Résumé

  • Le responsable de la sécurité d’ARIN a annoncé le 23 octobre l’intégration d’ARIN Online au programme SOC 2 de 2026. L’audit élargi approchait de sa fin, sans rapport disponible à cette date.
  • Le rapport SOC 3 proposé au téléchargement examine uniquement la plateforme RPKI pour la période du 1er octobre 2024 au 30 septembre 2025.

Un compte de registre permet de demander et de gérer des opérations sur les ressources Internet. Ses protections méritent une preuve qui nomme le service concerné. Lors de la réunion ARIN 58, Christian Johnson a dit qu’ARIN Online entrait cette année pour la première fois dans le programme SOC 2, aux côtés de RPKI. Il espérait obtenir le rapport dans quelques semaines, peut-être un mois. Son intervention officielle place donc l’élargissement du périmètre avant la conclusion de l’auditeur.

Le SOC 3 actuellement publié porte un autre intitulé: la plateforme RPKI d’ARIN. Sa période d’examen va d’octobre 2024 à septembre 2025, avec une opinion datée du 6 novembre 2025. Un acheteur qui veut examiner le portail d’administration des comptes doit lire cette couverture avant le badge. Le périmètre écrit détermine ce que l’opinion permet de vérifier; la réputation générale de l’organisation ne l’étend pas à un autre système.

Johnson a évoqué environ 217 contrôles de sécurité et des éléments de preuve recueillis dans plusieurs services. Il a aussi décrit la formation, les tests de phishing et les analyses de vulnérabilités. Ces activités alimentent le contrôle, mais le nombre de contrôles ne livre ni la période observée ni les éventuelles exceptions de l’audit élargi. Le programme PCI DSS vise, pour sa part, l’environnement des cartes de paiement d’ARIN Online. Ce périmètre de paiement répond à une question différente.

La page sécurité d’ARIN renvoie toujours au SOC 3 RPKI et explique comment demander le SOC 2 Type II complet depuis Ask ARIN. Le prochain document doit énumérer les systèmes couverts, sa période et l’opinion indépendante. L’enjeu pour les membres est simple: ils disposent déjà de la promesse d’inclusion; ils attendent la pièce datée qui permet de la contrôler.

Il manque le rapport 2026 et sa description précise d’ARIN Online. Sa publication changera la lecture de ce dossier.