Сертификации дата-центров: Uptime Tier, ISO, SOC 2

Сертификации дата-центров делятся на две семьи, которые постоянно смешивают: рейтинги избыточности инфраструктуры (Tier Certification компании Uptime Institute, ANSI/TIA-942), которые описывают, как спроектированы электроснабжение и охлаждение, и аудиты безопасности и операций (ISO 27001, SOC 2, PCI DSS, HIPAA), которые описывают, как объект и его персонал работают с данными и рисками. Стойка в объекте со всеми сертификациями из этого списка всё равно может выйти из строя из-за человеческой ошибки, а объект без них может работать годами без инцидентов — сертификации документируют процесс и конструкцию, но не гарантируют результат.

Ключевые выводы

• Два вопроса — две разные семьи сертификаций. Рейтинги избыточности (Uptime Tier, TIA-942) ответят на вопрос «будет ли объект работать при техническом обслуживании или отказе». Аудиты безопасности (ISO 27001, SOC 2, PCI DSS) ответят на вопрос «ответственно ли оператор управляет данными и доступом».
• «Tier III» часто самостоятельно заявляется. В каталоге Coloprice из 1 444 отслеживаемых объектов примерно 100 используют язык Tier III/IV, но только 61 ссылаются на реальный сертификат Uptime Institute — Design, Constructed Facility или Operational Sustainability.
• ISO 27001 — самый распространённый стандарт безопасности в нашем каталоге: 575 объектов его указывают, впереди PCI DSS (528) и SOC 2 (490).
• SOC 2 Type II — не публичный сертификат. Это конфиденциальный отчёт, передаваемый под NDA; логотип SOC 2 на сайте подтверждает только наличие соответствия, а не то, что проверялось и как именно.
• «Сертифицированный по HIPAA» — это не реальная вещь. Соответствие HIPAA в колокейшне — это договоренность о разделении ответственности, оформленная соглашением Business Associate Agreement, а не сертификатом третьей стороны.
• Стоимость и периодичность сертификации сильно варьируются — от одноразового аудита объекта Uptime Institute до повторяющихся расходов SOC 2 в размере 30 000–150 000 дол. в год.

Для актуальных цен по рынкам см. Индекс цен колокейшна; чтобы проверить, что публикует конкретный оператор, используйте каталог дата-центров.

Ландшафт сертификаций с первого взгляда

Сертификация	Выдаёт	Что реально проверяет	Периодичность возобновления
Tier Certification от Uptime Institute (I–IV)	Uptime Institute (частная, единственный орган оценки)	Проектирование избыточности электроснабжения/охлаждения и отдельно построенную конструкцию	Один раз за награду; M&O Stamp of Approval возобновляется каждые 2 года
ANSI/TIA-942 Rated-1–Rated-4	Независимые аккредитованные ANSI органы сертификации	Избыточность плюс архитектурные, противопожарные и системы физической безопасности	Устанавливает сертифицирующий орган, обычно 3 года
ISO/IEC 27001	Аккредитованные органы сертификации ISO	Система управления информационной безопасностью (ISMS)	Трёхлетний цикл с ежегодными надзорными аудитами
ISO 22301	Аккредитованные органы сертификации	Система управления непрерывностью бизнеса	Трёхлетний цикл
ISO 50001	Аккредитованные органы сертификации	Система управления энергией	Трёхлетний цикл
ISO 9001	Аккредитованные органы сертификации	Система управления качеством	Трёхлетний цикл
SOC 1 Type II	Независимая фирма CPA (структура AICPA)	Контроли, относящиеся к финансовой отчётности клиента	Отчёт охватывает 6–12 месяцев; переиздаётся ежегодно
SOC 2 Type II	Независимая фирма CPA (критерии доверия AICPA)	Безопасность, доступность, конфиденциальность, целостность обработки, контроли конфиденциальности	Отчёт охватывает 6–12 месяцев; переиздаётся ежегодно
PCI DSS	Квалифицированный оценивающий элемент безопасности (QSA)	Контроли окружающей среды данных картодержателя	Ежегодное подтверждение соответствия
HIPAA	Нет органа сертификации — самостоятельно заявленное + BAA	Физические меры защиты защищённой медицинской информации	Постоянно; нет сертификата на определённый срок

Tier Certification от Uptime Institute кратко

Система Tier (I–IV) компании Uptime Institute — самый известный рейтинг инфраструктуры, и это реальный платный процесс аудита, а не самооценка: операторы подают документацию для Tier Certification of Design Documents (TCDD), затем инженеры Uptime Institute инспектируют готовый объект на предмет Tier Certification of Constructed Facility (TCCF). С 2024 года расширенный M&O Stamp of Approval распространяет этот же независимый контроль на укомплектованность персонала, процедуры обслуживания и реагирование на инциденты, с наградами, действительными два года. По данным Uptime Institute, компания выдала более 4 300 наград в 120+ странах с начала программы в начале 1990-х годов.

Для полного описания требований каждого уровня и стоящих за ними показателей доступности см. наш справочник по уровням дата-центров. Суть: сертификат в открытом реестре Uptime Institute проверяем таким образом, каким не может быть проверена заявка в спецификации.

TIA-942: более широкий вариант с аккредитацией ANSI

ANSI/TIA-942 оценивает объекты по шкале Rated-1–Rated-4, используя концепции избыточности, схожие с уровнями Uptime, но с двумя структурными отличиями, важными для покупателей. Первое, область: TIA-942 охватывает электрические и механические системы плюс архитектурные, противопожарные, телекоммуникационные и требования физической безопасности, тогда как система Tier компании Uptime Institute охватывает только электрическую и механическую топологию. Второе, управление: TIA-942 оценивается независимыми, аккредитованными ANSI третьими органами сертификации, а не одним частным издателем, давая покупателям несколько мест для проверки заявления. Эти две системы не взаимозаменяемы — объект, называющий себя «Tier 3», и объект, сертифицированный как «TIA-942 Rated-3», делают похожие, но отличающиеся заявления от разных аудиторов, согласно сравнению EPI этих двух структур.

Семейство ISO: безопасность, непрерывность, энергия, качество

На страницах соответствия оператора появляются четыре стандарта ISO, каждый охватывает разную область управления:

• ISO/IEC 27001 — управление информационной безопасностью. Охватывает контроль доступа, физическую безопасность, реагирование на инциденты и оценку рисков. Это стандарт безопасности, который по умолчанию ожидают корпоративные команды закупок.
• ISO 22301 — управление непрерывностью бизнеса. Документирует, как оператор планирует, реагирует и восстанавливается после перебоев; релевантно для пунктов о форс-мажоре и SLA.
• ISO 50001 — управление энергией. Документирует систематический мониторинг и снижение потребления энергии, всё более запрашиваемое арендаторами со своими обязательствами по отчётности в области устойчивого развития.
• ISO 9001 — управление качеством. Самый универсальный из четырёх; документирует последовательный операционный процесс, а не что-то специфичное для дата-центра.

Один сертификат ISO не охватывает автоматически все объекты, которые управляет оператор — всегда проверяйте указанный объём сертификата (какие местоположения и бизнес-единицы он применяется), а не предполагайте групповую претензию.

SOC 1, SOC 2, SOC 3 и отличие аудит-отчёта

Отчёты SOC, выданные в соответствии с фреймворком Американского института CPA (AICPA), — самые непонятые в этом списке, потому что они отчёты, а не сертификаты. SOC 1 фокусируется на контролях, относящихся к финансовой отчётности клиента (релевантно для REIT и финансово-ориентированных арендаторов); SOC 2 оценивает безопасность, доступность, конфиденциальность, целостность обработки и конфиденциальность против критериев доверия AICPA; SOC 3 — публичное резюме включения SOC 2 с удалённой технической деталью.

Type I против Type II — это отличие, которое имеет наибольшее значение: Type I проверяет, правильно ли спроектированы контроли на конкретный момент времени, Type II проверяет, действительно ли эти контроли работали эффективно на протяжении 6–12 месяцев. Общая стоимость программы SOC 2 Type II — сборка, оценка готовности, исправление и время внутреннего персонала — обычно составляет 30 000–150 000 дол., с платой за аудит в диапазоне 8 000–50 000+ дол., в зависимости от объёма, согласно опросам стоимости соответствия за 2026 год от Scytale и CyberArrow. Поскольку полный отчёт конфиденциален и передаётся только под NDA, логотип SOC 2 на маркетинговой странице подтверждает, что произошло включение, — но не какие критерии были протестированы или что нашёл аудитор.

Отраслевой специфичный комплаенс: PCI DSS, HIPAA, FedRAMP

Три сертификации имеют значение в основном для конкретно регулируемых рабочих нагрузок, а не для покупателей колокейшна в целом:

Сертификация	Кому это нужно	Ключевой механизм
PCI DSS	Любому арендатору, хранящему, обрабатывающему или передающему данные карт	Ежегодное подтверждение соответствия (AOC) от квалифицированного оценивающего элемента безопасности
HIPAA	Американские арендаторы здравоохранения, обрабатывающие защищённую медицинскую информацию	Business Associate Agreement (BAA); официального сертификата не существует
FedRAMP	Рабочие нагрузки облака/хостинга американского федерального правительства	Процесс формальной авторизации, управляемый федеральным спонсирующим агентством

Соответствие HIPAA явно является общей ответственностью: оператор объекта несёт ответственность за контроль физического доступа и безопасность окружающей среды, тогда как арендатор отвечает за технические меры, такие как шифрование и управление доступом на уровне приложения — никакой BAA не переводит эту ответственность. На практике FedRAMP является самым узким из трёх: только 6 из 1 444 объектов в нашем каталоге его указывают, отражая, как мало объектов колокейшна преследуют федеральную авторизацию по сравнению с гигаскальными облачными регионами, для которых был создан FedRAMP.

Что показывает каталог Coloprice

Поскольку мы отслеживаем сертификации как структурированные данные, а не маркетинговый текст, цифры по 1 444 каталогизированным объектам — полезная проверка реальности того, насколько распространена каждая квалификация:

Сертификация	Объектов, её указывающих	Доля каталога
ISO/IEC 27001	575	40%
PCI DSS	528	37%
SOC 2 (Type I, II или неуточненный)	490	34%
ISO 22301	290	20%
ISO 50001	277	19%
HIPAA	158	11%
TIA-942 (любой рейтинг)	45	3%
Tier Certification от Uptime Institute (конкретная награда)	61	4%
FedRAMP	6	0.4%

Источник: каталог объектов Coloprice, скомпилирован из опубликованных операторами списков сертификаций.

Чуть более половины отслеживаемых объектов (729 из 1 444) публикуют хотя бы одну третьесторонюю сертификацию любого вида — это означает, что почти половина их не публикует, что не обязательно исключает лайт-уровневый дата-центр, но стоит отметить при проверке надлежащей осмотрительности. Разрыв между использованием языка Tier (около 100 объектов) и конкретными сертификатами Uptime Institute (61) — это самое ясное проиллюстрирование различия между самостоятельно заявленным и аудированным, описанного выше.

Как проверить заявление о сертификации перед подписанием

1. Требуйте документ, а не логотип. Сертификат, подтверждение соответствия или (под NDA) реальный отчёт SOC 2 — не логотип на сайте.
2. Проверьте открытый реестр, если он есть. Uptime Institute ведёт поисковый список каждого выданного ею Tier Certification; объект, отсутствующий в этом списке и заявляющий о Tier, самостоятельно его объявляет.
3. Прочитайте изложение объёма на сертификатах ISO. Подтвердите, что сертификат охватывает конкретный объект и бизнес-единицу, с которыми вы заключаете контракт, а не просто материнскую компанию.
4. Подтвердите тип отчёта SOC 2 и критерии. Type II имеет больший вес, чем Type I; подтвердите, какие критерии доверия (безопасность, доступность, конфиденциальность и т. д.) реально были в объёме.
5. Для PCI DSS запросите текущее подтверждение соответствия (AOC). Подтверждения истекают ежегодно — подтверждение соответствия двухгодичной давности не является текущим соответствием.
6. Помните, HIPAA — это контракт, а не логотип. Настаивайте на подписанном BAA, а не принимайте «HIPAA-совместимое» как отдельное утверждение.

Что делать

Сопоставляйте сертификацию с реальным риском, который вы управляете, а не собирайте логотипы: покупатели инфраструктуры, приоритизирующие доступность, должны проверять Tier Certification от Uptime Institute или статус TIA-942 Rated по открытому реестру издателя, тогда как покупатели с обязательствами по соответствию должны запрашивать основное заявление об объёме ISO, отчёт SOC 2 или AOC PCI, а не принимать маркетинговую страницу в чистом виде. Сопоставляйте утверждения оператора с нашим каталогом дата-центров, который перечисляет сертификации как структурированные, проверенные данные по объектам, и используйте сервис котировок для запроса сравнимой документации по соответствию у нескольких операторов на одном рынке. Для механики наиболее цитируемого рейтинга инфраструктуры конкретно см. наш справочник по уровням дата-центров; для того, как сертификации учитываются при оценке рисков поставщика в целом, см. нашу контрольный список проверки надлежащей осмотрительности.