Ukratko: ISO 27001 i TISAX web-poslužitelje dotiču osobito kroz tri zahtjeva: ranjivosti se moraju prepoznati i obraditi, pružatelji usluga poput hostinga i agencija moraju se usmjeravati, a sigurnosni incidenti trebaju uređen tijek. Situacija poput PHP2Shella za svaki je ISMS praktičan test. Tko procjenu, zakrpu i ponovno pokretanje dokumentira razumljivo, ima dobru osnovu za sljedeći audit. Certifikat ili oznaka ne zamjenjuju zakrpu.
Što su ISO 27001 i TISAX, u dva odlomka
ISO/IEC 27001 opisuje zahtjeve za sustav upravljanja informacijskom sigurnošću, skraćeno ISMS. Misli se na uređen krug: procijeniti rizike, odrediti mjere, provesti ih, provjeriti i poboljšati. Aktualno izdanje iz 2022. u Prilogu A sadrži katalog od 93 mjere u četiri teme. Koje od njih vrijede, odlučuje tvrtka na temelju svoje procjene rizika i bilježi to u izjavi o primjenjivosti.
TISAX je u automobilskoj industriji raširen mehanizam provjere i razmjene. Njime upravlja ENX Association, a osnova je katalog zahtjeva ISA, koji održava ENX, a objavljuje VDA (Udruga njemačke automobilske industrije). Neovisni pružatelji ispitivanja provode procjenu (assessment) čiji opseg ovisi o potrebi zaštite i kreće se od provjera dokumenata do termina na licu mjesta. Rezultati se prema ENX-u dodjeljuju kao oznake (labels), vrijede tri godine i dijele se putem ENX portala samo s odabranim partnerima.
ISO 27001 na web-poslužitelju: koji se zahtjevi primjenjuju?
Web-poslužitelj u ISMS-u rijetko je zasebno poglavlje. Pojavljuje se na više mjesta, a upravo se tamo stvaraju nedostaci. Sljedeći pregled opće razvrstava najvažnije teme. Ne zamjenjuje uvid u Vašu vlastitu izjavu o primjenjivosti.
| Tema u ISMS-u | Što to znači za web-poslužitelj | Dokaz koji pomaže na auditu |
|---|---|---|
| Popis imovine | Svaka web-stranica, svaki poslužitelj, svaka verzija PHP-a je evidentirana | Aktualan popis s operaterom, verzijom, odgovornom osobom |
| Postupanje s tehničkim ranjivostima | Obavijesti poput PHP2Shella procjenjuju se i obrađuju | Tiket s procjenom, odlukom, datumom zakrpe |
| Odnosi s dobavljačima | Pružatelj hostinga i agencija imaju jasne sigurnosne obveze | Ugovor, podjela zadataka, pisana potvrda stanja zakrpe |
| Bilježenje i nadzor | Logovi web-poslužitelja se čuvaju i analiziraju | Pravilo čuvanja, primjer analize |
| Upravljanje incidentima | Sumnja se prijavljuje, procjenjuje i zaključuje | Zapisnik o incidentu, lessons learned |
| Upravljanje konfiguracijom | Postavke PHP-a i web-poslužitelja su utvrđene | Ciljna konfiguracija i provjera odstupanja |
Kod TISAX-a primjenjuju se usporedive teme jer je katalog ISA usklađen s drugim važnim normama. Uz to neki ciljevi provjere, primjerice zaštita prototipa, traže osobitu pažnju kod sustava putem kojih partneri razmjenjuju podatke. To mogu biti i portali na PHP osnovi.
PHP2Shell kao praktičan test za ISMS
Dana 21. 10. 2026. PHP projekt objavio je verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja. Funkcionalan ISMS u takvoj bi situaciji trebao pokrenuti lanac koji se kasnije može dokazati.
- Zaprimanje: Tko je kada primio obavijest i gdje je evidentirana?
- Procjena: Koji su sustavi pogođeni? To pretpostavlja aktualan popis, vidi Znati što radi.
- Odluka: Zakrpa, prijelazna mjera ili privremeno isključenje, s obrazloženjem i imenom osobe koja odlučuje.
- Provedba: Stanje paketa, ponovno pokretanje svih PHP procesa, kontrola. Kod backportova distribucije vrijedi changelog paketa, a ne prikazani broj verzije; kako se to dokazuje, pokazuje članak Kako ispravno provjeriti verziju PHP-a i stanje zakrpe.
- Dobavljači: Pisana potvrda pružatelja hostinga da je zakrpano i ponovno pokrenuto.
- Naknadna kontrola: Provjera znakova kompromitacije od 17. 10. 2026., jer zakrpa prethodne provale ne poništava.
Kako iz tog jednokratnog lanca napraviti trajan tijek, opisuju Upravljanje ranjivostima za srednje tvrtke i Upravljanje zakrpama kao proces.
Česti nedostaci u dokumentaciji
U praksi dokaz rijetko pada na tehnici, nego na prazninama u lancu. Tipična je web-stranica koju odjel vodi s agencijom i koje nema na popisu. Jednako su česti ugovori s pružateljem hostinga bez izjave o tome koliko se brzo instaliraju sigurnosna ažuriranja i obavještavaju li se klijenti.
Još jedan klasik: tiket za zakrpu je zatvoren, ali nitko nije ponovno pokrenuo PHP procese. Formalno je točka obavljena, tehnički stari kod i dalje radi. Dobar dokaz zato sadrži ne samo „ažuriranje instalirano“, nego i ponovno pokretanje te kontrolu poslije.
Teško je i sa sustavima koji se ne mogu odmah zakrpati, primjerice aplikacija na PHP-u 8.1. Ovdje ISMS ne traži čuda, ali traži svjesnu odluku: koje prijelazne mjere vrijede, tko je prihvatio preostali rizik i do kada je planiran prijelaz? Pisano prihvaćanje rizika s datumom isteka na auditu je znatno bolje od zastarjelog sustava koji šutke i dalje radi. Slično su važni logovi. Stručni tisak i stručni autori savjetovali su nakon PHP2Shella da se logovi poslužitelja čuvaju od 20. 10. 2026. Dopušta li to Vaše pravilo čuvanja i nalaze li se logovi kod pružatelja hostinga ili kod Vas, treba razjasniti prije sljedećeg incidenta, a ne tijekom njega.
Ako Vaša tvrtka uz to spada pod NIS2, ti se zahtjevi pojačavaju. Osnove su u članku NIS2 i sigurnost web-poslužitelja. To je opća informacija, a ne pravni savjet.
Certifikat ili oznaka opisuje stanje sustava upravljanja u trenutku provjere. Ne štiti nijedan pojedinačni poslužitelj od nove ranjivosti. Odlučujuće je da tijek u kritičnom trenutku stvarno djeluje.
Kako PHP SOS konkretno pomaže?
- Evidentiramo Vaše web-poslužitelje i PHP instalacije tako da se uklope u popis Vašeg ISMS-a.
- Zakrpamo i dokumentiramo svojom uslugom PHP zakrpa: stanje paketa, ponovno pokretanje, kontrola, s datumom i dokazima.
- Formuliramo pitanja za pružatelje hostinga i agencije te ocjenjujemo njihove odgovore za Vaše upravljanje dobavljačima.
- Odgovornoj osobi za ISMS isporučujemo tehničke činjenice. Procjena u sustavu upravljanja i audit ostaju kod Vas i Vašeg tijela za provjeru.
Zaključak
ISO 27001 i TISAX ne traže određeni web-poslužitelj, ali traže razumljivo postupanje s njim. PHP2Shell pokazuje surađuju li popis, obrada ranjivosti i usmjeravanje dobavljača. Tko uredno dokaže lanac od zaprimanja, procjene, zakrpe, ponovnog pokretanja i naknadne kontrole, nema u rukama samo audit, nego prije svega poslužitelj.
Česta pitanja
Pripada li web-stranica tvrtke u područje primjene ISO 27001?
To ovisi o tome kako je Vaša tvrtka odredila područje primjene. Ako web-stranica obrađuje podatke klijenata, povezana je s internim sustavima ili je vodi pružatelj usluga, mnogo govori u prilog tome da je se uključi ili je barem obuhvati upravljanjem dobavljačima.
Je li TISAX certifikat?
ENX Association govori o procjeni (assessment) koju provode neovisni pružatelji ispitivanja, a rezultati se dodjeljuju kao TISAX oznake (labels). Oznake prema ENX-u vrijede tri godine i ciljano se dijele s partnerima putem ENX portala, nisu javne.
Moram li nakon PHP2Shella obavijestiti svog revizora?
Opće obveze za to nema. Vaš ISMS bi ipak trebao dokumentirati kako ste ranjivost procijenili i obradili. Te se dokumente na sljedećem auditu tipično pregledava.
Koja je verzija ISO 27001 aktualna?
Mjerodavno je izdanje ISO/IEC 27001:2022. Njezin Prilog A razvrstava mjere u četiri teme: organizacijske, osobne, fizičke i tehnološke.