Рівтін Максим, засновник Cityhost.ua: сертифікація ISO — нові можливості для хостинг-провайдерів

Отримання сертифікату ISO — це складний процес на 6-12 місяців, який вимагає від хостинг-провайдера документувати кожен крок, доводити наявність захисту від кібератак та чіткого плану відновлення після катастроф, розробляти десятки політик безпеки та інструкцій. І постає одне питання — навіщо компанії так ускладнювати собі життя?

Сертифікація не є обов'язковою: хостинг-провайдер може спокійно працювати, мати сильну репутацію та клієнтів, які задоволені послугами з оренди віртуального хостингу та серверів, захистом їхніх сайтів та даних їх клієнтів. Однак це діє доти, доки компанія не починає постійно працювати з великим бізнесом, який сам зобов'язаний звітувати за захист даних. І ось тут сертифікація ISO підтверджує, що внутрішні процедури провайдера перевірив незалежний аудитор. 

Український хостинг-провайдер Cityhost.ua пройшов таку сертифікацію за стандартами ISO/IEC 27001 та ISO/IEC 27701 у 2026 році. Засновник компанії Рівтін Максим розкаже, що стоїть за цими абревіатурами та навіщо все це було потрібно.

Що таке ISO загалом

ISO (International Organization for Standardization) — міжнародна організація зі стандартизації, заснована 1947 року. Вона сама нікого не перевіряє, а лише публікує текст вимог: як має виглядати система управління безпекою в компанії, щоб вважатися надійною. І вже відповідність цим вимогам перевіряє незалежний орган сертифікації, який приїжджає, дивиться реальні процеси зсередини та за результатом видає сертифікат із власним номером, датою та строком дії.

Щоб міжнародний стандарт набув статусу національного, потрібне ДП "УкрНДНЦ" — національний орган стандартизації, який представляє державу в ISO та IEC. Саме тому в документах часто вказують подвійне позначення на кшталт ДСТУ ISO/IEC 27001:2023 — це той самий стандарт, перекладений без змін.

Що таке ISO/IEC 27001 та ISO/IEC 27701

Це два стандарти, які описують не технології, а систему роботи. Вони сконцентровані на самих процесах всередині компанії: хто ухвалює рішення, за якими правилами та хто це все взагалі контролює. Різниця між ними в типах даних, які перевіряються.

ISO/IEC 27001 відповідає за інформаційну безпеку загалом. Сертифікат означає, що компанія оцінила свої ризики і під кожен із них впровадила конкретний захід:

• контроль доступу до дата-центру;

• регламент резервного копіювання;

• обмеження доступу персоналу до інфраструктури;

• план дій на випадок атаки.

Тобто мова не про обіцянку, що злам або збій неможливі, а про те, що на кожен передбачуваний ризик є задокументована відповідь та алгоритм вирішення проблеми.

ISO/IEC 27701 стосується персональних даних: хто має до них доступ, скільки вони зберігаються, як обробляються. У цій схемі власник сайту вирішує, які дані збирати, а хостинг-провайдер виступає їх оператором, тобто обробляє за дорученням клієнта. До 2025 року стандарт був доповненням до 27001, але нова редакція зробила його самостійним. Однак найчастіше компанія проходить комплексну перевірку та отримує обидва сертифікати.

Вимоги НБУ до фінансових установ щодо розміщення даних та використання хмарної інфраструктури

Прямої норми "постачальник послуг зобов'язаний мати сертифікат ISO/IEC 27001" немає в нашому законодавстві. Але регулятор йде до того, щоб вимагати від фінансових установ документальні докази безпеки їхніх підрядників. Для власника блогу чи невеликого сайту сертифікат хостинг-провайдера — це зручний доказ того, що дані у надійних руках. А для бізнесу, який сам зобов'язаний звітувати за захист даних, це вже ефективний інструмент для підтвердження надійності підрядника.

Для прикладу візьмемо найвибагливішого клієнта для будь-якого хостинг-провайдера — фінансовий сектор, бо він працює під наглядом Нацбанку. НБУ ще з 2017 року вимагає від банків мати задокументовану систему захисту інформації. З 1 листопада 2025 року вимога стала більш зрозумілою: постанова НБУ № 99 від 25 серпня 2025 року зобов'язує надавача хмарних послуг щороку документально підтверджувати відповідність визнаним стандартам безпеки. Ба більше, в опублікованому проекті положення прямо згадується ДСТУ ISO/IEC 27001:2023.

Тобто прямої вимоги мати саме сертифікат ISO закон не встановлює. Але коли служба безпеки банку перевіряє підрядника, найпростіше, що може стати аргументом працюючої системи управління інформаційною безпекою — документ від незалежного аудитора. Тим паче ISO 27001 якраз і підтверджує наявність якісної загальної безпеки компанії.

— Процедури контролю доступу, реагування на інциденти та резервування даних працювали в нас і до сертифікації, інакше компанія не протрималася б на ринку понад 20 років. Але одна справа, коли ці правила знають інженери й керівники відділів, і зовсім інша, коли вони описані та перевірені зовнішнім аудитором. — розповідає засновник Cityhost.ua Максим Рівтін. — І хоча прямої норми, яка зобов'язує провайдера мати ISO, у законодавстві немає. Однак коли клієнт запитує, як ми захищаємо його дані, ми більше не переказуємо свої практики, сподіваючись, що нам повірять. Ми надаємо документ, який може перевірити команда юристів — це критично важливо для бізнесу, який сам звітує перед клієнтами чи регулятором.

Сертифікація ISO не робить сервери швидшими й не гарантує, що компанію ніколи не атакують — жоден стандарт цього не обіцяє. Вона дає передбачуваність: у сертифікованого провайдера є визначені відповідальні співробітники, регламент реагування на інциденти та контрольований порядок надання й закриття доступів. — доповнює Рівтін Максим, засновник Cityhost.ua.

Власник сайту може без проблем працювати з компанією, яка не має сертифіката ISO, орієнтуючись на її репутацію та відгуки клієнтів. Разом з тим наявність цієї сертифікації суттєво спрощує ведення бізнесу. Ви можете не просто доводити на словах, наскільки надійно захищені ваші інтернет-проекти та дані клієнтів, а надати чіткий документ від третьої сторони, яка самостійно все це перевірила по жорстких стандартах.

Читайте Comments.ua в Google News