Röviden: A VdS 10000 a VdS Schadenverhütung irányelve a kis- és középvállalkozások információbiztonságára. A VdS szerint az ISO 27001-en és a BSI-alapvédelmen (Grundschutz) alapul, de lényegesen karcsúbb, és a közép- és kisvállalkozásokra van szabva. A weboldalaknál és webszervereknél főként a leltár, a sebezhetőségek kezelése, a többfaktoros bejelentkezésű távoli hozzáférések, az adatmentés és a biztonsági incidensek kezelése fontos.
Miért érdekes a VdS 10000 a közép- és kisvállalkozásoknak
Sok vállalkozás tudja, hogy az információbiztonságot strukturáltabban kellene megközelítenie, de visszariad az ISO 27001 ráfordításától. Éppen erre való a VdS 10000. A VdS ágazatsemleges intézkedéskatalógusként írja le, amely a kis- és középvállalkozásokat, valamint településeket sem szervezeti, sem pénzügyi szempontból nem akarja túlterhelni.
A VdS két megállapítása segít a besorolásban. A ráfordítás az ISO 27001-hez képest körülbelül 20 százalék. És a BSI (a német Szövetségi Információbiztonsági Hivatal) a VdS 10000 követelményeit az IT-alapvédelem (IT-Grundschutz) alapbiztosításának részhalmazaként értékeli. Az irányelv tehát nem pótolja a nagy szabványokat, hanem reális belépő, amely a VdS szerint felfelé kompatibilis.
A biztosítók számára a VdS 10000-nek különös súlya van, mert a VdS szorosan kapcsolódik a biztosítási szektorhoz. A VdS hangsúlyozza, hogy a tanúsítás bizalmat kelthet a biztosítóknál, és segíthet a maradványkockázat átvitelében. Hogy ez konkrétan mit jelent az Ön kötvényére nézve, azt tisztázza a biztosítójával vagy a közvetítőjével; a káresetre vonatkozó tudnivalók a Kiberbiztosítás: mi számít kár esetén oldalon állnak.
Mi új a VdS 10000 2025-ös változatában
A VdS 2025-ben átdolgozta az irányelvet. A VdS szerint ennek során többek között a következő pontok kerültek hozzá vagy változtak:
- Világosabb nyelv, hogy a kezdők is megértsék a követelményeket.
- Kötelező felelősségek: az információbiztonsági megbízottakat és a hozzájuk tartozó csapatot hivatalosan ki kell nevezni.
- A távoli hozzáférések többfaktoros hitelesítése kötelezővé válik.
- Adatmentés a többgenerációs elv szerint, különböző helyeken és különböző adathordozókon.
- Átdolgozott kockázatkezelés az értékelési kritériumokra és azokra a határokra vonatkozó előírásokkal, amelyektől egy kockázatot elfogadnak.
- Egy közös „Biztonsági incidensek” fejezet, amely egyesíti a zavarokról, kiesésekről és incidensekről szóló korábbi fejezeteket.
- Fizikai hozzáférések, mint a kulcsok és transzponderek, a személyügyi folyamatokban is szabályozottak.
Az új kiadás emellett figyelembe veszi a VdS 10100 irányelvet, amely a NIS2-követelményeket írja le. A VdS a VdS 10000-et olyan alapnak tekinti, amelyre ezek később ráépíthetők.
VdS 10000 és a webszerver: mi a konkrét teendő
Az irányelv nem beszél a PHP-ról vagy egyes webszerverekről. A követelményei azonban közvetlenül átvihetők a webes infrastruktúrára. A következő táblázat megmutatja, hogyan nézhet ez ki. Fordítási segédlet, nem hivatalos értelmezés.
| Követelményterület | Jelentése a weboldalra és a webszerverre | Példa a PHP2Shell-helyzetből |
|---|---|---|
| Áttekintés az IT-rendszerekről és kockázatokról | A weboldalak, webshopok, portálok és szervereik fel vannak mérve és értékelve | Azonnal tudni, mely rendszerek használnak PHP-t, és milyen verzióban |
| Sebezhetőségek és frissítések | A biztonsági frissítéseket időben telepítik és dokumentálják | Javítás a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióra, az összes worker újraindítása |
| Távoli hozzáférések többfaktoros bejelentkezéssel | Az SSH, a tárhelypanel és a CMS-admin további védelmet kap | Az ellopott jelszavak önmagukban nem nyitnak admin-hozzáférést |
| Adatmentés | Több generáció, elkülönített helyek és adathordozók | Visszanyúlás a 2026. 10. 17. előtti mentésre, ha szükséges |
| Biztonsági incidensek | Jelentési út, értékelés, dokumentálás | A webshellre vonatkozó gyanút jelentik és ellenőrzik, nem csendben törlik |
| Szolgáltatók | A tárhelyszolgáltató és az ügynökség szerződésben be van vonva | A tárhelyszolgáltató írásbeli javítási megerősítése |
Az adatmentéshez érdemes megnézni a Mentések a 3-2-1 szabály szerint cikket, a távoli hozzáférésekhez pedig a Kétfaktoros bejelentkezés admin-hozzáférésekhez cikket. Mindkettő jól egyezik a 2025-ös változat új kötelezettségeivel.
Hogyan járnak el reálisan a kkv-k?
A VdS 10000 tanúsítási cél nélkül is használható útmutatóként. Egy pragmatikus út a leltárral kezdődik, mert áttekintés nélkül semmilyen más követelmény sem teljesíthető rendesen. Ezután jönnek azok a pontok, amelyeknek a legnagyobb a hatásuk a ráfordításhoz képest: a többfaktoros bejelentkezés, a működő mentések helyreállítási teszttel és egy egyértelmű jelentési út gyanú esetén.
Csak ha ezek az alapok megvannak, éri meg a formális oldal irányelvekkel, kinevezett felelősökkel és kockázatértékeléssel. Aki később tanúsításra törekszik, az eljárást a VdS dokumentumaiban találja; magát a vizsgálatot a tanúsító szervezet végzi, nem egy olyan szolgáltató, mint mi.
A közép- és kisvállalkozásoknál gyakori megbotlási pont az a kérdés, ki vállalja az információbiztonsági megbízott szerepét. A 2025-ös változat hivatalos kinevezést követel. A kis vállalkozásoknál a feladat gyakran az IT-vezetőnél vagy magánál a cégvezetésnél köt ki. Ez lehetséges, amíg az idő és a jogkörök reálisan vannak méretezve. Fontos, hogy ez a személy átlássa azokat a weboldalakat is, amelyeket a marketing vagy egy ügynökség gondoz. Éppen ezek esnek szívesen ki a rostán az első állapotfelmérésnél, mert nem a saját adatközpontban futnak. Egy egyszerű szabály segít: minden domainnek, amelynek a vállalkozás a tulajdonosa, van egy felelős személye és egy bejegyzése a leltárban.
A webszerver számára ez azt jelenti: a keményítés és a javítási fegyelem nem az irányelv melletti kűr, hanem pontosan az, amit a mindennapokban követel. Hogy mi tartozik ide, azt a PHP-webszerverek keményítése írja le. A nagy szabványokkal való összehasonlítást az ISO 27001 és TISAX: mit érintenek a webszerverek cikk végzi el.
Hogyan segít konkrétan a PHP SOS?
- Önnel együtt elkészítjük a weboldalai, szerverei és PHP-verziói leltárát, és megjelöljük a kritikus rendszereket.
- A webszerveren megvalósítjuk a műszaki követelményeket: frissítések igazolással, többfaktoros bejelentkezés a távoli hozzáférésekhez, keményítés és mentésellenőrzés.
- Úgy dokumentáljuk, hogy az információbiztonsági megbízottai átvehessék a VdS-dokumentumokba.
- Nem ígérünk tanúsítást. Hogy a követelmények teljesültek-e, azt a vizsgálati szervezet ítéli meg.
Összegzés
A VdS 10000 komolyan veendő, de megvalósítható keret a közép- és kisvállalkozásoknak. A 2025-ös változat pontosan azokat a pontokat élezi ki, amelyek a PHP2Shell után is számítanak: felelősök, többfaktoros bejelentkezés, jó mentések és az incidensek szabályozott kezelése. Aki a webszervernél kezdi, gyorsan látható előrelépést és szilárd alapot kap továbbiakhoz.
Gyakori kérdések
Kiknek szól a VdS 10000?
A VdS szerint kis- és középvállalkozásoknak, valamint településeknek és önkormányzati vállalkozásoknak. Ágazatsemleges, és sem szervezeti, sem pénzügyi szempontból nem akar túlterhelni. A VdS szerint nagyobb szervezetek is alkalmazhatják.
Mi a különbség a VdS 10000 és az ISO 27001 között?
A VdS 10000 a VdS szerint az ISO 27001-en és a BSI-alapvédelmen (Grundschutz) alapul, de kkv-kra van szabva és lényegesen karcsúbb. A VdS az ISO 27001-hez képest körülbelül 20 százalékos ráfordítást jelöl meg, és az irányelvet felfelé kompatibilisként írja le, vagyis az ISO 27000 sorozatba való lehetséges belépőként.
Segít a VdS 10000 a NIS2-nél?
A VdS a 2025-ös új kiadást olyan alapként írja le, amelyre a NIS2-követelmények később ráépíthetők. Erre ott van a saját irányelv, a VdS 10100. Hogy a vállalkozása a NIS2 hatálya alá tartozik-e, és akkor mi érvényes, azt kérjük, külön tisztázza.
Van változat gyártóberendezésekhez?
Igen. Az ipari automatizálási rendszerekhez a VdS kiadja a VdS 10020 útmutatót, amely erre a területre értelmezi a VdS 10000-et.