摘要

  • ARIN首席信息安全官10月23日说，2026年是ARIN Online首次进入SOC 2审计范围的一年；扩围审计接近完成，但当时还没有报告。
  • 官网现可下载的SOC 3报告只写ARIN的RPKI平台，观察期是2024年10月1日至2025年9月30日。

一份审计报告最值钱的部分，往往是封面上那行系统名称。ARIN Online是会员管理账户和资源操作的入口。ARIN在第58次会议上宣布把它纳入2026年SOC 2审计，听起来是门户安全保证的一大步。但首席信息安全官Christian Johnson同时说，扩围审计尚未完成，预计几周或约一个月后才能拿到报告。会议逐字记录把这两个时间点放在了同一页。

会员现在能下载的公开SOC 3报告写得很明白：审计对象是ARIN的RPKI平台，期间为2024年10月到2025年9月，审计意见日期为2025年11月6日。它为RPKI提供可核查的历史证据。若要用它证明账户门户也已得到同一期间的审计，就越过了报告自己画出的边界。系统名称、观察期和意见，比一枚笼统的“已认证”徽章有用得多。

Johnson提到约217项安全控制，证据来自多个部门；他还介绍培训、钓鱼邮件演练和漏洞扫描。这些安排解释审计工作量，不能代替尚未出具的扩围意见。PCI DSS覆盖ARIN Online内的支付卡环境，范围又窄了一层。把支付、账户管理和RPKI混成同一个认证对象，会让真正需要查证的系统从视线里消失。

ARIN的信息安全页面说明会员可通过Ask ARIN索取完整SOC 2 Type II报告，并提供SOC 3下载。目前链接指向的仍是旧期间的RPKI报告。下一份报告需要回答具体问题：ARIN Online的哪些服务列入边界，审计覆盖哪段时间，意见写了什么，是否记录例外。ARIN已经宣布扩大审计；会员还在等可以对照业务系统阅读的结论。

缺的是2026年审计意见及其系统边界。文件一出，判断就可以更新。