息安全工作的讨论。

这些材料没有替我们划出评估范围，却说明范围必须被写出来。注册职能、关键服务、企业内部系统、会员服务和社群响应能力相互关联，但未必属于同一个测量总体。即便一个控制没有变化，只要系统被移入或移出分母，成熟度结果就可能改变。

一项编辑建议：成熟度跃迁回执

与其发布一个悬空的总分，更小也更有用的改进，是为每次状态跃迁附上一张版本化回执。以下是本文的编辑建议，不是 LACNIC 已作出的承诺。

跃迁 回执至少记录
框架获批 名称、版本、日期、批准机关、授权范围
形成基线 截止日期、外部评估方、独立性、方法及版本、纳入系统、尺度和逐项证据
确定目标 目标水平、批准机关、目标日期、优先级理由
关闭差距 未满足控制、负责人、里程碑、依赖、例外和补偿措施
接受残余风险 剩余风险、接受人、有效期和复核触发条件
再次测量 下次日期，以及影响可比性的范围或方法变化
提及认证时 标准、证书、认证范围、评定机构和有效期

“版本化”不是文书装饰。CIS 可能更新控制，组织可能改用另一个实施组，评估方可能更换打分办法，资产清单也可能扩展。规则不同的两个相同分数，并不是同一个结果。可靠回执既保存数字，也保存数字的生成规则。

为什么这对区域注册机构重要

DIR-POL-019.01 提供了带日期的授权起点。未来的外部基线会提供带日期的观测点。目标体现资源与风险偏好的选择；差距计划分配工作；残余风险记录识别谁对剩余暴露负责；任何认证陈述则需要另一套范围和凭证。

区域注册机构的可信度部分建立在“记录究竟证明什么”之上。5 月决议应被看作一个有版本号的开始，而不是可以包办所有含义的安全结论。

来源