Resumen

  • ARIN incorporó ARIN Online a su programa SOC 2 en 2026, según explicó su responsable de seguridad el 23 de octubre. El examen ampliado seguía en curso y su informe aún no estaba disponible.
  • El SOC 3 público identifica únicamente la plataforma RPKI y un periodo comprendido entre el 1 de octubre de 2024 y el 30 de septiembre de 2025.

La puerta de entrada a un registro importa tanto como sus servidores de certificados. Desde ARIN Online, los clientes administran cuentas y permisos sobre recursos de numeración. Christian Johnson dijo en ARIN 58 que este portal se incorporó por primera vez al programa SOC 2 de 2026, junto a RPKI. Esperaba el informe en unas semanas o alrededor de un mes. La transcripción oficial deja una fecha clara: el 23 de octubre todavía no tenía el documento terminado.

El SOC 3 disponible responde por ahora a un objeto más estrecho. Su portada y la opinión del auditor nombran la plataforma RPKI de ARIN, con observación de octubre de 2024 a septiembre de 2025 y opinión firmada el 6 de noviembre de 2025. El nombre del sistema no es letra pequeña. Un responsable de compras que busque pruebas sobre la administración de cuentas no puede ampliar por intuición el alcance escrito de una auditoría anterior.

Johnson habló de unos 217 controles de seguridad y de pruebas procedentes de distintos departamentos. También describió formación, simulaciones de phishing y análisis de vulnerabilidades. Todo ello es trabajo real de seguridad; la conclusión independiente sobre el nuevo perímetro tendrá su propia fecha y sus posibles salvedades. PCI DSS cubre el entorno de tarjetas de pago dentro de ARIN Online, una superficie concreta distinta del examen SOC 2 del portal y RPKI.

La página de seguridad de ARIN explica cómo solicitar el SOC 2 Type II mediante Ask ARIN y ofrece el SOC 3 público. En la actualidad, el archivo público sigue describiendo RPKI. Cuando llegue el informe de 2026, convendrá leer la lista de sistemas, el periodo observado y la opinión antes de convertir una etiqueta de cumplimiento en un argumento comercial. ARIN ha ampliado lo que somete a examen; los miembros aún esperan el resultado que podrán verificar.

Faltan la opinión del auditor de 2026 y el límite exacto de ARIN Online dentro de ella. Ese documento decidirá la siguiente lectura.