Resumen

  • Una presentación de ARIN enumera 217 controles SOC 2 y asigna el 59 % a Ingeniería en su desglose por áreas, frente al 15 % de Seguridad de la Información.
  • El 51 % abarca tanto a la organización como a los productos o servicios. ARIN prepara la incorporación de ARIN Online al programa SOC 2.

Una organización que consulta sus recursos en ARIN Online rara vez ve el rastro de permisos, cambios y revisiones que sostiene el portal. El material de ARIN 58 abre esa trastienda: de los 217 controles requeridos por SOC 2, su cuadro por departamentos coloca el 59 % en Ingeniería. Seguridad de la Información aparece con el 15 %; Recursos Humanos, con el 12 %; dirección y Finanzas, con un 5 % cada una; y Gobernanza, con el 4 %. La pantalla es individual; la responsabilidad está repartida.

El cuadro clasifica controles por área. La propia diapositiva añade un detalle decisivo: para validar la mayoría hacen falta pruebas de varios equipos y sistemas. Un registro de cambios, una autorización y una revisión pueden vivir en sitios distintos. Cuando un titular pregunta quién tuvo acceso a su cuenta, el auditor necesita una historia reconstruible, con fechas y responsables, en lugar de la memoria de una reunión.

El segundo reparto aclara el tamaño del rompecabezas. Un 27 % de controles afecta a toda la organización, un 22 % es específico de ARIN Online o RPKI y un 51 % se aplica a ambos ámbitos. La política corporativa tiene que tocar el sistema que presta el servicio. Si el puente acaba antes del portal, el papel puede estar impecable y la evidencia incompleta.

En su página oficial de seguridad, ARIN sitúa en octubre de 2023 la finalización de una auditoría SOC 2 Tipo II para RPKI. La presentación reciente habla de preparativos para sumar ARIN Online al programa. El entorno de tarjetas de pago del portal cuenta con un perímetro PCI DSS separado. Ampliar SOC 2 al portal llevaría más operaciones de clientes a la mesa de pruebas; ARIN describe el trabajo previo, sin anunciar una auditoría de 2026 concluida para ARIN Online.

La organización también menciona revisiones mensuales de vulnerabilidades, simulacros de incidentes con el consejo y apoyo a su comité de riesgo y ciberseguridad. Los resultados de las auditorías externas, según su web, llegan al consejo de administración. La gobernanza aparece en la ruta completa: quien opera el control, quien conserva la prueba, quien la revisa y quien responde por los hallazgos. El próximo dato que conviene pedir es el alcance exacto de ARIN Online cuando entre en ese circuito.