Читайте рядок сфери дії: як перевірити ISO-сертифікати хостера

Майже кожен хостинг-провайдер десь на своєму сайті показує ряд логотипів сертифікацій. Ваш аудитор логотип не прийме, і вам також не варто. Сертифікат є точним документом, і саме деталі вирішують, чи покриває він ту послугу, яку ви насправді купуєте. Ось що читати, в якому порядку, і що запитувати, коли чогось бракує.

Почніть із формулювання сфери дії

Сертифікат системи управління ISO засвідчує визначену сферу дії, і ця сфера надрукована на сертифікаті. Вона може охоплювати всю компанію, один майданчик або одну послугу. Провайдер, сертифікований на «розробку програмного забезпечення» в головному офісі, не сказав вам нічого про дата-центр, де працюють ваші сервери.

Спершу прочитайте рядок сфери дії і порівняйте його з договором, який підписуєте. Питання просте: чи потрапляє послуга, яку я купую, в локації, якою користуюся, під ці слова? Якщо відповідь незрозуміла, попросіть провайдера підтвердити це письмово.

Наші власні чотири сертифікати мають одну сферу дії: «Managed datacenter hosting service». Це та послуга, яку купують наші клієнти.

Перевірте, хто видав, і хто їх акредитував

Сертифікат вартий рівно стільки, скільки орган, що його видав. Органи з сертифікації самі акредитовані національним органом з акредитації, а ті є членами Міжнародного форуму з акредитації. Перевірте обидві ланки ланцюга:

• У сертифікаті названо орган з сертифікації. Чи акредитований цей орган на цей стандарт?
• Орган з акредитації названий, зазвичай зі своїм знаком на сертифікаті. Чи є він визнаним національним органом з акредитації?

Багато акредитованих сертифікатів можна незалежно перевірити в IAF CertSearch, міжнародній базі акредитованих сертифікацій. Провайдер також має бути готовий надіслати вам на запит власний сертифікат акредитації органу з сертифікації. Наші видав RIGCERT, акредитований ESYD, Грецькою системою акредитації, і ми включаємо сертифікати акредитації в кожен пакет підтверджень.

Подивіться на дати

Сертифікати видаються на цикл, зазвичай три роки, з наглядовими аудитами щороку між ними. Перевірте дату видачі, дату закінчення і, якщо можете, дату останнього наглядового аудиту.

Знайте, що охоплює кожен стандарт

Номери мають значення, бо вони засвідчують різні речі:

• ISO/IEC 27001 є управлінням інформаційною безпекою, ядром того, про що запитує більшість аудиторів.
• ISO/IEC 27017 додає заходи безпеки, специфічні для хмарних послуг.
• ISO/IEC 27018 додає заходи захисту персональних даних у хмарних послугах, що прямо стосується розмов про GDPR.
• ISO 9001 є управлінням якістю: задокументовані, повторювані процеси.
• ISO 14001 є екологічним управлінням.
• ISO 37001 є управлінням протидією хабарництву.

Для ISO/IEC 27001 є ще один документ, який варто запросити: Положення про застосовність. Воно перелічує заходи з додатка до стандарту і вказує, які застосовуються, а які виключені, з обґрунтуванням. Виключення є нормою, але виключення, яке зачіпає ваш випадок використання, варто обговорити.

Де стоїмо ми

EuroVPS має ISO/IEC 27001 разом з ISO/IEC 27017 і 27018, ISO 9001, ISO 14001 і ISO 37001, видані у вересні 2026 року. Оператори наших дата-центрів мають власні незалежні звіти про аудит і підтвердження, доступні за NDA.

Коли аудитору чи тендерній команді клієнта потрібні докази, ми збираємо пакет: зміст, підписану заяву про послуги, локації, сертифікації, сферу дії та ключові заходи, наші сертифікати з сертифікатами акредитації за ними, документи підтвердження від оператора дата-центру і супровідний лист. Ми прагнемо передати його протягом дня.

Запитання до вашого провайдера

• Що саме каже сфера дії сертифіката, і чи потрапляє моя послуга під неї?
• Який орган його видав, і хто акредитував цей орган?
• Коли був останній наглядовий аудит?
• Чи можу я побачити Положення про застосовність?

Якщо ваш аудитор попросив докази і ви хочете отримати їх одним пакетом, ми радо допоможемо. Поговоріть з інженером

Related

• /what-we-do/operations/certifications/
• /what-we-do/operations/gdpr/
• /what-we-do/operations/hardening-baseline/