Resumo

  • O material de segurança da ARIN lista 217 controles SOC 2; na divisão por áreas, Engenharia aparece com 59% e Segurança da Informação com 15%.
  • Metade dos controles atravessa a organização e os serviços ARIN Online ou RPKI. A ARIN prepara a inclusão do portal em seu programa SOC 2.

Quando se fala em auditoria de segurança, o palco costuma ser ocupado pela equipe de segurança. A apresentação publicada para a ARIN 58 mostra quem carrega boa parte dos cenários: entre 217 controles exigidos pelo programa SOC 2, o quadro por departamentos põe 59% na Engenharia. Segurança da Informação fica com 15%, Recursos Humanos com 12%, direção e Finanças com 5% cada, e Governança com 4%.

Essa distribuição não mede horas trabalhadas. É o mapa de controles divulgado pela própria ARIN. A lâmina acrescenta que a maioria exige comprovação de vários times e sistemas. Quem altera um serviço, quem aprova o acesso e quem revisa a exceção podem estar em mesas diferentes. A auditoria só funciona se os registros se encontrarem de novo.

Há mais uma divisão reveladora: 27% dos controles valem para toda a organização, 22% são específicos de ARIN Online ou RPKI, e 51% atingem os dois lados. Uma política corporativa precisa deixar pegadas no produto em operação. Se ela termina na pasta de documentos, sobra uma ponte pela metade.

A página oficial de segurança registra que a plataforma RPKI concluiu uma auditoria SOC 2 Tipo II em outubro de 2023. O novo material diz que a ARIN está se preparando para acrescentar ARIN Online ao programa SOC 2. O ambiente de pagamentos do portal já está no escopo separado do PCI DSS. Levar o portal inteiro para a revisão SOC 2 aumenta a área onde será preciso encontrar provas; a apresentação descreve preparativos, não um resultado de auditoria concluída em 2026.

O documento cita varreduras e revisões mensais de vulnerabilidades, exercícios de resposta a incidentes com o conselho e apoio ao comitê de risco e cibersegurança. Segundo a ARIN, resultados de auditorias externas chegam ao conselho. A questão de governança é quem mantém a trilha entre operação, verificação e decisão. O próximo marco público é o escopo que ARIN Online efetivamente terá quando entrar nessa trilha.