Resumo

  • Em 23 de outubro, o chefe de segurança da ARIN disse que o ARIN Online entrou pela primeira vez no programa SOC 2 em 2026. A auditoria ampliada estava perto do fim, sem relatório concluído naquele dia.
  • O SOC 3 acessível ao público identifica apenas a plataforma RPKI e o intervalo de 1º de outubro de 2024 a 30 de setembro de 2025.

A porta de uma registradora merece uma prova de segurança que diga qual porta foi examinada. O ARIN Online dá aos clientes acesso a contas e a operações sobre recursos numéricos. Na reunião ARIN 58, Christian Johnson anunciou que o portal passou a integrar o programa SOC 2 ao lado do RPKI. Previa receber o relatório em algumas semanas, talvez em cerca de um mês. A transcrição da reunião registra a expansão e a ausência do parecer final na mesma apresentação.

O SOC 3 hoje disponível cobre a plataforma RPKI da ARIN entre outubro de 2024 e setembro de 2025. O parecer do auditor tem data de 6 de novembro de 2025. É uma evidência específica sobre aquele sistema e aquele período. Quem administra risco de contas precisa localizar no novo relatório o nome do ARIN Online e as funções efetivamente examinadas. Uma certificação não viaja sozinha de um serviço para outro.

Johnson mencionou cerca de 217 controles de segurança, alimentados por evidências de vários departamentos. Falou de treinamentos, exercícios contra phishing e varreduras de vulnerabilidades. Isso mostra a dimensão do trabalho; o documento que permitirá avaliar o escopo ampliado será o parecer assinado. Ele também delimitou o PCI DSS ao ambiente de cartões de pagamento dentro do ARIN Online. Pagamentos, administração de contas e RPKI exigem mapas de evidência diferentes.

Na página de segurança, a ARIN oferece o SOC 3 público e orienta clientes a pedir o SOC 2 Type II completo via Ask ARIN. O arquivo público ainda traz RPKI na capa. Quando a edição de 2026 surgir, será preciso ler os limites do sistema, o período de observação, a opinião e eventuais exceções. A inclusão do portal é uma decisão operacional concreta. O relatório é o momento em que essa decisão se torna verificável por quem depende dele.

Faltam o parecer de 2026 e a descrição exata do perímetro do ARIN Online. A publicação dos dois mudará a avaliação.