Röviden: Az ISO 27001 és a TISAX három követelményen keresztül érinti különösen a webszervereket: a sebezhetőségeket fel kell ismerni és kezelni kell, a szolgáltatókat, például a tárhelyszolgáltatókat és az ügynökségeket irányítani kell, és a biztonsági incidenseknek szabályozott folyamatra van szükségük. Egy olyan helyzet, mint a PHP2Shell, minden ISMS számára gyakorlati próba. Aki az értékelést, a javítást és az újraindítást követhetően dokumentálja, jó alapot teremt a következő auditra. Egy tanúsítvány vagy címke nem pótolja a javítást.
Mi az ISO 27001 és a TISAX, két bekezdésben
Az ISO/IEC 27001 az információbiztonsági irányítási rendszer, röviden ISMS követelményeit írja le. Rendezett ciklusról van szó: kockázatok értékelése, intézkedések meghatározása, megvalósítása, ellenőrzése és javítása. A 2022-es aktuális kiadás az A mellékletében négy témában 93 intézkedésből álló katalógust tartalmaz. Hogy ezek közül melyek érvényesek, azt a vállalkozás a kockázatértékelése alapján dönti el, és az alkalmazhatósági nyilatkozatban rögzíti.
A TISAX az autóiparban elterjedt vizsgálati és információcsere-mechanizmus. Az ENX Association irányítja, alapja az ISA követelménykatalógus, amelyet az ENX gondoz, és a VDA (az Autóipari Szövetség) tesz közzé. Független vizsgálati szolgáltatók értékelést végeznek, amelynek terjedelme a védelmi igénytől függ, és a dokumentumellenőrzéstől a helyszíni időpontokig terjed. Az eredményeket az ENX szerint címkékként adják ki, három évig érvényesek, és az ENX-portálon keresztül csak kiválasztott partnerekkel osztják meg őket.
ISO 27001 a webszervernél: mely követelmények érvényesek?
Egy webszerver az ISMS-ben ritkán külön fejezet. Több helyen felbukkan, és éppen ott keletkeznek hiányosságok. A következő áttekintés általánosan rendezi a legfontosabb témákat. Nem helyettesíti a saját alkalmazhatósági nyilatkozata áttekintését.
| Téma az ISMS-ben | Mit jelent ez a webszervernél | Igazolás, amely segít az auditon |
|---|---|---|
| Az eszközök leltára | Minden weboldal, szerver és PHP-verzió fel van mérve | Aktuális lista üzemeltetővel, verzióval, felelőssel |
| A műszaki sebezhetőségek kezelése | Az olyan közleményeket, mint a PHP2Shell, értékelik és kezelik | Ticket értékeléssel, döntéssel, a javítás dátumával |
| Szállítói kapcsolatok | A tárhelyszolgáltatónak és az ügynökségnek egyértelmű biztonsági kötelezettségei vannak | Szerződés, feladatmegosztás, írásbeli megerősítés a javítási állapotról |
| Naplózás és felügyelet | A webszerver-naplókat megőrzik és kiértékelik | Megőrzési szabály, példa egy kiértékelésre |
| Incidenskezelés | A gyanút jelentik, értékelik és lezárják | Incidensjegyzőkönyv, lessons learned |
| Konfigurációkezelés | A PHP- és webszerver-beállítások rögzítve vannak | Tervezett konfiguráció és az eltérések ellenőrzése |
A TISAX-nál hasonló témák érvényesek, mert az ISA-katalógus összhangban van más jelentős szabványokkal. Ezenkívül egyes vizsgálati célok, például a prototípusvédelem, különös gondosságot követelnek azoknál a rendszereknél, amelyeken keresztül partnerek adatot cserélnek. Ezek lehetnek PHP-alapú portálok is.
A PHP2Shell mint az ISMS gyakorlati próbája
-
- 21-én a PHP-projekt kiadta a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziókat. A PHP 8.1-hez és régebbiekhez már nincsenek hivatalos frissítések. Egy működő ISMS-nek ebben a helyzetben olyan láncot kell elindítania, amely később igazolható.
-
Beérkezés: Ki kapta meg mikor a közleményt, és hol van rögzítve?
- Értékelés: Mely rendszerek érintettek? Ez aktuális leltárt feltételez, lásd Tudni, mi fut.
- Döntés: Javítás, átmeneti intézkedés vagy átmeneti lekapcsolás, indoklással és a döntő személy nevével.
- Megvalósítás: Csomagállapot, az összes PHP-folyamat újraindítása, ellenőrzés. A disztribúció backportjainál a csomag changelogja számít, nem a megjelenített verziószám; hogyan igazolható ez, azt a PHP-verzió és javítási állapot helyes ellenőrzése mutatja.
- Szállítók: A tárhelyszolgáltató írásbeli megerősítése arról, hogy javított és újraindított.
- Utóellenőrzés: Egy kompromittálódásra utaló jelek vizsgálata 2026. 10. 17. óta, mert a javítás nem teszi meg nem történtté a korábbi behatolásokat.
Hogyan lehet ebből az egyszeri láncból tartós folyamatot csinálni, azt a Sebezhetőségkezelés a közép- és kisvállalkozásoknál és a Patchmenedzsment folyamatként írja le.
Gyakori gyengeségek a dokumentációban
A gyakorlatban az igazolás ritkán a technikán bukik el, hanem a lánc hiányosságain. Tipikus eset egy olyan weboldal, amelyet egy szakosztály üzemeltet egy ügynökséggel, és amely hiányzik a leltárból. Ugyanilyen gyakoriak a tárhelyszolgáltatói szerződések, amelyek nem tartalmaznak kijelentést arról, milyen gyorsan telepítik a biztonsági frissítéseket, és tájékoztatják-e az ügyfeleket.
Egy másik klasszikus: a patch-ticket le van zárva, de senki sem indította újra a PHP-folyamatokat. Formailag a pont elintézett, technikailag a régi kód fut tovább. Egy jó igazolás ezért nem csak azt tartalmazza, hogy „frissítés telepítve”, hanem az újraindítást és az utána végzett ellenőrzést is.
Nehézzé válik a helyzet azoknál a rendszereknél is, amelyeket nem lehet azonnal javítani, például egy PHP 8.1-en futó alkalmazásnál. Itt az ISMS nem követel csodát, de tudatos döntést igen: mely átmeneti intézkedések érvényesek, ki fogadta el a fennmaradó kockázatot, és meddig tervezik az átállást? Egy lejárati dátummal ellátott írásbeli kockázatvállalás az auditon lényegesen jobb, mint egy csendben tovább futó régi rendszer. Hasonlóan fontosak a naplók. A szakmai sajtó és a szakmai szerzők a PHP2Shell után azt javasolták, hogy a szervernaplókat 2026. 10. 20-tól őrizzék meg. Hogy az Ön megőrzési szabálya ezt lehetővé teszi-e, és hogy a naplók a tárhelyszolgáltatónál vagy Önnél vannak-e, azt a következő incidens előtt kell tisztázni, nem közben.
Ha a vállalkozása ezenkívül a NIS2 hatálya alá tartozik, ezek a követelmények erősödnek. Az alapokat a NIS2 és a webszerverek biztonsága tartalmazza. Ez általános tájékoztatás, nem jogi tanácsadás.
Egy tanúsítvány vagy címke egy irányítási rendszer állapotát írja le a vizsgálat időpontjában. Egyetlen szervert sem véd egy új rés ellen. Az a döntő, hogy a folyamat éles helyzetben ténylegesen működik.
Hogyan segít konkrétan a PHP SOS?
- Úgy mérjük fel a webszervereit és PHP-telepítéseit, hogy illeszkedjenek az ISMS-e leltárába.
- A PHP-patch-szolgáltatásunkkal javítunk és dokumentálunk: csomagállapot, újraindítás, ellenőrzés, dátummal és bizonylatokkal.
- Megfogalmazzuk a kérdéseket a tárhelyszolgáltatóknak és az ügynökségeknek, és értékeljük a válaszaikat a szállítói menedzsmentje számára.
- Az ISMS-felelősének átadjuk a műszaki tényeket. Az irányítási rendszerben végzett értékelés és az audit Önnél és a vizsgálati szervezetnél marad.
Összegzés
Az ISO 27001 és a TISAX nem követel meg egy bizonyos webszervert, de követhető bánásmódot igen vele. A PHP2Shell megmutatja, hogy a leltár, a sebezhetőségek kezelése és a szállítók irányítása együttműködik-e. Aki rendesen igazolja a beérkezés, az értékelés, a javítás, az újraindítás és az utóellenőrzés láncát, annak nemcsak az auditja van rendben, hanem mindenekelőtt a szervere is.
Gyakori kérdések
Beletartozik a vállalati weboldal egy ISO 27001 hatókörébe?
Ez attól függ, hogyan határozta meg a vállalkozása a hatókört. Ha a weboldal ügyféladatokat dolgoz fel, belső rendszerekkel van összekötve, vagy egy szolgáltató üzemelteti, sok szól amellett, hogy bevonják, vagy legalább a szállítói menedzsmenten keresztül felmérjék.
A TISAX tanúsítvány?
Az ENX Association független vizsgálati szolgáltatók általi értékelésről beszél, amelynek eredményeit TISAX-címkékként adják ki. A címkék az ENX szerint három évig érvényesek, és az ENX-portálon keresztül célzottan osztják meg őket partnerekkel, nem nyilvánosak.
Tájékoztatnom kell az auditoromat a PHP2Shell után?
Erre nincs általános kötelezettség. Az ISMS-nek azonban dokumentálnia kell, hogyan értékelte és kezelte a sebezhetőséget. Ezeket a dokumentumokat a következő auditon jellemzően megnézik.
Melyik az ISO 27001 aktuális verziója?
Az ISO/IEC 27001:2022 kiadás a mérvadó. A melléklete (A melléklet) az intézkedéseket négy témába rendezi: szervezeti, személyi, fizikai és technológiai.