Een security manager ontvangt het ISO 27001 certificaat van OVHcloud, vinkt het vakje ‘compliance’ aan en start de migratie van een bedrijfsapplicatie naar Public Cloud. Drie maanden later vraagt de auditor of de automatische backups, het administratiepanel en de outsourcingondersteuning binnen de gecertificeerde scope vallen. Stilte. Het insigne was echt; dekking, gedeeltelijk.
De nuttige vraag is niet: “Heeft OVHcloud ISO 27001?” » — het antwoord is ja op een deel van het aanbod. Het gaat om: *welke dienst, welke regio, welke ondersteunende functies worden daadwerkelijk geaudit voor uw architectuur?*
Wat een ISO 27001-certificaat garandeert – en wat het uitsluit
De ISO/IEC 27001-norm certificeert “een host” niet in bulk. Het certificeert een informatiebeveiligingsbeheersysteem (ISMS) dat wordt toegepast op een perimeter beschreven door de organisatie: locaties, processen, producten, regio's, soms juridische entiteiten.
Met een speler zo groot als OVHcloud kan dit bereik bijvoorbeeld Hosted Private Cloud-lijnen of geïdentificeerde datacenters omvatten, terwijl andere bereiken, preview-services of componenten die worden beheerd door niet-beursgenoteerde dochterondernemingen en onderaannemers buiten het bereik blijven.
Een ISO 27001-logo op een productpagina is geen bewijs. Dit is een uitnodiging om het certificaat te openen.
Lees de OVHcloud-perimeter in vier stappen
Voordat u ondertekent, heeft u drie documenten nodig: het certificaat (nummer, vervaldatum, certificerende instantie), de verklaring van toepasbaarheid en, indien beschikbaar, de scope-bijlage waarin de diensten en locaties worden beschreven.
| Element | Wat te controleren | Waarschuwingssignaal |
|---|---|---|
| Exact product | Public Cloud, Hosted Private Cloud, bare metal, e-mail, objectopslag | “Cloud OVHcloud” zonder bereiknaam |
| Regio / DC | Gravelines, Roubaix, Straatsburg, enz. | Geselecteerde regio ontbreekt in bijlage |
| Gerelateerde functies | Back-ups, snapshots, load balancer, IAM | Niet genoemde beheerde services |
| Onderaannemers | L3-ondersteuning, CDN, cloud van derden | Ondoorzichtige ketting |
| Contractuele entiteit | OVH SAS, lokale dochteronderneming | Contract ondertekend met een entiteit buiten het certificaat |
Controleer vervolgens uw echte architectuur: database, bestanden, logs, CI/CD-pijplijnen, beheerderstoegang. Elke blootgelegde steen blijft uw risico dat moet worden gedocumenteerd in de nalevingsanalyse.
Public Cloud, private cloud, gedeeld: drie mogelijke scopes
OVHcloud verkoopt geen enkele “gecertificeerde cloud”. Een project op Public Cloud (instances, beheerde Kubernetes, objectopslag) heeft niet dezelfde gedocumenteerde garanties als een zakelijke Hosted Private Cloud, noch als historische gedeelde hosting.
Concreet:
- Lijn de productreferentie die u koopt met de exacte regel op het certificaat of de SoA.
- Controleer de regio: een datacenter in Frankrijk dekt niet automatisch een Canadese replicatie of een niet-geregistreerde zone.
- Isoleer beheerde services: automatische back-ups, WAF, DBaaS kunnen worden beheerd door afzonderlijke teams of stacks.
- Kruis met HDS als u gezondheidsgegevens verwerkt: ISO 27001 vervangt geen geldig HDS-certificaat op het juiste product.
Ons OVHcloud bestand geeft ISO 27001 aan in de publieke matrix – nuttig als uitgangspunt, onvoldoende als auditbewijs.
Veel voorkomende fouten bij due diligence
Verwar de naleving van de AVG met ISO 27001. De AVG regelt de verwerking van persoonsgegevens; de ISO certificeert een ISMS. OVHcloud kan via de DPA worden afgestemd op de AVG, terwijl het een smallere ISO-scope heeft dan uw stack.
Ga uit van back-updekking. Back-upkopieën vormen vaak het grootste dekkingstekort: elders opgeslagen, hersteld door een tool van derden of alleen door de klant beheerd.
Negeer het model van gedeelde verantwoordelijkheid. Bij Public Cloud blijven netwerkconfiguratie, IAM-rechten en encryptie aan de clientzijde uw verantwoordelijkheid – buiten het gecertificeerde bereik aan de providerzijde als deze slecht geconfigureerd zijn.
Vergelijk alleen al op het logo twee hosts. Voor een serieuze benchmark opent u de gids ISO 27001 in Europa: vergelijk de reikwijdte van een certificaat en vergelijk de bijlagen met een identiek scenario.
Bovenkant: op het certificaat staat niet op welke knop je hebt geklikt
Dit is het gat dat de ‘Trust’-pagina’s ontwijken: de certificering getuigt van een systeem beschreven door OVHcloud, niet van de configuratie die u in het paneel heeft samengesteld.
Beslis en ga vooruit zonder blinde vlek
Maak een lijst van uw stack: rekenkracht, opslag, netwerk, back-ups, logboeken, beheerderstoegang. Vraag certificaat, SoA en scopebijlage aan voor het beoogde product en de regio. Markeer ontbrekende of onduidelijke onderdelen rood; aanvullen met contractuele maatregelen of product wijzigen.
Test een herstelbewerking en documenteer wie wat in het incident uitvoert. Vergelijk via onze vergelijker en de gids RGPD, HDS, SecNumCloud als het project gevoelige gegevens beïnvloedt. Blader door de overzicht om OVHcloud te vergelijken met andere gecertificeerde spelers op basis van dezelfde meetbare criteria.
Veelgestelde vragen
Is OVHcloud ISO 27001 gecertificeerd voor het gehele aanbod?
Nee. De certificering heeft betrekking op een gedefinieerde ISMS-scope. Elk product en elke regio moet worden geverifieerd in het certificaat of SoA; een mondiaal logo is niet voldoende.
Waar vindt u de exacte perimeter bij OVHcloud?
Vraag het actuele certificaat, de verklaring van toepassing en de bijlage met diensten en locaties aan. De marketingpagina's vervangen deze documenten niet.
ISO 27001 Is OVHcloud voldoende voor gezondheidsgegevens?
Nee in Frankrijk: de HDS is een aparte verplichting. OVHcloud biedt HDS-aanbiedingen, maar u moet controleren of uw product en uw regio zijn opgenomen in de HDS-certificering, en niet alleen ISO 27001.
Hoe OVHcloud vergelijken met een andere gecertificeerde host?
Breng hetzelfde technische scenario op één lijn en vergelijk vervolgens de geschreven perimeters. Twee ISO 27001-certificaten kunnen zeer verschillende garanties dekken.
De volgende keer dat een verkoper zegt: "wij zijn ISO 27001", antwoord dan: laat me de regel zien die mijn product, mijn regio en mijn back-ups omvat.