Leggete la riga dello scopo: verificare le certificazioni ISO di un host

Quasi ogni fornitore di hosting mostra da qualche parte sul suo sito una fila di loghi di certificazione. Il vostro auditor non accetterà un logo, e nemmeno voi dovreste. Un certificato è un documento preciso, e i dettagli decidono se copre il servizio che state davvero acquistando. Ecco cosa leggere, in quale ordine, e cosa chiedere quando manca qualcosa.

Partite dalla dichiarazione dello scopo

Un certificato di sistema di gestione ISO certifica uno scopo definito, e quello scopo è stampato sul certificato. Può coprire l'intera azienda, un sito, o un servizio. Un fornitore certificato per «sviluppo software» presso la sede centrale non vi ha detto nulla sul datacenter dove girano i vostri server.

Leggete per prima la riga dello scopo e confrontatela con il contratto che state firmando. La domanda è semplice: il servizio che acquisto, nella sede che uso, rientra in queste parole? Se la risposta non è chiara, chiedete al fornitore di confermarlo per iscritto.

I nostri quattro certificati portano un unico scopo: «Managed datacenter hosting service». È il servizio che i nostri clienti acquistano.

Verificate chi lo ha emesso, e chi li ha accreditati

Un certificato vale quanto l'ente che lo ha emesso. Gli organismi di certificazione sono a loro volta accreditati da un ente nazionale di accreditamento, e questi sono membri dell'International Accreditation Forum. Verificate entrambi gli anelli della catena:

• Il certificato nomina l'organismo di certificazione. Quell'organismo è accreditato per questa norma?
• L'ente di accreditamento è nominato, di solito con il suo marchio sul certificato. È un ente nazionale di accreditamento riconosciuto?

Molti certificati accreditati possono essere verificati in modo indipendente su IAF CertSearch, il database internazionale delle certificazioni accreditate. Un fornitore dovrebbe anche essere disposto a inviarvi su richiesta il certificato di accreditamento dell'organismo di certificazione. I nostri sono stati emessi da RIGCERT, accreditato da ESYD, l'Hellenic Accreditation System, e includiamo i certificati di accreditamento in ogni pacchetto di garanzia.

Guardate le date

I certificati vengono emessi per un ciclo, normalmente tre anni, con audit di sorveglianza ogni anno nel mezzo. Controllate la data di emissione, la data di scadenza e, se potete, la data dell'ultimo audit di sorveglianza.

Sapete cosa copre ogni norma

I numeri contano, perché certificano cose diverse:

• ISO/IEC 27001 è la gestione della sicurezza delle informazioni, il cuore di ciò che chiede la maggior parte degli auditor.
• ISO/IEC 27017 aggiunge controlli di sicurezza specifici per i servizi cloud.
• ISO/IEC 27018 aggiunge controlli per la protezione dei dati personali nei servizi cloud, direttamente rilevanti nelle conversazioni sul GDPR.
• ISO 9001 è la gestione della qualità: processi documentati e ripetibili.
• ISO 14001 è la gestione ambientale.
• ISO 37001 è la gestione anticorruzione.

Per la ISO/IEC 27001 c'è un ulteriore documento che vale la pena richiedere: la Dichiarazione di Applicabilità. Elenca i controlli dell'allegato della norma e indica quali sono applicati e quali esclusi, con le motivazioni. Le esclusioni sono normali, ma un'esclusione che tocca il vostro caso d'uso è qualcosa di cui discutere.

Dove ci collochiamo

EuroVPS detiene la ISO/IEC 27001 con ISO/IEC 27017 e 27018, la ISO 9001, la ISO 14001 e la ISO 37001, emesse a settembre 2026. I nostri operatori di datacenter detengono i propri rapporti di audit e attestazioni indipendenti, disponibili sotto NDA.

Quando l'auditor o il team di gara di un cliente ha bisogno di evidenze, assembliamo un pacchetto: un indice, una dichiarazione firmata di servizi, sedi, certificazioni, scopo e controlli chiave, i nostri certificati con dietro i certificati di accreditamento, i documenti di garanzia dell'operatore del datacenter, e una lettera di accompagnamento. Puntiamo a consegnarlo entro un giorno.

Domande da fare al vostro fornitore

• Cosa dice esattamente lo scopo del certificato, e il mio servizio vi rientra?
• Quale organismo lo ha emesso, e chi ha accreditato quell'organismo?
• Quando è stato l'ultimo audit di sorveglianza?
• Posso vedere la Dichiarazione di Applicabilità?

Se il vostro auditor ha chiesto evidenze e le volete in un unico pacchetto, siamo lieti di aiutarvi.

cta: Parla con un ingegnere

Related

• /what-we-do/operations/certifications/
• /what-we-do/operations/gdpr/
• /what-we-do/operations/hardening-baseline/