Надо ли доверять аттестованным ЦОД?

Аттестация ЦОД (добровольная) - это прежде всего маркетинговая акция для отстройки от конкурентов и создания добавленной стоимости. Аттестующая организация не гарантирует защиту размещаемых в ЦОД систем или их соответствие каким-либо требованиям и никакой ответственности за это не несет. При аттестации проверяется выполнение требований конкретных нормативных документов в отношении предоставленного для аттестации конкретного оборудования, СЗИ, ПО (конкретных конфигураций), помещений и документов. Даже если серверная часть защищена, но сверху установить дырявое приложение с доступом из интернет, то очевидно, что система в целом (приложение + сервер + каналы связи + ...) не защищена и никаким требованиям не соответствует. Другими словами, то что у ЦОД имеется некий аттестат по УЗ3 или УЗ2 не означает, что размещаемые там ИС автоматически становятся защищены по УЗ3 или УЗ2, а оператор этих систем выполнил требования регуляторов.

Имеет смысл посмотреть, что написано в аттестате (область аттестации, нормативные документы, условия действия аттестата, сроки, исключения и т.д.). Может статься, что размещаемая в ЦОД система вообще никак не связана ни физически, ни логически с аттестованными объектами ЦОД. Также надо посмотреть, что написано в договоре с ЦОД и в SLA. Как определена область ответственности ЦОД в части реализации защитных мер, чем она ограничивается и чем обеспечивается. Если это четко в договоре не определено, то ответственность ЦОД ничем не отличается от ответственности обычного хостинг-провайдера, т.е. близка к нулю и укладывается в рамки действующего тарифа за обслуживание.

Подробнее: http://www.iso27000.ru/blogi/aleksandr-astahov/nado-li-doveryat-attestovannym-cod