Саме на ці питання відповідає сертифікація за стандартами ISO/IEC 27001 та ISO/IEC 27701. Незалежному органу сертифікації важлива не швидкість серверів чи зручна панель керування сайтом — він перевіряє роботу з даними всередині хостинг-провайдера та відповідність корпоративних процедур стандартам безпеки. Засновник провайдера послуг хостингу Cityhost.ua, Максим Рівтін розкаже, що це конкретно за стандарти й навіщо власникам сайтів в них розбиратися.

Що таке ISO

ISO (International Organization for Standardization) — міжнародна організація зі штаб-квартирою в Женеві. Вона займається випуском стандартів, по яких інші спеціалізовані організації перевіряють компанії. З 1947 року вона випустила понад 25 000 стандартів: від розмірів банківських карток до систем управління безпекою.

Зверніть особливу увагу на слова «випуск стандартів». Сама ISO не перевіряє компанії та не видає сертифікати, адже цим займаються незалежні органи сертифікації. Тому в кожного сертифіката є конкретний власник, номер, сфера дії та термін, і ви можете все це перевірити.

Що таке ISO/IEC 27001 та ISO/IEC 27701

ISO/IEC 27001 — основний міжнародний стандарт для системи управління інформаційною безпекою. В ньому конкретно вказують правила, яких компанія має дотримуватися по оцінці ризиків, розподіленню доступів до конфіденційної інформації клієнтів, реакції на екстрені ситуації, зокрема витоки даних, навчання персоналу, роботи з підрядниками. 

На момент написання статті чинною редакцією є 2022 рік. У її додатку Annex A вказано 93 заходи контролю інформаційної безпеки  за організаційними, людськими, фізичними та технологічними напрямками. Компанія обирає ті, що відповідають її ризикам, і документально пояснює вибір. При цьому сертифікат діє три роки, тобто компанія не просто пройшла перевірку, і про неї всі забули. Вона має щороку проходити наглядовий аудит, доводячи відповідність цьому сертифікату.

ISO/IEC 27701 — стандарт про персональні дані. Якщо до цього ми говорили про систему безпеки загалом, то цей стандарт фокусується на приватності даних: як їх збирають, хто має взагалі до них доступ та хто за них відповідає, скільки часу вони залишаються в базі компанії, як проходить їх обробка тощо. Раніше він був лише доповненням до 27001, а тепер став самостійним стандартом. Хоча на практиці компанії найчастіше проходять обидві перевірки разом.

На що впливає сертифікація на прикладі Cityhost.ua

Український хостинг-провайдер Cityhost.ua отримав сертифікат ISO, компанія успішно пройшла зовнішню перевірку на відповідність всім національним та міжнародним вимогам у сфері інформаційної безпеки, кібербезпеки, захисту інформації. Що це означає для кінцевих споживачів, засновник компанії Максим РІвтін пояснює на прикладі типових ситуацій, щоб показати, як ця система працює:

• Працівник підтримки хоче переглянути дані клієнта. Без правил доступ часто мають значно більше людей, ніж потрібно. Наприклад, людина довго працює в компанії, потім звільняється, а доступ до інформації клієнтів залишається в неї. Стандарт вимагає надавати доступи за визначеними правилами, а головне — регулярно їх переглядати та прибирати зайві права.
• Зламали корпоративний акаунт співробітника. Системи безпеки українських компаній, як і компаній в усьому світі, постійно атакують. Повністю цього уникнути неможливо, тому треба заздалегідь продумати, хто та як буде реагувати, кого в першу чергу сповіщати про цей злам, як позбутися його наслідків. І якраз сертифікат ISO підтверджує, що компанія вже має визначені процедури й відповідальних осіб, тобто ніякого хаосу навіть в критичних ситуаціях не буде.
• Через збій перестав працювати сервіс. Для власника сайту важлива не лише швидкість відновлення роботи його сайту, а й усунення першопричини — щоб у майбутньому зменшити вірогідність повторного збою. І ось саме для цього провайдер повинен мати конкретні правила фіксації інциденту, оцінки наслідків та дій, щоб цього більше не сталося.

Але якщо компанія й так надійно захищає інформацію, навіщо їй додаткове підтвердження у вигляді сертифіката? Якщо на серверах хостинг-провайдера зберігаються персональні дані користувачів сайту, за GDPR він виступає їх обробником. Стаття 28 вимагає, щоб така обробка регулювалася договором, а провайдер забезпечував належні технічні та організаційні заходи захисту. 

І ось саме сертифікований провайдер закриває ці питання документально — відповідно, власникам бізнесів простіше довести це своїм корпоративним клієнтам або в тендерах.

 — Процедури доступу та реагування на екстрені ситуації в нас були й раніше, як і чіткі механізми контролю за доступом до даних клієнтів. — розповідає засновник Cityhost.ua Максим Рівтін. — Хоч на пряму отримання ISO не прописано в законодавчих актах, така сертифікація засвідчує належний рівень безпеки провайдера послуг. Вона є прямим доказом, що компанія має надійну систему захисту та злагоджені процеси всередині компанії не просто з власних слів, а після жорсткої довгої перевірки незалежними організаціями.

Власник сайту може перевірити сертифікат ISO хостинг-провайдера прямо на веб-ресурсі компанії, якщо вона опублікувала цей документ, або прямим зверненням в службу підтримки. Але це лише додаткове зовнішнє підтвердження професійної організації процесів всередині компанії, надійного захисту клієнтських інтернет-проектів та даних користувачів, а не обов'язкова вимога.

Якщо його немає, то це не привід відразу шукати іншу компанію. При виборі хостингу спершу варто дивитися на репутацію провайдера та відгуки його клієнтів. А за підтвердженням надійного захисту даних можна самому звернутися в службу підтримки з питаннями, хто має доступ до конфіденційної інформації, як часто створюють резервні копії та що робитимуть, якщо виникне якась непередбачувана ситуація.