要約

  • ARINの2026年1月取締役会議事録案は、Registration Services Departmentの定期監査について、監査したチケットにNRPM不適合はなく、部門は効率的に運営されていると報告した。
  • 4月の議事録案は、2025年12月の4.10割り振り事案を受けてBaker Tillyに委託した別の監査を扱う。調査した全領域に不整合が見つかったとする一方、十の評価基準は最近作られ、それまでは重点項目でなかったとも記す。
  • 一方はチケット単位のポリシー適合性、もう一方は新しい基準による構造的統制の検査である。公開記録には母集団、標本、抽出方法、分母、例外の重大度がなく、二つを同じ尺度で比較する根拠はない。
  • ARINは、監査の識別子、発端、期間、分析単位、規則・基準の版、例外数と重大度、是正責任者、期限、再試験、Registry Control Planeが担う取引範囲を結ぶ版管理済みクロスウォークを公開できる。

監査の結論より先に、監査の問いを読む

「違反ゼロ」と「全領域に不整合」。この二つだけを並べれば、ARINが三か月で評価を覆したように見える。しかし監査の結論は、問いと試験集合から切り離せない。

1月13日の議事録案は、議題を「2025 ARIN RSD Audit Report」としている。CXOの説明では、二年ごとに外部企業がRegistration Services Departmentの文書、業務手順、組織構造を確認する。チケット監査ではNumber Resource Policy Manualに反するものは見つからず、部門は引き続き効率的に運営されている、と議事録は要約する。

ただし公開ページは、対象チケットの総数、抽出数、選び方、対象期間、手続き種別を示さない。したがって「監査対象のチケットに不適合が報告されなかった」とは言えるが、「全チケットを検査した」「すべての統制が有効だった」とは言えない。

4月19日の議事録案では、監査の発端が明記されている。12月の事案は、一人で実行できる統制経路を明らかにした。ARINは外部監査を求め、Baker Tillyを採用し、Mike Cullenが報告書案を提示した。議事録は、調べたすべての領域に不整合があったとする。ただし、十の基準は最近作成され、以前は重点ではなかった、と続ける。

この留保は、発見を無効にするものではない。意味を限定するものだ。新たに明文化した統制基準は、実在する構造的な弱点を発見できる。しかし、その弱点が過去にも明確な必須要件への違反だった、と遡って証明するわけではない。

反対方向も同じである。チケット上の判断がNRPMに適合していても、その判断を実行する在庫、権限、削除処理、検知の仕組みまで健全とは限らない。二つの結果は対立しているのではなく、保証の異なる層を照らしている。

23.150.164.0/24は実行層の弱点を示した

12月12日の事案報告を読むと、二つの監査を分ける理由が具体的になる。

23.150.164.0/24は、もともと正しい顧客に割り当てられていた。2025年12月2日、4.10の割り振り作業中にこのブロックが削除され、別の顧客へ再割り振りされた。ARINは、主システムとは別に電子ブラックブックとExcel表を使う、手動かつ一部オフラインの在庫管理を説明している。

ブロックの削除に伴い、ROAと逆引きDNSを含むレジストリサービスも取り除かれた。第三者プロバイダーは、誤った登録状態の下でそのプレフィックスを経路広告した。ARINには自動検知がなく、元の顧客が12月9日に連絡するまで、誤った状態は約七日間続いた。

ARINは元の割り当てを復元し、別の顧客には代替の/24を発行し、経路撤回を調整して9日に是正を完了した。公開報告には顧客の技術的影響に関する記述がない。したがって、顧客障害、測定済みの経路損失、侵害が起きたとは断定できない。

原因を単純な「人為ミス」に縮めることもできない。ARIN自身の説明は、分離した在庫、十分に組み込まれていない業務規則、一人で実行できる経路の組み合わせを示す。即時対策として、ネットワーク削除を含むチケットを経験ある分析担当者に限定し、二重確認を行い、決められた時刻に第二の確認者が点検する措置を完了したとしている。

ここで監査の単位が重要になる。チケット監査は、記録された判断がポリシーに沿うかを調べる。統制監査は、複数のシステム状態と権限の連鎖が、誤った変更を防ぎ、発見し、復元できるかを調べる。前者が良好でも後者に欠陥はあり得る。後者に新基準上の不整合があっても、前者の判断が直ちに誤りになるわけではない。

「不整合」という言葉にも分母が要る

顧客情報や攻撃に利用可能な内部手順を公開せずとも、ARINは監査結果を比較可能にできる。結論と一緒に次の座標を残せばよい。

座標 公開可能な最小情報
監査識別 安定した報告書ID、委託主体、監査者、案・最終の状態
目的 発端、目的、監査期間、想定する保証範囲
試験集合 母集団、標本数、抽出方法、分析単位
基準 NRPMの節と版、または統制基準とその版
例外 統制領域、定義、件数、分母、限定した重大度
是正 勧告、責任者、期限、依存関係、実装状況
再保証 再試験方法、日付、結果、残存リスク
技術範囲 Registry Control Planeが実際に扱うアプリと取引

1月の記録は資料W、Xと勧告に触れるが、公開ページでは列挙していない。4月の記録は報告書案、十の基準、調査領域、勧告に触れるが、基準一覧、件数、重大度を示さない。この欠落は、取締役会に詳細がなかったことを意味しない。公開された要約だけでは結論の境界を再現できない、という意味である。

クロスウォークは誤読も防ぐ。4月に十件の失敗があったとも、一基準につき一件だったとも、全不整合が重大だったとも読めない。最近作った基準を過去に遡って必須だったと扱うこともできない。二つの説明が一つのBaker Tilly公開報告書に統合されていることや、引用された資料そのものが公開済みであることも確認できない。

版を付ける意味は、後の改善を同じ問いで測ることにある。基準が途中で変わったなら、旧発見のクローズと新基準への適合を別々に示す必要がある。

Registry Control Planeは製品名ではなく取引範囲で評価する

4月の議論で、ARIN職員はアプリケーション間にRegistry Control Planeを置く案を示した。取締役会と経営陣が定めた統制を中央で強制し、一人で実行できるリスクを下げ、監査可能性を高める構想である。

複数アプリが個別に規則を実装し、さらに別在庫が存在する環境では、共通の強制点は合理的に見える。ただし議事録は、まだ設計が固まっていないことも明確にする。取締役は、何をするのか、最初のシステム・アプリ・連携は何か、どのように統合するのか、外部開発が内部優先順位へどう影響するのかを質問した。費用と時間も定義が必要だった。

従って現段階で、承認済み、予算化済み、調達済み、導入済み、試験済み、有効と表現することはできない。提案が12月の機構を抑えるかは、最初にどの取引を扱うかで決まる。

4.10割り振り、在庫からの削除、ROA・逆引きDNS状態の削除、再割り振り、代替ブロックの発行、例外的な上書きを別々にマッピングする必要がある。それぞれに、起点アプリ、規則の版、要求者、独立承認者、実行結果の照合証拠を結び付けるべきだ。

在庫の正本を決めずにログだけ中央化しても、誤操作を詳しく記録するにすぎない。通常経路を止めても、監督されない緊急迂回路があれば単独実行リスクはそこへ移る。統制の証拠は名称ではなく、権限境界、障害時挙動、例外管理、独立再試験にある。

草案には草案の確度がある

1月、4月のページはいずれも議事録案である。取締役会で何が報告・議論されたかを示す一次資料として使えるが、監査報告書や添付資料の代わりではない。書き方も「ARINが報告した」「議事録に記載された」にとどめる必要がある。

8月31日に確認した取締役会会合一覧には、2026年分として1月と4月が掲載されている。4月の案では、職員が8月の次回会合で次の段階を示したいとしていた。一覧に8月分がないことは、会合がなかったことや作業が進まなかったことの証明ではない。会合手続は統治枠組みを説明するが、未掲載の進捗を補わない。

NRPMも固定文書ではない。監査結果に該当版と節を結び付ければ、後からポリシー変更と運用変更を区別できる。

情報源