Διαβάστε τη γραμμή scope: πώς ελέγχετε τους ισχυρισμούς ISO ενός παρόχου

Σχεδόν κάθε πάροχος hosting δείχνει κάπου στο website του μια σειρά από λογότυπα πιστοποιήσεων. Ο ελεγκτής σας δεν θα δεχτεί ένα λογότυπο, και ούτε εσείς θα έπρεπε. Ένα πιστοποιητικό είναι ένα ακριβές έγγραφο, και οι λεπτομέρειες αποφασίζουν αν καλύπτει την υπηρεσία που πραγματικά αγοράζετε. Αυτά διαβάζετε, με αυτή τη σειρά, και αυτά ρωτάτε όταν κάτι λείπει.

Ξεκινήστε από τη δήλωση scope

Ένα πιστοποιητικό συστήματος διαχείρισης ISO πιστοποιεί ένα καθορισμένο scope, και αυτό το scope είναι τυπωμένο στο πιστοποιητικό. Μπορεί να καλύπτει όλη την εταιρεία, ένα site, ή μία υπηρεσία. Ένας πάροχος πιστοποιημένος για «ανάπτυξη λογισμικού» στα κεντρικά του γραφεία δεν σας έχει πει τίποτα για το datacenter όπου τρέχουν οι servers σας.

Διαβάστε πρώτα τη γραμμή scope και συγκρίνετέ την με τη σύμβαση που υπογράφετε. Το ερώτημα είναι απλό: η υπηρεσία που αγοράζω, στην τοποθεσία που χρησιμοποιώ, πέφτει μέσα σε αυτές τις λέξεις; Αν η απάντηση δεν είναι σαφής, ζητήστε από τον πάροχο να το επιβεβαιώσει γραπτώς.

Τα δικά μας τέσσερα πιστοποιητικά φέρουν ένα scope: «Managed datacenter hosting service». Αυτή είναι η υπηρεσία που αγοράζουν οι πελάτες μας.

Ελέγξτε ποιος το εξέδωσε, και ποιος τον διαπίστευσε

Ένα πιστοποιητικό αξίζει όσο ο φορέας που το εξέδωσε. Οι φορείς πιστοποίησης διαπιστεύονται με τη σειρά τους από έναν εθνικό φορέα διαπίστευσης, και αυτοί είναι μέλη του International Accreditation Forum. Ελέγξτε και τους δύο κρίκους της αλυσίδας:

• Το πιστοποιητικό κατονομάζει τον φορέα πιστοποίησης. Είναι αυτός ο φορέας διαπιστευμένος για αυτό το πρότυπο;
• Ο φορέας διαπίστευσης κατονομάζεται, συνήθως με το σήμα του στο πιστοποιητικό. Είναι αναγνωρισμένος εθνικός φορέας διαπίστευσης;

Πολλά διαπιστευμένα πιστοποιητικά μπορούν να επαληθευτούν ανεξάρτητα στο IAF CertSearch, τη διεθνή βάση διαπιστευμένων πιστοποιήσεων. Ένας πάροχος πρέπει επίσης να είναι πρόθυμος να σας στείλει κατόπιν αιτήματος το ίδιο το πιστοποιητικό διαπίστευσης του φορέα πιστοποίησης. Τα δικά μας εκδόθηκαν από τη RIGCERT, διαπιστευμένη από το ΕΣΥΔ, το Εθνικό Σύστημα Διαπίστευσης, και περιλαμβάνουμε τα πιστοποιητικά διαπίστευσης σε κάθε πακέτο διασφάλισης.

Δείτε τις ημερομηνίες

Τα πιστοποιητικά εκδίδονται για έναν κύκλο, κανονικά τρία χρόνια, με ελέγχους επιτήρησης κάθε χρόνο ενδιάμεσα. Ελέγξτε την ημερομηνία έκδοσης, την ημερομηνία λήξης και, αν μπορείτε, την ημερομηνία του τελευταίου ελέγχου επιτήρησης.

Μάθετε τι καλύπτει κάθε πρότυπο

Οι αριθμοί μετρούν, γιατί πιστοποιούν διαφορετικά πράγματα:

• ISO/IEC 27001 είναι η διαχείριση ασφάλειας πληροφοριών, ο πυρήνας αυτού που ρωτούν οι περισσότεροι ελεγκτές.
• ISO/IEC 27017 προσθέτει ελέγχους ασφάλειας ειδικούς για υπηρεσίες cloud.
• ISO/IEC 27018 προσθέτει ελέγχους για την προστασία προσωπικών δεδομένων σε υπηρεσίες cloud, άμεσα σχετικό με συζητήσεις για τον GDPR.
• ISO 9001 είναι η διαχείριση ποιότητας: τεκμηριωμένες, επαναλήψιμες διαδικασίες.
• ISO 14001 είναι η περιβαλλοντική διαχείριση.
• ISO 37001 είναι η διαχείριση κατά της δωροδοκίας.

Για το ISO/IEC 27001 υπάρχει ένα ακόμη έγγραφο που αξίζει να ζητήσετε: η Δήλωση Εφαρμοσιμότητας. Απαριθμεί τους ελέγχους από το παράρτημα του προτύπου και δηλώνει ποιοι εφαρμόζονται και ποιοι εξαιρούνται, με αιτιολόγηση. Οι εξαιρέσεις είναι φυσιολογικές, αλλά μια εξαίρεση που αγγίζει τη δική σας περίπτωση χρήσης είναι κάτι προς συζήτηση.

Πού στεκόμαστε εμείς

Η EuroVPS κατέχει ISO/IEC 27001 με ISO/IEC 27017 και 27018, ISO 9001, ISO 14001 και ISO 37001, που εκδόθηκαν τον Σεπτέμβριο του 2026. Οι operators των datacenters μας κατέχουν τις δικές τους ανεξάρτητες εκθέσεις ελέγχου και βεβαιώσεις, διαθέσιμες υπό NDA.

Όταν ο ελεγκτής ή η ομάδα διαγωνισμού ενός πελάτη χρειάζεται αποδείξεις, συνθέτουμε ένα πακέτο: ένα ευρετήριο, μια υπογεγραμμένη δήλωση υπηρεσιών, τοποθεσιών, πιστοποιήσεων, scope και βασικών ελέγχων, τα πιστοποιητικά μας με τα πιστοποιητικά διαπίστευσης πίσω τους, τα έγγραφα διασφάλισης του operator του datacenter, και ένα συνοδευτικό σημείωμα. Στόχος μας είναι να το παραδίδουμε μέσα σε μία ημέρα.

Ερωτήσεις για τον πάροχό σας

• Τι ακριβώς λέει το scope του πιστοποιητικού, και πέφτει η υπηρεσία μου μέσα σε αυτό;
• Ποιος φορέας το εξέδωσε, και ποιος διαπίστευσε αυτόν τον φορέα;
• Πότε έγινε ο τελευταίος έλεγχος επιτήρησης;
• Μπορώ να δω τη Δήλωση Εφαρμοσιμότητας;

Αν ο ελεγκτής σας ζήτησε αποδείξεις και τις θέλετε σε ένα πακέτο, ευχαρίστως να βοηθήσουμε. Μιλήστε με έναν μηχανικό

Related

• /what-we-do/operations/certifications/
• /what-we-do/operations/gdpr/
• /what-we-do/operations/hardening-baseline/