Lyhyesti: ISO 27001 ja TISAX koskevat verkkopalvelimia erityisesti kolmen vaatimuksen kautta: haavoittuvuudet on tunnistettava ja käsiteltävä, palveluntarjoajia kuten hosting-yrityksiä ja toimistoja on ohjattava, ja tietoturvahäiriöille tarvitaan säännelty kulku. PHP2Shellin kaltainen tilanne on jokaiselle tietoturvajohtamisjärjestelmälle käytännön koe. Joka dokumentoi arvioinnin, korjauksen ja uudelleenkäynnistyksen jäljitettävästi, saa hyvän pohjan seuraavaa auditointia varten. Sertifikaatti tai tunnus ei korvaa korjausta.
Mitä ISO 27001 ja TISAX ovat kahdessa kappaleessa
ISO/IEC 27001 kuvaa vaatimukset tietoturvan johtamisjärjestelmälle (ISMS). Tarkoitus on järjestetty kierto: riskien arviointi, toimenpiteiden määrittely, toteutus, tarkastus ja parantaminen. Vuoden 2022 nykyinen painos sisältää liitteessä A 93 toimenpiteen luettelon neljässä teemassa. Mitkä niistä pätevät, päättää yritys riskiarviointinsa perusteella ja kirjaa sen soveltuvuuslausumaan.
TISAX on autoteollisuudessa yleinen tarkastus- ja tiedonvaihtomekanismi. Sitä ohjaa ENX Association, perustana on ENX:n ylläpitämä ja VDA:n julkaisema ISA-vaatimusluettelo. Riippumattomat tarkastuspalvelut tekevät arvioinnin, jonka laajuus riippuu suojaustarpeesta ja ulottuu asiakirjatarkastuksista paikan päällä tehtäviin tapaamisiin. Tulokset annetaan ENX:n mukaan tunnuksina, ne ovat voimassa kolme vuotta ja niitä jaetaan ENX-portaalin kautta vain valittujen kumppanien kanssa.
ISO 27001 verkkopalvelimella: mitkä vaatimukset pätevät?
Verkkopalvelin on ISMS:ssä harvoin oma lukunsa. Se esiintyy useassa kohdassa, ja juuri siellä syntyy aukkoja. Seuraava yleiskatsaus kohdistaa tärkeimmät teemat yleisellä tasolla. Se ei korvaa omaa soveltuvuuslausumaanne.
| Aihe ISMS:ssä | Mitä se tarkoittaa verkkopalvelimella | Todiste, joka auttaa auditoinnissa |
|---|---|---|
| Omaisuuden luettelo | Jokainen verkkosivusto, palvelin ja PHP-versio on kirjattu | Ajan tasalla oleva lista ylläpitäjästä, versiosta ja vastuuhenkilöstä |
| Teknisten haavoittuvuuksien käsittely | Tiedotteet kuten PHP2Shell arvioidaan ja käsitellään | Tiketti, jossa arviointi, päätös ja korjauspäivä |
| Toimittajasuhteet | Hosting-yrityksellä ja toimistolla on selkeät tietoturvavelvoitteet | Sopimus, työnjako, kirjallinen vahvistus korjaustilasta |
| Lokitus ja valvonta | Verkkopalvelimen lokit säilytetään ja arvioidaan | Säilytyssääntö, esimerkki arvioinnista |
| Häiriöiden hallinta | Epäily ilmoitetaan, arvioidaan ja suljetaan | Häiriöpöytäkirja, opitut asiat |
| Konfiguraationhallinta | PHP:n ja verkkopalvelimen asetukset on määritetty | Tavoiteasetus ja poikkeamien tarkastus |
TISAXissa pätevät vastaavat aiheet, koska ISA-luettelo on sovitettu yhteen muiden merkittävien standardien kanssa. Lisäksi jotkin tarkastustavoitteet, esimerkiksi prototyyppien suojaus, edellyttävät erityistä huolellisuutta järjestelmissä, joiden kautta kumppanit vaihtavat tietoja. Ne voivat olla myös PHP-pohjaisia portaaleja.
PHP2Shell ISMS:n käytännön kokeena
21.10.2026 PHP-projekti julkaisi versiot 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1:lle ja vanhemmille ei enää ole virallisia päivityksiä. Toimivan ISMS:n pitäisi tässä tilanteessa käynnistää ketju, joka voidaan myöhemmin todistaa.
- Vastaanotto: Kuka sai tiedotteen ja milloin, ja mihin se on kirjattu?
- Arviointi: Mitkä järjestelmät ovat kohteena? Se edellyttää ajan tasalla olevaa luetteloa, katso Tietäkää, mitä käytössä on.
- Päätös: Korjaus, väliaikainen toimenpide tai tilapäinen sulkeminen, perusteluineen ja päättäjän nimellä.
- Toteutus: Paketin tila, kaikkien PHP-prosessien uudelleenkäynnistys, tarkastus. Jakelun backporteissa ratkaisee paketin muutosloki, ei näytetty versionumero; miten se osoitetaan, näyttää sivu PHP-version ja korjaustilan tarkistaminen oikein.
- Toimittajat: Hosting-yrityksen kirjallinen vahvistus, että korjaus on asennettu ja uudelleenkäynnistys tehty.
- Jälkitarkastus: Vaarantumisen merkkien tarkistus 17.10.2026 alkaen, koska korjaus ei kumoa aiempia tunkeutumisia.
Miten tästä kertaluonteisesta ketjusta tehdään pysyvä toimintatapa, kuvaavat Haavoittuvuuksien hallinta pk-yrityksessä ja Päivitysten hallinta prosessina.
Yleisiä heikkouksia dokumentaatiossa
Käytännössä todistaminen kaatuu harvoin tekniikkaan vaan ketjun aukkoihin. Tyypillinen on verkkosivusto, jota osasto ylläpitää toimiston kanssa ja joka puuttuu luettelosta. Yhtä yleisiä ovat hosting-sopimukset ilman lausumaa siitä, kuinka nopeasti tietoturvapäivitykset asennetaan ja tiedotetaanko asiakkaille.
Toinen klassikko: päivitystiketti on suljettu, mutta kukaan ei ole käynnistänyt PHP-prosesseja uudelleen. Muodollisesti asia on hoidettu, teknisesti vanha koodi pyörii yhä. Hyvä todiste sisältää siksi paitsi ”päivitys asennettu” myös uudelleenkäynnistyksen ja sen jälkeisen tarkastuksen.
Vaikeaa on myös järjestelmissä, joita ei voi päivittää heti, esimerkiksi PHP 8.1:llä toimivassa sovelluksessa. Tässä ISMS ei vaadi ihmeitä mutta tietoisen päätöksen: mitkä väliaikaiset toimenpiteet pätevät, kuka on hyväksynyt jäljellä olevan riskin ja mihin mennessä siirtyminen on suunniteltu? Kirjallinen riskin hyväksyntä päättymispäivineen on auditoinnissa selvästi parempi kuin hiljaa jatkava vanha järjestelmä. Samoin tärkeitä ovat lokit. Ammattilehdistö ja alan kirjoittajat neuvoivat PHP2Shellin jälkeen säilyttämään palvelinlokit 20.10.2026 alkaen. Se, riittääkö säilytyssääntönne siihen ja ovatko lokit hosting-yrityksellä vai teillä, pitäisi selvittää ennen seuraavaa häiriötä, ei sen aikana.
Jos yrityksenne kuuluu lisäksi NIS2:n piiriin, nämä vaatimukset vahvistuvat. Pääpiirteet löytyvät sivulta NIS2 ja verkkopalvelimen tietoturva. Tämä on yleistä tietoa, ei oikeudellista neuvontaa.
Sertifikaatti tai tunnus kuvaa johtamisjärjestelmän tilaa tarkastushetkellä. Se ei suojaa yksittäistä palvelinta uudelta aukolta. Ratkaisevaa on, että toimintatapa todella toimii hätätilanteessa.
Miten PHP SOS auttaa konkreettisesti?
- Kirjaamme verkkopalvelimenne ja PHP-asennuksenne niin, että ne sopivat ISMS:nne luetteloon.
- Päivitämme ja dokumentoimme PHP-korjauspalvelullamme: paketin tila, uudelleenkäynnistys, tarkastus, päivämäärin ja todistein.
- Muotoilemme kysymykset hosting-yrityksille ja toimistoille ja arvioimme niiden vastaukset toimittajahallintaanne varten.
- Toimitamme ISMS-vastaavallenne tekniset tosiasiat. Arviointi johtamisjärjestelmässä ja auditointi jäävät teille ja tarkastuslaitokselle.
Yhteenveto
ISO 27001 ja TISAX eivät vaadi tiettyä verkkopalvelinta, mutta jäljitettävää suhtautumista siihen. PHP2Shell osoittaa, toimivatko luettelo, haavoittuvuuksien käsittely ja toimittajahallinta yhdessä. Joka todistaa ketjun vastaanotto, arviointi, korjaus, uudelleenkäynnistys ja jälkitarkastus siististi, on saanut haltuunsa paitsi auditoinnin myös ennen kaikkea palvelimensa.
Usein kysytyt kysymykset
Kuuluuko yrityksen verkkosivusto ISO 27001 -standardin soveltamisalaan?
Se riippuu siitä, miten yrityksenne on määrittänyt soveltamisalan. Jos verkkosivusto käsittelee asiakastietoja, on yhteydessä sisäisiin järjestelmiin tai sitä ylläpitää palveluntarjoaja, on monta syytä ottaa se mukaan tai ainakin kirjata se toimittajahallinnan kautta.
Onko TISAX sertifikaatti?
ENX Association puhuu riippumattomien tarkastuspalvelujen tekemästä arvioinnista (assessment), jonka tulokset annetaan TISAX-tunnuksina (label). ENX:n mukaan tunnukset ovat voimassa kolme vuotta ja niitä jaetaan kumppaneiden kanssa kohdennetusti ENX-portaalin kautta, ne eivät ole julkisia.
Onko minun PHP2Shellin jälkeen ilmoitettava tarkastajalle?
Yleistä velvollisuutta siihen ei ole. Tietoturvajohtamisjärjestelmänne pitäisi kuitenkin dokumentoida, miten arvioitte ja käsittelitte haavoittuvuuden. Nämä asiakirjat tyypillisesti katsotaan seuraavassa auditoinnissa.
Mikä ISO 27001 -versio on ajantasainen?
Määräävä on painos ISO/IEC 27001:2022. Sen liite A jäsentää toimenpiteet neljään teemaan: organisatoriset, henkilöihin liittyvät, fyysiset ja teknologiset.