Zusammenfassung

  • ARIN weist in seinen aktuellen Unterlagen 217 für SOC 2 erforderliche Sicherheitskontrollen aus. In der Aufteilung nach Bereichen stehen 59 Prozent bei Engineering und 15 Prozent bei der Informationssicherheit.
  • 51 Prozent betreffen zugleich die Gesamtorganisation und Dienste wie ARIN Online oder RPKI. Die Aufnahme von ARIN Online in das SOC-2-Programm wird vorbereitet.

Wer ein Prüfsiegel sieht, denkt schnell an eine kleine Sicherheitsabteilung. Die Unterlagen für ARIN 58 zeigen einen größeren Maschinenraum. Von 217 SOC-2-Kontrollen weist ARIN in der Bereichsübersicht 59 Prozent Engineering zu. Informationssicherheit kommt auf 15 Prozent, Personal auf 12 Prozent, Geschäftsleitung und Finanzen auf je 5 Prozent und Governance auf 4 Prozent.

Das ist eine Verteilung von Kontrollen, keine Arbeitszeiterfassung. ARIN schreibt selbst, dass für die meisten Kontrollen Belege aus mehreren Teams und Systemen nötig sind. Die technische Änderung, ihre Genehmigung und die spätere Prüfung liegen oft an verschiedenen Stellen. Erst wenn sich diese Spuren zusammenführen lassen, wird aus einer Vorschrift ein nachvollziehbarer Vorgang.

Auch die Reichweite ist aufschlussreich: 27 Prozent der Kontrollen gelten organisationsweit, 22 Prozent speziell für ARIN Online oder RPKI, und 51 Prozent für beide Ebenen. Bei dieser letzten Gruppe muss die allgemeine Regel im konkreten Dienst wiederzufinden sein. Ein sauber formulierter Beschluss ohne Spur im laufenden System trägt die Brücke nur bis zur Mitte.

Laut ARINs offizieller Sicherheitsseite wurde die SOC-2-Type-II-Prüfung der RPKI-Plattform im Oktober 2023 abgeschlossen. In der neuen Präsentation steht nun die Vorbereitung, ARIN Online in das SOC-2-Programm aufzunehmen. Für die Kartenumgebung des Portals gilt bereits ein eigener PCI-DSS-Bereich. Eine Erweiterung auf das Portal würde mehr Vorgänge der Kontoinhaber in die Beweiskette ziehen. Ein abgeschlossenes neues SOC-2-Ergebnis für ARIN Online meldet die Folie nicht.

ARIN nennt monatliche Schwachstellenscans und Bewertungen, Übungen zur Reaktion auf Vorfälle mit dem Vorstand sowie Arbeit für den Risiko- und Cybersicherheitsausschuss. Ergebnisse externer Prüfungen gehen laut Sicherheitsseite an den Vorstand. Die entscheidende Governance-Frage führt deshalb durch vier Stationen: Betrieb, Nachweis, bereichsübergreifende Prüfung und Verantwortung für die Befunde. Bei der nächsten Veröffentlichung zählt vor allem, wie der Prüfbereich von ARIN Online tatsächlich abgegrenzt wird.