要約

  • IANAの登録割り当て・維持システムを扱う公開SOC 3報告は、2024年12月1日から2025年11月30日までの統制について、重要な点で経営陣の説明が適正だとする監査意見を示した。ICANNは同じ期間のSOC 2監査で2025年11月に例外が一件見つかり、直ちに是正措置を取ったと公表した。
  • 詳細なSOC 2報告は契約上の監督機関に渡り、SOC 3は一般公開される。監査対象の処理は識別子の申請を受けるところから始まり、承認済みの変更を公開台帳に載せるところで終わる。申請の前提となる政策の決定権は別の場所にある。

合格の見出しに小さな一行

公開された十二ページの監査報告を読むと、監査人の意見は明快だ。PTIの登録割り当て・維持システム、通称RAMSについて、ICANN経営陣が述べた統制の有効性は、重要な点で適正に表されている。対象期間は2024年12月1日から2025年11月30日まで。意見の日付は2026年5月12日。対象となる基準は安全性、可用性、処理の完全性である。

その後のICANNの6月1日発表には、もう一つの事実が載る。RAMSを詳しく調べる非公開のSOC 2監査で、2025年11月に例外が一件確認された。ICANNは発見時に直ちに対応したという。公開報告にはその例外を特定できる記載がない。読者は「一件あった」と知るが、何を試した結果なのかは分からない。

好意的な総合意見と個別の例外は両立する。監査意見は、設定された基準に照らして経営陣の主張が重要な点で妥当かを扱う。例外は、その内部の特定の試験で生じた結果だ。両者を同じものとして数えれば、どちらの情報も失われる。公開資料が示していない障害、誤登録、利用者被害を想像で補う必要もない。必要なのは一つの事実の位置づけだ。どの統制が問題となり、修正をいつ誰が確かめたのか。

IANAの監査案内は、報告書の配り方を説明する。SOC 3は一般公開。SOC 2は機密文書として、PTIとICANNの契約、ICANNとIETFの覚書、ICANNと五つの地域インターネットレジストリのサービス契約に基づく関係先へ提供される。同じ運用をめぐり、外側には結論と概要、内側には詳細が渡る構造だ。例外の是正を詳しく問いただせる人は、配布先の設計によって決まる。

監査される機械の入口

RAMSの実体を追うと、権限の境目も見える。報告書はルートゾーン管理システムのRZMSと、依頼や連絡の履歴を扱うRequest Trackerを対象に挙げる。これらはドメイン名、番号資源、プロトコルパラメータの三分野にまたがる。監査対象の処理は、一意の識別子について割り当てや登録を求める申請が届いた時点で始まる。承認済みの記録や変更が公開レジストリに反映された時点で終わる。

この間の仕事は小さくない。申請を記録し、必要な情報を確認し、権限を照合し、公開台帳を更新する。数字の重複や古いルート情報を防ぐには、手順の正確さが要る。公開監査が示す統制上の保証は、その流れに対するものだ。インターネットの利用者が目にする公開記録を支える工程として、監査を受ける十分な理由がある。

しかし、機械に入る前に別の仕事が済んでいる。何を登録できるか、誰が申請できるか、どの条件を満たすかを定める政策の仕事だ。報告書は、PTI自身がIANAサービスの政策を作るわけではないと明記する。関係するコミュニティが政策と手続きをまとめ、ICANNは名前と番号の政策形成を支え、IETFはプロトコルと関連するパラメータの仕様を作る。RAMSが処理する申請は、その決定を背負って窓口に届く。

政策への異議にシステム監査の合格を差し出しても、質問は解決しない。監査人が確かめたのは、定められたサービス上の約束とシステム要件の下で、運用の統制が働いたかどうかだ。ある割り当て条件を決める資格が誰にあったかは、政策決定の記録を調べるべき問題である。実施の信頼性と政策の正統性は同じ台帳に書き込めない。

設備の側にも境界がある。公開報告は外部のコロケーションや運用サービスを記し、期待する補完的統制も列挙する。一方、監査人はその外部事業者のサービスと統制を試験範囲に入れていないと明言した。現実のサービスは複数の層に支えられる。監査の結論を使うなら、どの層を通り、どこから次の証拠が必要になるかを示す方が、丸い印章を一つ見せるより正確だ。

公開の二年目に現れた境界

RAMSのSOC 3を誰でも読めるようにしたのは最近の変化である。2025年6月のICANN発表は、従来のSOC 2に加え、初めて公開SOC 3を用意したと説明した。今回の2025年分は二回目だ。監査人の意見、システムの範囲、主要なサービス上の約束を、組織の宣伝文だけに頼らず読める。この改善は評価できる。

その公開窓が今回、一件の例外のところで止まった。ICANNは例外の存在と即時対応を発表したが、公開版は対象の統制や再試験の結果を示さない。詳細は契約上の読者に渡される。外側の読者にも、秘密の設定値やアクセス情報を渡す必要はない。統制の分類、修正の日付、検証した主体、公開記録の訂正が必要だったかどうか。この程度の記録があれば、「対応した」と「閉じた」の間を確かめられる。

別の資料を足しても、この穴は勝手には埋まらない。IANAの実績ページには、サービス水準、ルートゾーンの変更、番号やプロトコルパラメータの処理状況が並ぶ。特定の処理を調べるときは役に立つ。統制名が不明なSOC 2の例外について、良好な処理時間のグラフを眺めても、その試験の結果には届かない。

根の鍵についての記述も分けて読む必要がある。ICANNはDNSSECルートKSKの管理について、十六年連続で例外のない監査を終えたと発表した。これは別のSOC 3、別のシステムの成果だ。RAMSのSOC 2で見つかった一件と混ぜれば、鍵管理の好成績が登録システムの未公開の詳細まで保証するように見えてしまう。二つの結果は二つの名前で記すのがよい。

詳細を読める者の仕事

SOC 2を限定配布する理由は理解できる。詳しい統制試験には、公開すれば運用上の弱点を教えかねない情報が含まれ得る。契約上の監督者は、その内容を読み、実務的な質問を出せる立場にある。だからこそ、ICANNが例外を公表した後、その輪の中で修正がどう扱われたかが公共的な意味を持つ。

公開できるのは機密報告書そのものだけではない。統制の分野、修正の時点、再試験の有無と結果、公開台帳への影響を短く記録できる。機密を守りながら責任をたどれる形だ。もし台帳の訂正が不要なら、誰がどう判断したかを示す。再試験が未了なら次の確認日を示す。現時点で確認した公開資料は、その四点をそろえていない。

監査報告の価値を広げるには、監査の範囲を膨らませるより、範囲の端に証拠をつなぐべきだ。政策の決定から申請へ、申請から公開記録へ、例外の発見から是正確認へ。どこで誰が判断したかが見えるとき、好意的な意見も一件の例外も、同じ制度の中で正しく使える。