Zusammenfassung

  • ARINs Sicherheitschef erklärte am 23. Oktober, dass ARIN Online 2026 erstmals in das SOC-2-Programm aufgenommen wurde. Die erweiterte Prüfung war fast abgeschlossen; der Bericht lag noch nicht vor.
  • Der öffentlich verlinkte SOC-3-Bericht bezeichnet allein die RPKI-Plattform als Prüfgegenstand und den Zeitraum vom 1. Oktober 2024 bis 30. September 2025.

Wer einen Registerzugang absichern will, muss wissen, welcher Zugang tatsächlich geprüft wurde. Über ARIN Online verwalten Kunden ihre Konten und Vorgänge rund um Internetnummern. Auf ARIN 58 berichtete Sicherheitschef Christian Johnson, dass das Portal nun zusammen mit RPKI zum SOC-2-Programm gehört. Den Abschlussbericht erwartete er in einigen Wochen, vielleicht binnen eines Monats. Im offiziellen Wortprotokoll stehen die Erweiterung und der noch offene Abschluss unmittelbar nebeneinander.

Der derzeit öffentlich verfügbare SOC 3 ist präziser als jedes Werbewort: Er nennt ARINs RPKI-Plattform, einen Prüfzeitraum von Oktober 2024 bis September 2025 und ein Prüfurteil vom 6. November 2025. Für RPKI ist das ein konkreter Beleg. Für das neu aufgenommene Kontenportal braucht ein Mitglied ein Dokument, das dieses System und einen neuen Zeitraum ausdrücklich nennt. Der Systemrand ist kein Kleingedrucktes, sondern die Grenze der Aussage.

Johnson nannte rund 217 Sicherheitskontrollen und Belege aus mehreren Abteilungen. Schulungen, Phishing-Übungen und Schwachstellenscans laufen ebenfalls. Die Kontrollen erklären den Arbeitsaufwand; das unabhängige Urteil über den erweiterten Umfang bleibt ein eigener Schritt. PCI DSS betrifft die Zahlungskartenumgebung innerhalb von ARIN Online. Dieser Teilbereich beantwortet eine andere Frage als die SOC-2-Prüfung des Portals und der RPKI-Plattform.

Auf der Sicherheitsseite stellt ARIN den SOC 3 zum Download bereit und verweist für den vollständigen SOC 2 Type II auf Ask ARIN. Der Download führt weiterhin zum RPKI-Bericht aus der früheren Periode. Beim nächsten Bericht zählen die einbezogenen Funktionen, die Laufzeit, mögliche Ausnahmen und die Schlussfolgerung des Prüfers. Die Aufnahme von ARIN Online in den Prüfplan ist geschehen. Ob und wie sie unabhängig belegt ist, wird erst mit dem neuen Bericht lesbar.

Es fehlen das Prüfurteil 2026 und die genaue Systembeschreibung für ARIN Online. Diese Unterlagen werden den Befund verändern.