요약

  • ARIN 보안 책임자는 10월 23일 ARIN Online이 2026년 SOC 2 프로그램에 처음 들어갔다고 밝혔다. 확대된 감사는 막바지였지만 보고서는 당시 아직 나오지 않았다.
  • 현재 공개된 SOC 3 보고서의 대상은 RPKI 플랫폼이며, 관찰 기간은 2024년 10월 1일부터 2025년 9월 30일까지다.

감사 보고서의 첫 줄은 멋진 인증 문구가 아니라 어떤 시스템을 봤는지 알려준다. ARIN Online은 회원이 계정과 인터넷 번호 자원 관련 업무를 처리하는 관문이다. ARIN 58에서 Christian Johnson은 이 포털을 2026년 SOC 2 범위에 처음 넣었다고 말했다. 확대 감사의 결과물은 몇 주 또는 약 한 달 뒤 받을 것으로 예상했다. 공식 회의록에는 포털의 편입과 보고서의 부재가 함께 남아 있다.

지금 다운로드할 수 있는 SOC 3 보고서 표지에는 ARIN의 RPKI 플랫폼이 적혀 있다. 감사 기간은 2024년 10월부터 2025년 9월이고 감사 의견 날짜는 2025년 11월 6일이다. RPKI에 관한 구체적인 근거다. 새로 포함된 계정 포털의 관리 위험을 검토하려는 사람에게 필요한 것은 ARIN Online의 기능과 기간을 명시한 다음 보고서다. 한 시스템의 감사 범위를 다른 시스템으로 옮겨 적을 수는 없다.

Johnson은 약 217개의 보안 통제와 여러 부서에서 모은 증빙을 설명했다. 보안 교육, 피싱 훈련, 취약점 검사도 진행한다고 했다. 이런 활동은 감사를 뒷받침하지만, 확대된 경계에 대한 감사인의 서명된 의견은 별도 결과다. PCI DSS는 ARIN Online 안의 결제 카드 환경을 다룬다. 결제, 계정 관리, RPKI가 모두 같은 검증 범위를 가진 것처럼 표시하면 실제 확인해야 할 대상을 놓친다.

ARIN 보안 안내 페이지는 공개 SOC 3을 제공하고, 더 상세한 SOC 2 Type II는 Ask ARIN으로 요청하도록 안내한다. 공개 파일은 아직 이전 기간의 RPKI 보고서다. 2026년 문서가 나오면 시스템 경계, 관찰 기간, 의견, 예외 사항부터 읽어야 한다. ARIN은 포털을 감사 대상으로 올렸다. 회원이 그 결과를 직접 확인할 수 있게 되는 날짜는 새 보고서가 정한다.

빠진 사실은 2026년 감사 의견과 ARIN Online의 정확한 경계다. 두 정보가 공개되면 판단을 갱신할 수 있다.