网络身份是董事会的议题，因为依赖不会随合同结束而消失

看清依赖关系，才能更清楚地作出业务决策：谁能修改记录，记录变化时又会给客户带来什么影响？

为何应将它纳入业务风险讨论

网络身份常被视为工程细节，因为路由和记录由工程师维护。但在业务层面，网络身份体现在客户访问、信誉、安全控制、合同，以及更改所有外部引用的成本上。

因此，网络身份的治理是一个董事会层面的问题。董事会无须操作 BGP，但它确实需要知道：公司持续为客户提供服务的能力，是否依赖于一个无法替换的管理方，以及一份无法独立验证的记录。

将资产与围绕资产的权力分开

地址资源、注册记录、路由通告和政治授权，是不同的事。公司可能在商业上享有使用资源的权利，同时又依赖外部注册机构及时更新公开记录。注册机构可能承担维护唯一性的技术职责，却无权决定公司更广泛的商业前途。

当这些层面被笼统描述为一种所有权时，风险就会从合同审查的视野中消失。董事会看到的是供应商关系；网络形成的却是对供应商制度地位的依赖。

隐蔽的成本在于难以更换

如果改变一项依赖需要为客户重新分配地址、重做允许列表、修复信誉、协调路由过滤器，或取得同一管理方的许可，那么这项依赖就具有了战略意义。问题不仅在于管理方今天是否胜任，还在于情况变化时，公司是否有一个可信的替代选择。

札记 42 描述了记录维护方如何在不运营那些承担成本的网络的情况下，获得实际权力。札记 52 则指出了责任承担上的缺口：机构可能影响具有重大价值的基础设施，但其决策后果却由别处承担。

稳定是证据，不能替代应急预案

一个运行多年的系统，能够提供过去稳定的证据。但这并不意味着它能承受新的争议、财务冲击、领导层变动，或对其授权含义的重新解释。札记 69 质疑以稳定性为依据的论证，因为平静时期的连续运行，可能掩盖根本没有退出路径这一事实。

因此，董事会应当要求分析失效场景：如果记录有误、管理方无法提供服务，或公司不再接受获得认可所附带的条件，会发生什么？答案应当涵盖所需时间、证据、替代协调安排和客户沟通。

能够降低风险的治理设计

切实可行的方向，是限制协调权力，同时强化相应义务。为唯一资源保留一份共同且可验证的记录。变更必须有证据支持。保留其他网络能够查阅的历史。让管理方可以被替换，使更换协调方不至于破坏网络身份。

札记 72 将可替换性视为一项同时保护连续性和问责的权利。它并没有消除对共同记录的需要，而是防止共同记录成为对所有使用者主张永久权力的依据。

下次风险评审应提出的五个问题

我们对客户和收入作出的哪些承诺依赖于网络身份？谁能修改其他各方所依赖的记录？发生争议时，哪些证据能够证明控制权？哪些路由和安全系统必须同步变更？另一个合格的协调方能否接手，而不迫使我们全面重新分配地址？

如果最后一个问题的答案尚不明确，就应将它列入业务连续性风险登记册，与服务商集中度、身份系统，以及其他平时容易忽视、失效时才显露重要性的依赖项并列管理。