Сертифікації дата-центрів пояснено: Uptime Tier, ISO, SOC 2

Сертифікації дата-центрів поділяються на дві категорії, які постійно змішуються: рейтинги надмірності інфраструктури (Uptime Institute Tier Certification, ANSI/TIA-942), що описують, як розроблені живлення й охолодження, та аудити безпеки й операцій (ISO 27001, SOC 2, PCI DSS, HIPAA), що описують, як об’єкт і його персонал управляють даними та ризиком. Стійка в об’єкті, який має всі сертифікації зі цього списку, все одно може вийти з ладу через людську помилку, а об’єкт без жодної з них може працювати роки без інциденту — сертифікації документують процес і дизайн, а не гарантований результат.

Ключові висновки

• Два різні питання, дві різні категорії сертифікацій. Рейтинги надмірності (Uptime Tier, TIA-942) відповідають на питання «чи залишиться цей об’єкт в мережі під час обслуговування чи збою». Аудити безпеки (ISO 27001, SOC 2, PCI DSS) відповідають на питання «чи оператор відповідально управляє даними й доступом».
• «Tier III» часто самодекларований. У каталозі Coloprice з 1444 відстежуваних об’єктів приблизно 100 використовують мову Tier III/IV, але лише 61 посилаються на фактичний сертифікат Uptime Institute — design, constructed facility або Operational Sustainability.
• ISO 27001 — найпоширеніша базова лінія безпеки у нашому каталозі: 575 об’єктів його перелічують, попереду PCI DSS (528) та SOC 2 (490).
• SOC 2 Type II — не публічний сертифікат. Це конфіденційний звіт, розповсюджуваний під NDA; логотип SOC 2 на веб-сайті лише підтверджує, що залучення існує, а не те, що було протестовано чи результат.
• Такої речі як «HIPAA certified» не існує. Комплаєнс HIPAA в колокейшні — це договір про спільну відповідальність, формалізований Business Associate Agreement, а не сертифікат третьої сторони.
• Вартість сертифікації й цикл сильно варіюють — від одноразового аудиту об’єкта Uptime Institute до щорічної вартості програми SOC 2 у $30,000-150,000.

Щоб отримати контекст живих цін за ринками, див. індекс цін колокейшну; щоб перевірити, що публікує конкретний оператор, переглядайте каталог дата-центрів.

Ландшафт сертифікацій з першого погляду

Сертифікація	Видавець	Що насправді перевіряється	Цикл оновлення
Uptime Institute Tier Certification (I-IV)	Uptime Institute (приватна організація, єдиний оцінювач)	Дизайн надмірності живлення/охолодження та окремо побудовану конструкцію	Один раз на нагороду; M&O Stamp of Approval оновлюється кожні 2 роки
ANSI/TIA-942 Rated-1 до Rated-4	Незалежні акредитовані ANSI органи сертифікації	Надмірність плюс архітектурні, протипожежні й системи фізичної безпеки	Встановлені органом сертифікації, зазвичай 3 роки
ISO/IEC 27001	Акредитовані органи сертифікації ISO	Система управління інформаційною безпекою (ISMS)	3-річний цикл з щорічними аудитами нагляду
ISO 22301	Акредитовані органи сертифікації	Система управління безперервністю діяльності	3-річний цикл
ISO 50001	Акредитовані органи сертифікації	Система управління енергією	3-річний цикл
ISO 9001	Акредитовані органи сертифікації	Система управління якістю	3-річний цикл
SOC 1 Type II	Незалежна фірма CPA (AICPA framework)	Контролі, що мають відношення до фінансової звітності клієнта	Звіт охоплює 6–12 місяців; перевидається щорічно
SOC 2 Type II	Незалежна фірма CPA (AICPA Trust Services Criteria)	Контролі безпеки, доступності, конфіденційності, цілісності обробки, приватності	Звіт охоплює 6–12 місяців; перевидається щорічно
PCI DSS	Кваліфікований оцінювач безпеки (QSA)	Контролі над середовищами даних власників карток	Щорічне Attestation of Compliance
HIPAA	Немає органу сертифікації — самовідповідальність + BAA	Фізичні гарантії для захищеної інформації про здоров’я	Постійно; немає сертифіката з фіксованим терміном

Uptime Institute Tier Certification, коротко

Система Tier Інституту Uptime (від I до IV) — найвідоміший рейтинг інфраструктури, й це справжній оплачуваний процес аудиту, а не саморейтиночний контрольний список: оператори подають проектні документи для Tier Certification of Design Documents (TCDD), потім інженери Uptime Institute інспектують завершений об’єкт для Tier Certification of Constructed Facility (TCCF). З 2024 року покращена Management & Operations (M&O) Stamp of Approval поширює той самий третій сторін нагляд на персонал, процедури обслуговування й реагування на інциденти, з нагородами, дійсними два роки. За даними Uptime Institute, з початку програми в ранніх 1990-х вони видали понад 4300 нагород у понад 120 країнах.

Для повного розбору того, що потрібно для кожного рівня tier та цифр стійкості, що за ними стоять, див. наш посібник за рівнями дата-центрів. Суть цього: сертифікат у публічному реєстрі Uptime Institute можна перевірити так, як неможливо перевірити твердження на аркуші технічних характеристик.

TIA-942: ширша, ANSI-акредитована альтернатива

ANSI/TIA-942 оцінює об’єкти Rated-1 до Rated-4, використовуючи концепції надмірності, подібні до рівнів Uptime, але з двома структурними відмінностями, які мають значення для покупців. По-перше, обсяг: TIA-942 охоплює електричні й механічні системи плюс архітектурні, протипожежні, телекомунікаційні й вимоги фізичної безпеки, тоді як система Tier Інституту Uptime охоплює лише електричну й механічну топологію. По-друге, управління: TIA-942 оцінюється незалежними, ANSI-акредитованими органами сертифікації третьої сторони, а не єдиним приватним видавцем, що дає покупцям понад одне місце для перевірки твердження. Ці дві системи не взаємозамінні — об’єкт, який називає себе «Tier 3», і об’єкт, сертифікований як «TIA-942 Rated-3», висувають подібні, але відмінні твердження від різних аудиторів, згідно з порівнянням двох структур EPI.

Сімейство ISO: безпека, безперервність, енергія, якість

Чотири стандарти ISO повторно з’являються на сторінках комплаєнсу операторів, кожен охоплюючи іншу область управління:

• ISO/IEC 27001 — управління інформаційною безпекою. Охоплює контроль доступу, фізичну безпеку, реагування на інциденти й оцінку ризику. Це базова лінія безпеки, яку більшість корпоративних команд закупівель очікують за замовчуванням.
• ISO 22301 — управління безперервністю діяльності. Документує, як оператор планує, реагує й відновлюється від збоїв; має відношення до пунктів force-majeure й SLA.
• ISO 50001 — управління енергією. Документує систематичне моніторування й зменшення використання енергії, дедалі частіше запитується орендарями зі своїми зобов’язаннями з звітування про стійкість.
• ISO 9001 — управління якістю. Найбільш загальна з чотирьох; документує послідовний операційний процес, а не що-небудь специфічне для дата-центра.

Один сертифікат ISO не охоплює автоматично кожен сайт, який працює оператор — завжди перевіряйте заявлений обсяг сертифіката (які місцезнаходження й бізнес-підрозділи він охоплює), а не приймайте як дане претензію на групу.

SOC 1, SOC 2, SOC 3 та розрізнення звітів аудиту

Звіти SOC, видані відповідно до структури Американського інституту CPA (AICPA), є найбільш неправильно розуміною облікою в цьому списку, тому що вони звіти, а не сертифікати. SOC 1 орієнтований на контролі, що мають відношення до фінансової звітності клієнта (релевантні для REIT та орендарів, пов’язаних з фінансами); SOC 2 оцінює безпеку, доступність, конфіденційність, цілісність обробки й приватність за Trust Services Criteria AICPA; SOC 3 — публічна версія залучення SOC 2 з видаленою технічною деталлю.

Розрізнення Type I проти Type II — це розрізнення, яке найбільше має значення: Type I перевіряє, чи правильно розроблені контролі в одній точці часу, тоді як Type II перевіряє, чи ці контролі насправді працювали ефективно протягом 6–12 місячного вікна. Загальна вартість програми SOC 2 Type II — плата за аудит плюс оцінка готовності, виправлення й внутрішній час персоналу — зазвичай становить $30,000-150,000, з оплатою за аудит самостійно в діапазоні $8,000-50,000 плюс залежно від обсягу, згідно з опитуваннями вартості галузі комплаєнсу від Scytale та CyberArrow на 2026 рік. Оскільки повний звіт є конфіденційним і розповсюджується лише під NDA, значок SOC 2 на сторінці маркетингу підтверджує, що залучення мало місце — не які критерії були протестовані або що знайшов аудитор.

Комплаєнс, специфічний для сектора: PCI DSS, HIPAA, FedRAMP

Три сертифікації мають значення в основному для конкретних регульованих навантажень, а не для покупців колокейшну загалом:

Сертифікація	Кому вона потрібна	Ключовий механізм
PCI DSS	Будь-який орендар, який зберігає, обробляє або передає дані карток	Щорічне Attestation of Compliance (AOC) від Кваліфікованого оцінювача безпеки
HIPAA	Орендарі US healthcare, що обробляють захищену інформацію про здоров’я	Business Associate Agreement (BAA); офіційного сертифіката не існує
FedRAMP	Робочі навантаження хмара/хостингу федерального уряду США	Процес формальної авторизації, керований федеральною агенцією спонсора

Комплаєнс HIPAA — це явно спільна відповідальність: оператор об’єкта несе відповідальність за контроль фізичного доступу й безпеку навколишнього середовища, тоді як орендар залишається відповідальним за технічні гарантії, такі як шифрування й управління доступом на рівні додатків — ніякий BAA не передає це зобов’язання. FedRAMP — найвужча з трьох на практиці: лише 6 з 1444 об’єктів у нашому каталозі її перелічують, що відображає, як мало сайтів колокейшну переслідує федеральну авторизацію порівняно з гіпермасштабними хмарними регіонами, навколо яких було побудовано FedRAMP.

Що показує каталог Coloprice

Оскільки ми відстежуємо сертифікації як структуровані дані, а не маркетингові матеріали, цифри по 1444 каталогізованих об’єктам — це корисна перевірка реальності щодо того, як часто насправді кожна облика:

Сертифікація	Об’єкти, що їх цитують	Частка каталогу
ISO/IEC 27001	575	40%
PCI DSS	528	37%
SOC 2 (Type I, II або невизначена)	490	34%
ISO 22301	290	20%
ISO 50001	277	19%
HIPAA	158	11%
TIA-942 (будь-який рейтинг)	45	3%
Uptime Institute Tier Certification (конкретна нагорода)	61	4%
FedRAMP	6	0.4%

Джерело: каталог об’єктів Coloprice, складений зі списків сертифікацій, опублікованих операторами.

Трохи більше половини відстежуваних об’єктів (729 з 1444) публікують принаймні одну третосторонню сертифікацію будь-якого вигляду — означаючи, що майже половина не публікує жодну, що не обов’язково дискваліфікує lite-tier дата-центр, але варто відзначити в перевірці належної обережності. Розрив між використанням мови Tier (близько 100 об’єктів) та конкретними сертифікатами Uptime Institute (61) — це найясніша ілюстрація розрізнення між самодекларованим та аудитованим, описаним вище.

Як перевірити твердження про сертифікацію перед підписанням

1. Просіть документ, а не логотип. Сертифікат, Attestation of Compliance, або (під NDA) фактичний звіт SOC 2 — не зображення значка на веб-сайті.
2. Перевіряйте публічний реєстр, де він існує. Uptime Institute ведає пошуковим списком кожного Tier Certification, який він видав; об’єкт, що не перебуває в цьому списку й робить твердження Tier, саморобит.
3. Прочитайте твердження про обсяг у сертифікатах ISO. Підтвердьте, що сертифікат охоплює конкретний сайт і бізнес-підрозділ, з яким ви контрактуєтеся, а не просто материнську компанію.
4. Підтвердьте тип звіту SOC 2 та критерії. Type II має більшу вагу, ніж Type I; підтвердьте, які Trust Services Criteria (безпека, доступність, конфіденційність тощо) насправді були в обсягу.
5. Для PCI DSS просіть поточну AOC. Attestations закінчуються щорічно — AOC двохрічної давності не є поточним комплаєнсом.
6. Пам’ятайте, що HIPAA — це контракт, а не значок. Наполягайте на підписаному BAA, а не приймайте «HIPAA compliant» як самостійну претензію.

Що робити

Узгодьте сертифікацію з фактичним ризиком, яким ви управляєте, а не збирайте логотипи: покупці інфраструктури, що пріоритизують стійкість, повинні перевірити статус Uptime Institute Tier Certification або TIA-942 Rated проти публічного реєстру видавця, тоді як покупці з зобов’язаннями комплаєнсу повинні просити базове твердження про обсяг ISO, звіт SOC 2 або PCI AOC, а не приймати сторінку маркетингу в номіналу. Перехресно посилайтеся на твердження оператора проти нашого каталогу дата-центрів, який перелічує сертифікації як структуровані, задані джерелом дані на об’єкт, і використовуйте послугу цитування для запиту порівнюваної документації комплаєнсу по декількох операторах на одному ринку. Для механіки найбільш цитуємого рейтингу інфраструктури конкретно див. наш посібник за рівнями дата-центрів; як сертифікації впливають на оцінку ризику постачальника в більш широкому плані, див. наш контрольний список належної обережності.