Український хостинг-провайдер і реєстратор доменів Cityhost.ua повідомив про отримання сертифікатів ДСТУ ISO/IEC 27001 та ДСТУ ISO/IEC 27701. Перед цим компанія пройшла зовнішню перевірку. За інформацією Cityhost, на українському ринку хостингу подібний набір сертифікатів мають до п’яти провайдерів.
Для клієнта хостинг часто виглядає як технічна послуга: головне, щоб стабільно працював сайт і вчасно відповідала технічна підтримка. Але значна частина безпеки залишається за кадром. Це внутрішні права працівників, правила роботи з інформацією, фіксація інцидентів, оцінка ризиків і порядок дій, коли щось уже пішло не за планом.
Саме цю внутрішню систему й оцінюють під час сертифікації.
Що перевіряють за ISO 27001 та 27701
ISO/IEC 27001 стосується системи управління інформаційною безпекою. Стандарт виходить із того, що захист даних не можна звести до антивірусу, складних паролів або окремого фахівця з кібербезпеки. Потрібна керована система, у якій відповідальні працівники вчасно виявляють ризики та розподіляють відповідальність, а керівництво регулярно переглядає встановлені правила. ISO описує цей підхід як роботу одночасно з людьми, внутрішніми правилами та технологіями.
ДСТУ ISO/IEC 27701 доповнює цю модель вимогами до роботи з інформацією, яка стосується приватності. Для хостинг-компанії це особливо важливо: через її інфраструктуру проходять не тільки файли сайтів, а й пошта, резервні копії, облікові записи та інші дані клієнтів.
Під час аудиту оцінюють не одну технологію, а те, як у компанії організована робота в цілому. Серед таких процесів:
- хто і на яких підставах отримує доступ до інформації;
- як змінюють або закривають права після переходу працівника на іншу посаду чи звільнення;
- хто відповідає за дії під час інциденту;
- як фіксують причини та наслідки збою або компрометації;
- як переглядають ризики й коригують заходи захисту.
Проблема зі старими доступами добре показує, навіщо такі речі взагалі потребують окремих правил. Людину можуть залучити до проєкту на кілька місяців і відкрити їй потрібні дані. Проєкт закінчився, завдання змінилися, а дозвіл ніхто не прибрав. Якщо це повторюється роками, у системі накопичуються права, які вже нічим не виправдані. У керованій моделі доступ не видають назавжди: він має відповідати актуальній ролі працівника.
Інший бік тієї самої системи — реакція на проблему. Якщо скомпрометовано корпоративний обліковий запис або перестав працювати важливий сервіс, команда має діяти за визначеним порядком, а не з’ясовувати вже під час інциденту, хто має ухвалювати рішення. Після відновлення роботи важливо встановити причину, зафіксувати наслідки й вирішити, що потрібно змінити.
Більше про це читайте в матеріалі: Cityhost отримав сертифікацію ДСТУ ISO/IEC 27001 та ДСТУ ISO/IEC 27701
Чому формалізовані процеси стали важливішими — Максим Рівтін, засновник Cityhost.ua
Кіберризики змінюються досить швидко. У звіті Verizon Data Breach Investigations Report за 2026 рік експлуатація вразливостей програмного забезпечення вперше вийшла на перше місце серед початкових шляхів проникнення: з неї починався 31% досліджених зламів. Зловживання викраденими обліковими даними становило 13%.
Ці цифри добре показують, чому безпеку складно звести до одного сценарію на кшталт захисту паролів. Компанії доводиться одночасно стежити за доступами, вразливостями, резервуванням, діями персоналу та готовністю швидко відновити роботу. ISO 27001 задає рамку, у якій ці напрями не існують окремо один від одного.
“Для клієнта наявність сертифіката не означає абсолютного захисту. Жоден стандарт не скасовує технічних збоїв, людських помилок чи кібератак. Його цінність у тому, що незалежна перевірка підтверджує існування в компанії системи управління ризиками, яка працює за визначеними правилами. ISO також прямо розглядає сертифікацію як спосіб продемонструвати клієнтам і партнерам здатність організації керувати інформацією безпечно.” — Максим Рівтін, засновник Cityhost.ua
Для хостингу це має цілком практичне значення. Сайт або онлайн-сервіс може накопичувати дані роками, а для бізнесу навіть кілька годин простою іноді означають втрату замовлень, доступу до пошти чи частини внутрішніх процесів. Тому поряд із характеристиками виділених серверів або VPS, резервним копіюванням і роботою підтримки важливо розуміти, наскільки передбачувано провайдер поводиться в нестандартних ситуаціях.
У Cityhost зазначають, що контроль доступів, робота з ризиками та процедури реагування були запроваджені раніше. Сертифікація не створила цю систему з нуля, а дала їй зовнішнє підтвердження.
Для клієнтів це ще один критерій оцінки провайдера — поряд із технічною стабільністю, резервними копіями, умовами тарифів і якістю підтримки.
