要約

  • ARINが公開した資料にはSOC 2に必要な安全管理項目が217件あり、部門別の内訳は技術部門59％、情報セキュリティ部門15％となっている。
  • 管理項目の51％は組織全体とARIN Online・RPKIなどのサービス双方にまたがる。ARINはARIN OnlineをSOC 2の対象に加える準備を進める。

安全監査の主役は情報セキュリティ担当、と考えるとARINの数字は少し意外だ。ARIN 58向けに公開された資料は、SOC 2で求められる217件の管理項目を部門別に示し、技術部門を59％、情報セキュリティ部門を15％としている。人事が12％、経営幹部関連と財務が各5％、ガバナンスが4％。最も厚い書類の束は、システムを動かす側に置かれている。

この比率を労働時間や安全性の点数として読むことはできない。ARINが示した管理項目の配置だ。しかも資料は、検証には大半の項目で複数のチームやシステムから証拠が必要だと明記する。設定を変えた記録、承認した記録、その後に確認した記録が別々なら、一本の経緯として結び直さなければならない。

管理項目を対象範囲で分けると、組織全体にかかるものが27％、ARIN OnlineやRPKIの製品・サービス固有のものが22％、両方にまたがるものが51％。共通の規程と利用者が触る実際のシステムを接続する部分が過半を占める。規程だけ整えても、運用側に証跡がなければ橋は途中で終わる。

ARINの公式安全情報ページによると、RPKIは2023年10月にSOC 2 Type II監査を完了した。今回の資料はARIN OnlineをSOC 2プログラムに追加する準備を挙げる。決済カードの環境は別途PCI DSSの対象だ。アカウント用ポータルをSOC 2に加えるなら、利用者向けの処理にも証拠の連鎖が広がる。現段階で示されたのは準備であり、新たな監査の完了報告ではない。

資料には月次の脆弱性確認、取締役会を含むインシデント対応演習、リスク・サイバーセキュリティ委員会への支援も並ぶ。外部監査の結果は取締役会に共有するとARINは説明する。問われるのは、現場の操作から部門横断の確認、経営判断までを同じ事実でつなげられるかだ。次に見るべきはARIN Onlineがどの範囲で監査対象になるかである。