요약

  • IANA의 등록 할당·유지 시스템에 관한 공개 SOC 3 보고서는 2024년 12월 1일부터 2025년 11월 30일까지의 보안, 가용성, 처리 무결성 통제에 대한 경영진의 설명이 중요성 기준에서 적정하게 제시됐다는 의견을 냈다. ICANN은 별도 비공개 SOC 2 감사에서 2025년 11월 예외 한 건이 나왔고 즉시 시정에 착수했다고 밝혔다.
  • 상세 SOC 2 보고서는 계약상 감독 기관에 제공되고 SOC 3는 대중에게 공개된다. 공개 기록에는 문제가 된 통제와 후속 재시험 결과가 없다. 감사의 운영 범위는 식별자 요청 접수에서 승인된 공개 등록부 변경까지다. 그 요청을 허용하는 정책은 이 과정의 앞단에서 다른 공동체가 정한다.

판정문과 그 뒤의 한 줄

공개된 12쪽 보고서의 핵심은 분명하다. 독립 감사인은 PTI의 Registry Assignment and Maintenance Systems, 곧 RAMS의 통제에 관한 ICANN 경영진의 설명이 모든 중요한 측면에서 적정하게 제시됐다고 판단했다. 의견서 날짜는 2026년 5월 12일이다. 감사 기간은 2024년 12월 1일에서 2025년 11월 30일까지다. 살핀 기준은 보안, 가용성, 처리 무결성이다.

하지만 ICANN의 2026년 6월 1일 발표에는 공개 보고서만으로는 풀 수 없는 문장이 있다. 같은 RAMS에 대한 비공개 SOC 2 감사에서 2025년 11월 예외 한 건을 확인했고, 감사인이 이를 지적하자 즉시 해결 조치를 취했다는 것이다. 어느 통제를 시험했는지, 특정 요청이나 등록 기록에 영향이 있었는지는 발표문에 없다. 독자는 발견 시점은 알 수 있어도 발견의 대상을 알 수 없다.

두 문장은 서로 다른 층위를 말한다. 하나는 명시된 기준에 비춰 경영진의 주장이 중요한 측면에서 타당하다는 전체 의견이다. 다른 하나는 상세 검사에 속한 개별 시험 결과다. 양호한 판정이 예외를 지우지 않고, 예외 한 건이 전체 판정을 자동으로 뒤집지도 않는다. 기록에 없는 등록 오류나 서비스 사고를 만들어낼 이유는 없다. 대신 ICANN이 스스로 드러낸 질문을 붙잡아야 한다. 어떤 통제가 지적됐고, 시정이 작동한다는 것은 누가 어떻게 확인했나?

IANA 감사 안내 페이지는 답을 찾을 수 있는 사람들의 범위를 설명한다. SOC 2는 기밀 보고서다. PTI와 ICANN의 계약, ICANN과 IETF의 양해각서, ICANN과 다섯 지역 인터넷 레지스트리의 서비스 협정에 따라 관련 감독 기관에 전달된다. SOC 3는 일반에 공개된다. 감독 기관은 시험과 예외의 세부 기록을 놓고 운영자에게 물을 수 있다. 일반 이용자는 전체 의견과 ICANN의 즉각적 대응 설명을 읽을 수 있을 뿐이다.

감사된 기계의 입구와 출구

RAMS는 인터넷 식별자에 관한 모든 결정을 뜻하지 않는다. 공개 보고서는 Root Zone Management System과 Request Tracker를 설명한다. 도메인 이름, 번호 자원, 프로토콜 매개변수에 관한 요청을 처리하는 도구다. 감사가 다루는 운영 흐름은 할당 또는 배정을 요청하는 순간 시작해 승인된 결과가 공개 등록부에 반영될 때 끝난다. 그 사이에 접수, 추적, 권한 확인, 승인, 시스템 변경, 게시가 있다.

이 과정은 실용적인 의미가 크다. 프로토콜 매개변수가 승인됐다면 올바른 목록에 정확하게 실려야 한다. 지역 레지스트리에 대한 번호 자원 배정은 관련 허가와 서비스 규칙을 따라야 한다. 루트 존 변경은 공개 기록이 바뀌기 전에 기술적·절차적 점검을 통과해야 한다. 감사는 이런 작업을 떠받치는 통제에 대한 증거를 준다. 오늘 검색되는 각 등록 줄을 하나씩 보증하는 문서까지 되는 것은 아니다.

요청이 처리되기 전에는 규칙을 정할 권한이 존재한다. 공개 SOC 3는 PTI가 관련 공동체에서 만든 정책을 이행하고 정책 자체는 정하지 않는다고 적는다. ICANN은 이름과 번호 자원에 관한 정책 절차를 지원하고, IETF는 프로토콜 사양과 매개변수 지침을 만든다. 처리 기계가 어떤 규칙을 정확히 집행하더라도 그 규칙의 정당성은 별도의 질문으로 남는다. 그 답은 규칙을 만든 공동체의 의사결정 기록에 있다. 운영 통제 감사의 양호한 판정을 정책 권한의 승인장으로 쓸 수는 없다.

또 하나의 경계는 외부 서비스 업체다. 보고서는 코로케이션 시설과 관리형 서비스, 그리고 그 업체들에 기대하는 보완 통제를 서술한다. 그러나 그 업체의 자체 통제는 이번 감사 범위에서 제외했다. 호스팅 체인 전체에 대한 확신이 필요하다면 별도의 증거를 찾아야 한다. 언론 제목에서 한 단어로 묶이는 ‘IANA’ 안에는 감사인이 서로 구분한 여러 시스템과 결정 주체가 있다.

공개된 지 두 해째, 공개되지 않은 대답

ICANN은 2025년 6월 기존 SOC 2에 더해 첫 공개 RAMS SOC 3를 내놓는다고 발표했다. 2025년 기간에 관한 보고서는 그 두 번째 공개본이다. 덕분에 외부 독자도 감사 기준과 시스템 경계, 감사인의 의견을 직접 확인할 수 있게 됐다. 기관의 보도자료를 그대로 믿을 필요가 줄어든 셈이다.

그런데 예외 한 건을 발표한 순간 새 공개 체계의 빈곳도 보였다. ICANN은 발견 월과 즉각적 조치를 말한다. 그러나 통제 분야, 실제 변경 내용, 시정 후 재검사의 결과는 확인한 공식 공개 기록에 없다. 이 세 요소를 담은 짧은 공개 기록만 있어도 대중은 기밀 SOC 2 원문이나 접근 자격 정보를 보지 않고 사건의 마무리를 평가할 수 있다.

IANA 성능 페이지에는 월별 서비스 수준과 루트 존, 번호, 프로토콜 업무의 성능 기록이 있다. 특정 요청의 지연이나 처리 결과를 조사한다면 이런 자료가 도움이 된다. SOC 2의 어느 시험에서 예외가 났는지는 알려주지 않는다. 서비스 지표를 감사의 세부 발견 사항처럼 읽는 순간 서로 다른 두 증거가 가짜 답으로 합쳐진다.

같은 ICANN 발표에는 눈길을 끄는 다른 수치도 있다. 루트 서명 키 통제에 대한 별도 감사는 16년 연속 예외 없이 끝났다는 것이다. 이는 다른 시스템을 대상으로 한 다른 보고서의 결과다. RAMS의 한 건과 섞어 ‘IANA 전체’의 단일 성적표로 만들면 정확성이 사라진다. 각 감사가 책임지는 범위를 분명히 남겨야 한다.