Processus accéléré de demande de dérogation pour incident de sécurité des registres

Le processus accéléré de demande de dérogation pour incident de sécurité des registres (ERSR) a été développé afin de permettre aux opérateurs de registres TLD ayant signalé à l'ICANN tout incident de sécurité présent ou imminent dans leurs TLD et/ou le DNS de demander une clause dérogatoire pour toute action qu'ils pourraient prendre ou avoir pris dans le but d'atténuer ou d'éliminer l'incident. Une clause dérogatoire est ici une exemption de l'obligation de se conformer à des dispositions spécifiques du contrat de registre pendant un délai nécessaire pour répondre à l'incident signalé. L'ERSR a été conçue de manière à préserver la sécurité opérationnelle à la suite d'un incident, tout en tenant informées les parties prenantes concernées (par exemple, l'ICANN, d'autres fournisseurs affectés, etc.).

L'incident peut correspondre à un ou plusieurs de ces cas de figure :

• des activités malveillantes ayant pour cible le DNS dont la portée et la gravité sont de nature à menacer systématiquement la sécurité, la stabilité et la résilience d'un TLD ou du DNS ;
• la publication, modification, insertion ou destruction non autorisées de données de registre, ou bien l'accès non autorisé à des informations ou de ressources sur Internet ou leur publication non autorisée par des systèmes fonctionnant en conformité avec toutes les normes applicables ;
• une occurrence susceptible d'entraîner une défaillance temporaire ou à long terme d'une ou de plusieurs fonctions critiques d'un registre gTLD, tel que défini dans le Plan de continuité des registres gTLD [PDF, 96K].

L'ERSR s'applique uniquement à des cas d'incidents, c'est-à-dire en cas d'événements qui nécessitent des actions immédiates de la part de l'opérateur de registre et une réponse accélérée de l'ICANN qui doit intervenir dans les 3 jours ouvrables. Ce processus n'a pas vocation à remplacer le mécanisme de dépôt de demandes au titre de la politique d'évaluation des services de registre (RSEP).

Il est reconnu que dans des circonstances exceptionnelles les opérateurs de registres peuvent être amenés à prendre des mesures immédiates pour empêcher ou répondre à un incident. En cas d'incident, les opérateurs de registres doivent présenter à l'ICANN une ERSR dans les plus brefs délais, afin que l'ICANN puisse y répondre en autorisant une dérogation rétroactive si besoin.

Les opérateurs de registres peuvent déposer une demande ERSR en ouvrant un dossier dans le portail des services de nommage. Dans la présentation, l'opérateur de registre doit indiquer si des mesures ont déjà été prises. La demande déposée sera traitée comme suit :

• L'ERSR est envoyée à l'équipe de réponse aux incidents de sécurité de l'ICANN. Cette équipe inclut des membres des départements suivants : SSR, GDD (opérations), GDD (services aux registres), GDD (services techniques), département juridique et conformité contractuelle.
• Au cas par cas, un membre désigné de l'équipe de réponse aux problèmes de sécurité sera chargé de contacter le registre sous 1 jour ouvré afin de confirmer l'incident.
• L'équipe de réponse aux incidents de sécurité peut être amenée à demander des informations complémentaires afin d'examiner et considérer l'ERSR. L'auteur de la demande doit fournir ces informations dans les meilleurs délais.
• L'équipe de réponse aux problèmes de sécurité discutera de la demande dans les 2 jours ouvrables suivant la réception de la requête (et des informations complémentaires requises) afin d'examiner et de déterminer une réponse.
• L'ICANN fournira au demandeur ou à son représentant une réponse verbale et par écrit dans les trois jours ouvrables suivant la réception de l'ERSR.
• Un membre de l'équipe de réponse aux incidents de sécurité reste en contact avec le contact primaire du registre pendant toute la durée de l'incident.
• Si la demande est reçue par l'ICANN lorsque l'opérateur de registre a déjà répondu à l'incident, l'ICANN s'efforce d'y répondre dans un délai de 10 jours ouvrables afin de fournir par écrit, le cas échéant, une dérogation rétroactive.
• Suite à la réponse à une ERSR, l'équipe de réponse aux incidents de sécurité, en collaboration avec l'opérateur de registre affecté, établit un rapport post-intervention (AAR) qui peut être disponible pour la communauté. En cas de publication du rapport post-intervention, l'ICANN et l'opérateur de registre concerné examinent les sections de la demande ERSR et du AAR susceptibles d'être éditées afin de protéger toute information de nature exclusive ou confidentielle. L'ICANN et l'opérateur de registre peuvent éditer de tels informations si elles sont estimées exclusives ou confidentielles.

Analyse sommaire des demandes : 2019-2020

La présente section fournit des informations relatives aux résultats des récents processus accélérés de demande de dérogation pour incident de sécurité des registres (ERSR). L'organisation ICANN souhaite mettre à jour tous les ans les données ERSR.

Nombre annuel des ERSR traités

Dérogations accordées	2019	2020
Nombre total de demandes reçues	4	4
Nombre de domaines génériques de premier niveau (gTLD) concernés par les demandes	8	6
Nombre de nouvelles dérogations accordées	1	4
Nombre de refus de dérogation	0	0
Nombre de demandes jugées comme relevant d'une dérogation existante	3	0
Nombre de demandes débouchant sur la mise à jour d'une dérogation existante	0	0

Informations relatives aux ERSR

Indicateurs	2019	2020
Nombre approximatif de noms de domaine faisant l'objet d'une demande*	5 600 noms de domaine	1 600 noms de domaine
Nombre de demandes adressées avant que des mesures relatives aux noms de domaines n'aient été prises	4	3
Nombre de demandes adressées après que des mesures relatives aux noms de domaines ont été prises	0	1

* Remarque : Ces chiffres ne comprennent pas les mesures en cours telles que celles prises par les opérateurs de registre, les organismes d'application de la loi ainsi que les décisions de justice définitives.

Durée moyenne du traitement

Les indicateurs ci-dessous montrent la durée moyenne de traitement par l'organisation ICANN d'un ERSR, de la soumission d'un questionnaire dûment rempli à la réception par l'opérateur de registre d'une réponse de l'organisation ICANN.

Réponse accordant dérogation	2019	2020
Octroi de la dérogation	2 jours ouvrables	4 jours ouvrables
Notification de refus de dérogation	N/D	N/D
Notification informant que la demande relève d'une dérogation existante	1 jour ouvrable	N/D
Octroi d'une renonciation existante mise à jour	N/D	N/D