要約

  • ARINの最高情報セキュリティ責任者は10月23日、2026年のSOC 2監査にARIN Onlineを初めて加えたと説明した。監査は終盤にあったが、報告書はまだ手元になかった。
  • 現在公開されているSOC 3報告書の対象はRPKI基盤で、対象期間は2024年10月1日から2025年9月30日までだ。

監査報告書で最初に読むべきなのは、立派な印ではなく対象システムの名前だ。ARIN Onlineは会員がアカウントを扱い、番号資源の手続きを進める入口になる。ARIN 58でChristian Johnsonは、この入口を2026年のSOC 2プログラムへ初めて組み入れたと述べた。一方で監査はまだ完了しておらず、報告書の入手は数週間後、あるいは約1か月後を見込むという。会議の逐語録は期待と現状を同時に記録している。

いま読める公開SOC 3報告書は、ARINのRPKI基盤を対象にしている。観察期間は2024年10月から2025年9月で、監査人の意見は2025年11月6日付だ。RPKIについては意味のある資料である。だが会員ポータルを新たに監査した結果を知りたい担当者は、別の期間と別のシステム境界を記した文書を待つ必要がある。監査の価値は、その境界を明示できるところにある。

Johnsonは約217件のセキュリティ管理策と、部門をまたぐ証拠収集に触れた。訓練、フィッシング対策演習、脆弱性のスキャンも紹介した。実施している作業の量と、拡大した範囲に対する監査人の最終意見は違う資料だ。PCI DSSが扱うのはARIN Online内の決済カード環境であり、会員ポータル全体のSOC 2監査と混同できない。

ARINのセキュリティ案内は、詳細なSOC 2 Type II報告書をAsk ARINから請求できると説明し、公開SOC 3へのリンクを置く。そのリンク先はなおRPKI基盤の旧期間の報告書だ。次の文書が出たら、ARIN Onlineのどの機能が含まれたか、期間、監査意見、例外の有無を順に確認したい。監査の対象は広がった。会員が結果を検証できる日は、報告書の日付で決まる。

不足しているのは2026年の監査意見と詳細なシステム境界である。公表されれば判断を更新できる。