Кратко

  • В опубликованных материалах ARIN перечислены 217 мер, необходимых для SOC 2. В разбивке по подразделениям 59% приходится на инженеров, 15% — на информационную безопасность.
  • 51% мер охватывает одновременно всю организацию и сервисы вроде ARIN Online и RPKI. Портал готовят к включению в программу SOC 2.

Кто отвечает за безопасность реестра адресов? Привычный ответ — отдел информационной безопасности. Презентация к ARIN 58 кладёт на стол другой список: из 217 мер SOC 2 на инженерную службу в разбивке по отделам приходится 59%. На команду информационной безопасности — 15%, на кадровую службу — 12%, на руководство и финансы — по 5%, на управление — 4%.

Это распределение мер, а не учёт рабочего времени. Сама ARIN отмечает, что для проверки большинства мер нужны сведения из нескольких команд и систем. Запись об изменении конфигурации, разрешение на него и последующая проверка могут храниться отдельно. Аудитору потребуется восстановить их последовательность, а реестру — обеспечить эту возможность заранее.

Есть и разбивка по охвату: 27% мер действуют во всей организации, 22% привязаны к конкретным сервисам, включая ARIN Online и RPKI, а 51% охватывает оба уровня. Общие правила должны оставлять проверяемый след в работающем сервисе. Если след заканчивается на утверждённом документе, мост к системе так и не достроен.

Официальная страница безопасности ARIN сообщает, что платформа RPKI прошла аудит SOC 2 Type II в октябре 2023 года. Новая презентация говорит о подготовке к включению ARIN Online в программу SOC 2. Платёжная среда портала уже имеет отдельный охват PCI DSS. Расширение SOC 2 затронет больше процессов, через которые держатели ресурсов взаимодействуют с реестром. Презентация описывает подготовку, а не завершённый аудит портала в 2026 году.

ARIN также перечисляет ежемесячный анализ уязвимостей, учения по реагированию на инциденты с участием совета директоров и поддержку комитета по рискам и кибербезопасности. Результаты внешних проверок, согласно её сайту, поступают совету. Управленческая цепочка видна целиком: эксплуатация, запись доказательств, совместная проверка и решение по выявленным проблемам. Следующий важный факт — точные границы ARIN Online в будущем аудите.