Чому сертифікат ISO 27001 не гарантує успішне проходження аудиту PCI DSS дата-центру?

23.07.2026

Вибір дата-центру — це не лише питання надійності інфраструктури, а й вирішальний крок до відповідності вимогам PCI DSS. Стандарт ISO 27001 підтверджує зрілість процесів управління безпекою, проте не гарантує, що дата-центр автоматично відповідає всім вимогам цього аудиту.
Для підтвердження відповідності вимогам PCI DSS потрібні не звіти про загальні процеси, а чіткі й задокументовані докази виконання кожної вимоги.

Різні стандарти — різні критерії оцінювання

ISO 27001 та PCI DSS відрізняються підходами до інформаційної безпеки, оцінювання ризиків та фінальної мети:

● ISO 27001 оцінює загальну систему менеджменту інформаційної безпеки (СМІБ). Наявність сертифіката засвідчує, що компанія успішно реалізувала безпекові політики та впровадила обов’язкові інструменти моніторингу. Проте він гнучкий і дозволяє дата-центру самостійно визначати межі контролю, виключати певні зони та обирати рівень захисту.

● PCI DSS — галузевий стандарт безпеки, створений платіжними системами для захисту даних карткових транзакцій. Він передбачає обов’язкову перевірку специфічних технічних параметрів і містить вимоги, які не охоплюються стандартом ISO 27001.

Зокрема, розділ 9 PCI DSS встановлює вимоги до фізичної безпеки інформаційної інфраструктури, даних і носіїв, що використовуються для обробки платіжної інформації. Він передбачає посилений контроль фізичного доступу до серверного обладнання, ведення безперервного відеоспостереження та зберігання архіву записів щонайменше 90 днів. 

Під час перевірки на відповідність PCI DSS аудитор (QSA — Qualified Security Assessor) не може покладатися виключно на сертифікат ISO 27001 дата-центру, оскільки він не підтверджує виконання всіх вимог аудиту PCI DSS.

Навіть якщо окремі вимоги безпеки збігаються, аудитор зобов’язаний самостійно перевірити всі докази на відповідність вимогам PCI DSS. Отже, наявність ISO 27001 не є підтвердженням того, що компанія впровадила всі необхідні заходи безпеки платіжних даних.

Основні ризики для компанії

Відсутність PCI DSS у дата-центру автоматично ускладнює проходження відповідного аудиту для його клієнтів. У такому разі йому доведеться самостійно узгоджувати з дата-центром візит аудиторів PCI DSS та проведення фізичної перевірки інфраструктури. 

Наслідки — додатковий час на організацію аудиту, непередбачені витрати та ризик затягування сертифікації.

Проблема підтвердження відповідності

Без власного комплаєнсу дата-центру доведеться особисто приймати перевірки аудиторів клієнта. QSA зобов’язаний приїхати на об’єкт і самостійно оцінити вимоги PCI DSS. Проведення таких виїзних аудитів часто супроводжується внутрішнім спротивом з боку оператора дата-центру. Необхідність постійно супроводжувати ці процедури суттєво гальмує бізнес-процеси.

Конфіденційність дата-центру та затримка сертифікації 

Через захист комерційної таємниці та обмеження NDA дата-центри іноді не надають стороннім аудиторам PCI DSS журнали подій, схеми камер чи конфігурації безпеки. 

Без цих доказів неможливо затвердити RoC за Розділом 9, що зупиняє аудит і відкладає сертифікацію.

Бізнес-наслідки помилок

Невдалий вибір дата-центру завжди призводить до фінансових збитків та репутаційних ризиків:

● Попри повне фінансування аудиту PCI DSS замовником, процес сертифікації блокується через нездатність дата-центру підтвердити відповідність вимогам PCI DSS.
● Відтермінування релізу платіжного продукту та запуску транзакцій призводить до фінансових витрат.
● Якщо дата-центр відмовляється надавати QSA докази виконання вимог PCI DSS, компанії доводиться переносити ІТ-інфраструктуру до дата-центру, сертифікованого за PCI DSS. Така міграція вимагає додаткових витрат і створює ризики для безперервності процесів. 

Відсутність PCI DSS — це проблема й для самого дата-центру. Замість однієї планової перевірки на рік він змушений приймати аудиторів PCI DSS від кожного клієнта. Це відволікає персонал і загрожує конфіденційності інформації. 

Клієнти, навпаки, обирають великі дата-центри, які вже мають PCI DSS. Тож, щоб задовольнити ці критичні вимоги та уникнути хаосу з постійними перевірками, такі дата-центри проходять сертифікацію самостійно. 

Що необхідно перевірити перед підписанням контракту?

Щоб уникнути несподіваної зупинки аудиту, технічному директору (СТО) та керівнику служби інформаційної безпеки (CISO) варто оцінювати майбутніх партнерів за наступними трьома критеріями.

AoC (Attestation of Compliance)
Починайте вибір дата-центру з перевірки цього документа. Це єдине офіційне підтвердження відповідності стандарту PCI DSS. Якщо дата-центр має чинний AoC, вимоги до фізичного периметра (Розділ 9) будуть зараховані автоматично на основі перевірки іншого сертифікованого аудитора.

Модель спільної відповідальності (Shared Responsibility Model)
Оцінюйте надійність дата-центрів на основі цієї моделі. Глобальні хмарні провайдери (AWS чи Microsoft Azure) щорічно проходять повний цикл сертифікації за стандартом PCI DSS. Вони надають детальні звіти та атестати AoC через автоматизовані портали, що дозволяє клієнтам без перешкод їх завантажувати та надавати аудиторам.

Матриця відповідальності (Responsibility Matrix)
Щоб успішно пройти аудит, необхідно чітко розмежувати зони контролю між вашим бізнесом та дата-центром. Матриця відповідальності PCI DSS — це документ, який чітко визначає, хто саме відповідає за виконання кожної вимоги стандарту: клієнт, дата-центр чи обидві сторони. Варто обов’язково запросити матрицю у вашого дата-центру на початку підготовки. Ви маєте точно знати, які заходи (від охорони периметра й відеоспостереження до контролю доступу до серверних стійок) він повністю забезпечує, а які завдання безпеки залишаються під вашим контролем.

Підготовка до сертифікації з GetPCI

Наявність сертифіката ISO 27001 — вагома перевага, яка свідчить про системний підхід компанії до безпеки. Проте він жодним чином не замінює специфічні технічні та процедурні вимоги стандарту PCI DSS.

Для роботи з платіжними картковими даними критично важливо використовувати інфраструктуру та процеси, які повністю відповідають регламентам міжнародних платіжних систем.

Підготуйтеся до сертифікації PCI DSS без затримок і непередбачених витрат! Залиште заявку на безкоштовну консультацію GetPCI вже сьогодні, щоб отримати чіткий план дій і впевненість у результаті.