Кратко

  • Открытый отчет SOC 3 по системам назначения и ведения реестров IANA дает положительное мнение о том, как руководство представило работу мер безопасности, доступности и целостности обработки в существенных аспектах за период с 1 декабря 2024 года по 30 ноября 2025 года. ICANN отдельно сообщила, что закрытая проверка SOC 2 выявила одно исключение в ноябре 2025 года и что меры по устранению были приняты сразу.
  • Подробный SOC 2 получают уполномоченные надзорные стороны по контрактам, а SOC 3 открыт всем. В опубликованных материалах не названы ни проверенный контроль, ни результат повторного испытания. Аудит охватывает путь от заявки на назначение идентификатора до публикации одобренной записи; правила, по которым заявка становится допустимой, принимаются раньше и в другом месте.

Хорошее заключение с закрытым приложением

В двенадцатистраничном публичном отчете независимый аудитор считает утверждение руководства ICANN о контролях в Registry Assignment and Maintenance Systems, или RAMS, справедливо представленным во всех существенных аспектах. Заключение датировано 12 мая 2026 года. Период проверки — с 1 декабря 2024 года по 30 ноября 2025 года. Оценивались безопасность, доступность и целостность обработки.

Затем появился пресс-релиз ICANN от 1 июня 2026 года. В нем сказано, что в сопутствующей закрытой проверке SOC 2 систем RAMS аудиторы нашли одно исключение в ноябре 2025 года. ICANN утверждает, что немедленно занялась устранением проблемы. Публичное сообщение не показывает ни проверенный контроль, ни тест, ни конкретную операцию, на которую мог повлиять вывод аудитора. У читателя есть количество и месяц, но нет предмета проверки.

Положительное общее мнение и исключение в отдельном испытании совместимы. Общее мнение говорит о заявлении руководства относительно критериев контроля в существенных аспектах. Отдельный эпизод относится к результату конкретной проверки в более подробном исследовании. Приписать всему периоду идеальную работу всех элементов было бы слишком сильным выводом. Заявить о неправильной записи в реестре или об аварии тоже нельзя: таких событий открытые источники не устанавливают. ICANN сама обозначила место для точного вопроса: что проверял аудитор и как затем проверили исправление?

Страница аудиторской программы IANA объясняет, почему ответ доступен не всем. Закрытый SOC 2 предоставляется надзорным сторонам по контракту PTI с ICANN, меморандуму ICANN с IETF и соглашению ICANN с пятью региональными интернет-регистратурами. Открытый SOC 3 адресован всем остальным. Именно у первой группы есть материал для разговора с оператором о содержании исключения. Остальные могут сверить общую оценку и границы системы, но не сам эпизод.

Что именно проходило через проверенную систему

RAMS — это рабочий контур, а не вся политика управления интернет-идентификаторами. Открытый отчет включает Root Zone Management System и Request Tracker. Через них обрабатываются запросы, касающиеся доменных имен, номерных ресурсов и параметров протоколов. Граница начинается с заявки на назначение или выделение идентификатора. Завершается она публикацией утвержденной записи или изменения в общедоступном реестре. Между этими точками находятся прием, отслеживание, авторизация, контроль доступа, изменение систем и публикация результата.

Каждое звено имеет практическую цену. Параметр протокола должен появиться в нужной таблице. Выделение номерного ресурса региональному реестру должно соответствовать разрешению и правилам обслуживания. Изменение корневой зоны требует технической и процедурной проверки до появления новой публичной записи. Аудит дает сведения о контролях этого потока. Он не является отдельной гарантией по каждой сегодняшней строке в каждом реестре.

Право определить допустимость заявки находится выше по цепочке. В самом отчете сказано: PTI реализует политики, выработанные соответствующими сообществами, а не создает их. ICANN поддерживает процессы разработки политики в области доменных имен и номерных ресурсов, IETF определяет спецификации и инструкции для параметров протоколов. Точно исполненное спорное правило остается спорным правилом. Ответ на вопрос, кто его принял и с каким мандатом, содержится в материалах того сообщества. Аудит обработки отвечает на другой вопрос — сработала ли машина исполнения по заданным критериям.

Есть и граница подрядчиков. Отчет описывает центры размещения и управляемые услуги внешних организаций, а также ожидаемые от них дополнительные меры контроля. Их собственные меры аудиторы исключили из данной проверки. Для уверенности во всей цепочке размещения нужны отдельные свидетельства. Заголовок «IANA прошла аудит» может быть верным в разговорной речи и слишком широким при чтении конкретных доказательств.

Публичность началась недавно

В июне 2025 года ICANN объявила о первом публичном SOC 3 для RAMS в дополнение к уже существовавшему SOC 2. Отчет за период 2025 года стал вторым публичным отчетом этого типа. Это дало внешнему читателю текст мнения аудитора, описание системы и критерии вместо одного только пересказа от оператора. Такая открытость имеет измеримую ценность.

Ноябрьское исключение показало границу новой открытости. Публике сказано, когда аудиторы его заметили и как быстро, по словам ICANN, оператор отреагировал. Не сообщены семейство контроля, конкретное изменение и результат независимого повторного теста. Короткая публичная запись об этих трех вещах позволила бы проверить закрытие эпизода без публикации учетных данных или всего закрытого отчета. В изученных официальных документах такой записи нет.

Страница показателей IANA предлагает другой тип сведений: месячные показатели уровней обслуживания и работы с корневой зоной, номерами и параметрами. Они полезны, если нужно исследовать определенную заявку или срок обработки. Они не раскрывают, какой тест SOC 2 дал исключение. Показатель услуги нельзя без доказательства выдавать за ответ аудитора о контроле.

В том же релизе ICANN есть впечатляющий счет: отдельная проверка контроля над корневым ключом подписи прошла без исключений шестнадцатый год подряд. Это другая система и другая проверка. Ее безупречная серия не закрывает ноябрьский вопрос по RAMS. Сопоставлять два результата можно только сохраняя их названия и границы.