Résumé

  • ARIN recense 217 contrôles requis par son programme SOC 2. Sa ventilation par service attribue 59 % à l’ingénierie, contre 15 % à la sécurité informatique.
  • Une majorité de contrôles touche à la fois l’organisation et les services ARIN Online ou RPKI. Le registre prépare l’entrée d’ARIN Online dans son programme SOC 2.

L’image d’un audit de sécurité, c’est souvent une salle de réunion et un classeur impeccable. La présentation publiée pour ARIN 58 montre plutôt l’atelier derrière la vitrine. Sur 217 contrôles SOC 2, la ventilation par service affiche 59 % pour l’ingénierie, 15 % pour l’équipe de sécurité, 12 % pour les ressources humaines, puis 5 % chacun pour les fonctions de direction et la finance, et 4 % pour la gouvernance.

Ces chiffres décrivent une répartition de contrôles; ils ne mesurent ni des heures de travail ni le niveau de risque. ARIN précise que la plupart des contrôles demandent des preuves provenant de plusieurs équipes et systèmes. Un journal technique peut exister, mais il faut encore retrouver la décision qui l’explique, la personne qui l’a examinée et la période qu’il couvre. Le certificat arrive au bout de ce chemin.

Le même transparent découpe le périmètre autrement : 27 % des contrôles concernent toute l’organisation, 22 % sont propres à ARIN Online ou à RPKI, et 51 % couvrent les deux. C’est là que la politique générale rencontre le service utilisé par les titulaires de ressources. Une règle commune qui n’a pas de trace dans le système exploité reste une belle phrase.

ARIN rappelle sur sa page officielle consacrée à la sécurité qu’un audit SOC 2 Type II du RPKI a été achevé en octobre 2023. La nouvelle présentation annonce des préparatifs pour inclure ARIN Online dans le programme SOC 2. L’environnement des cartes de paiement d’ARIN Online relève déjà d’un périmètre PCI DSS distinct. L’extension envisagée ferait entrer davantage de parcours clients dans la collecte de preuves; la présentation ne donne encore aucun résultat d’audit SOC 2 achevé pour ce portail.

Les diapositives mentionnent des scans mensuels de vulnérabilités, des exercices de réaction aux incidents impliquant le conseil d’administration et un appui au comité des risques et de cybersécurité. Selon ARIN, les résultats des audits externes sont transmis au conseil. La responsabilité suit donc une chaîne très concrète : exploitation, preuve, vérification, puis décision. La prochaine étape publique utile sera de voir quel périmètre exact ARIN Online apporte à cette chaîne.