A auditoria da IANA passou. A exceção ficou na sala reservada.

Resumo

• O parecer SOC 3 público sobre os sistemas de atribuição e manutenção de registros da IANA considera adequada, nos aspectos relevantes, a declaração da administração sobre controles de segurança, disponibilidade e integridade do processamento no período de 1º de dezembro de 2024 a 30 de novembro de 2025. A ICANN informou que a auditoria SOC 2 correspondente encontrou uma exceção em novembro de 2025 e que tomou medidas corretivas imediatamente.
• O relatório SOC 2 vai a organismos de supervisão previstos em acordos; o SOC 3 fica aberto ao público. A documentação pública não identifica o controle examinado nem apresenta uma verificação independente da correção. O escopo auditado começa no pedido de atribuição e termina na atualização aprovada do registro público; as regras que dão autoridade ao pedido são decididas antes desse percurso.

Duas capas para a mesma operação

O relatório público de doze páginas tem uma frase que qualquer instituição gostaria de destacar. O auditor independente considera que a afirmação da administração da ICANN sobre os controles dos Registry Assignment and Maintenance Systems, os RAMS, foi apresentada adequadamente em todos os aspectos relevantes. O parecer, datado de 12 de maio de 2026, cobre um ano inteiro: de 1º de dezembro de 2024 a 30 de novembro de 2025. Os critérios examinados são segurança, disponibilidade e integridade do processamento.

Na comunicação de 1º de junho de 2026, a ICANN informa também que o exame SOC 2 de RAMS identificou uma exceção em novembro de 2025. Diz que tomou providências imediatas quando os auditores a apontaram. O anúncio não nomeia o controle, o teste, uma transação afetada ou um incidente. O leitor que procura esses detalhes no SOC 3 público não os encontra.

O parecer favorável não desaparece por causa de uma exceção específica. Tampouco a exceção desaparece porque o parecer geral foi favorável. São afirmações sobre níveis diferentes da mesma operação. Uma trata da avaliação da administração diante dos critérios de auditoria, em seus aspectos relevantes; a outra registra o resultado de um teste particular dentro do exame mais minucioso. Transformar a primeira numa medalha de perfeição apagaria a segunda. Transformar a segunda em falha de um registro concreto inventaria um fato que a ICANN não divulgou.

O que permanece visível é uma escolha de distribuição. Segundo a página do programa de auditorias da IANA, o SOC 2 é confidencial e entregue aos organismos competentes de supervisão por força do contrato entre PTI e ICANN, do memorando ICANN–IETF e do acordo da ICANN com os cinco registros regionais da Internet. O SOC 3 é o documento de acesso público. As contrapartes contratuais podem fazer perguntas apoiadas no relatório detalhado. Para o restante da rede, a organização deixou uma contagem e uma declaração de resposta.

A esteira tem começo e fim

O documento aberto ganha valor quando descreve exatamente o que foi examinado. Os RAMS incluem o Root Zone Management System e o Request Tracker. São sistemas usados para receber e tratar pedidos relacionados a nomes de domínio, recursos numéricos e parâmetros de protocolos. A fronteira operacional começa quando alguém solicita uma atribuição ou alocação. Termina quando a mudança aprovada aparece em um registro público. Entre as duas pontas há recepção, tramitação, controles de acesso, aprovação, alteração de sistema e publicação.

Essa esteira importa. Quem usa um registro de parâmetros precisa que a instrução aprovada chegue à tabela certa. Quem acompanha uma alocação de endereços precisa que o ato autorizado se converta no registro correto. Quem propõe uma alteração na zona raiz precisa que as verificações técnicas e processuais antecedam a publicação. A auditoria oferece garantia sobre controles que sustentam esse trabalho. Ela não é um certificado individual para cada linha que um usuário consulta hoje.

Há outra linha, anterior à esteira. O próprio SOC 3 diz que a PTI executa políticas desenvolvidas pelas comunidades pertinentes; a PTI não as cria. Para nomes e números, a ICANN apoia processos de elaboração de políticas. Para parâmetros de protocolos, as especificações e instruções vêm do IETF. A qualidade da execução e a legitimidade da regra são perguntas distintas. Um sistema pode aplicar com precisão uma regra contestada. A resposta sobre quem decidiu a regra está nas atas e nos processos daquela comunidade, não no parecer sobre o processamento posterior.

Também existe uma fronteira física e contratual. O relatório descreve instalações de colocalização e serviços gerenciados fornecidos por terceiros, bem como controles complementares esperados deles. O auditor excluiu os controles dessas organizações do exame. Uma manchete que diz apenas “a IANA foi auditada” junta, em poucas palavras, sistemas, fornecedores e decisões que o documento separa cuidadosamente. A precisão do escopo é a parte mais útil do parecer.

O segundo ano de transparência trouxe a primeira pergunta difícil

Em junho de 2025, a ICANN anunciou pela primeira vez um SOC 3 público para RAMS, além do SOC 2 existente. O ciclo encerrado em novembro de 2025 produziu o segundo relatório público desse tipo. Isso abriu uma janela real: qualquer pessoa pôde ler o limite do sistema, os compromissos avaliados e a conclusão do auditor, em vez de depender apenas da linguagem de um comunicado.

A exceção divulgada em 2026 mostra o tamanho dessa janela. Sabe-se o mês em que o achado apareceu e a reação imediata alegada pela ICANN. Não se sabe qual família de controles estava em causa, o que foi modificado ou que teste posterior confirmou a correção. Uma breve descrição pública dessas três peças permitiria avaliar o encerramento do caso sem publicar credenciais ou detalhes operacionais sensíveis. Os documentos oficiais examinados não trazem esse recibo.

Existe uma rota complementar de evidência para questões de desempenho. A página de desempenho da IANA publica registros de níveis de serviço e de operações de raiz, números e parâmetros. Um leitor que investigue uma transação específica pode procurar ali sinais de prazo e resultado. Esses indicadores não dizem qual teste do SOC 2 encontrou a exceção. Misturar um painel mensal de serviço com uma conclusão de controle transformaria dois instrumentos úteis em uma resposta fictícia.

O anúncio de 2026 ainda traz uma informação vistosa: o exame separado dos controles da chave de assinatura da raiz passou pelo décimo sexto ano consecutivo sem exceção. Esse número pertence a outra auditoria, sobre outro sistema. Colá-lo ao achado de RAMS seria um truque editorial conveniente e errado. A força de um programa de auditoria depende de manter cada parecer preso ao objeto que foi realmente examinado.