# ISO 27001 e TISAX: che cosa riguarda i server web

> ISO 27001 e TISAX per i server web: quali requisiti riguardano patch, fornitori e incidenti e quali prove dopo PHP2Shell vanno agli atti.

Fonte: https://phpsos.de/it/blog/iso-27001-tisax-webserver/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** ISO 27001 e TISAX riguardano i server web soprattutto attraverso tre requisiti: le vulnerabilità devono essere riconosciute e trattate, i fornitori come hoster e agenzie devono essere governati e gli incidenti di sicurezza richiedono una procedura regolata. Una situazione come PHP2Shell è per ogni ISMS una prova pratica. Chi documenta in modo comprensibile valutazione, patch e riavvio ha una buona base per il prossimo audit. Un certificato o un label non sostituisce la patch.

## Che cosa sono ISO 27001 e TISAX, in due paragrafi

La ISO/IEC 27001 descrive i requisiti per un sistema di gestione della sicurezza delle informazioni, in breve ISMS. Si intende un ciclo ordinato: valutare i rischi, definire le misure, attuarle, verificarle e migliorarle. L'edizione attuale del 2022 contiene nell'Allegato A un catalogo di 93 misure in quattro temi. Quali si applichino lo decide l'azienda sulla base della propria valutazione del rischio e lo annota nella dichiarazione di applicabilità.

TISAX è il meccanismo di verifica e scambio diffuso nell'industria automobilistica. È gestito dall'ENX Association; la base è il catalogo dei requisiti ISA, che l'ENX cura e che il VDA (l'associazione tedesca dell'industria automobilistica) pubblica. Fornitori di verifica indipendenti conducono un assessment, il cui ambito dipende dal fabbisogno di protezione e va dal controllo dei documenti ai sopralluoghi. I risultati vengono assegnati, secondo l'ENX, come label, valgono tre anni e vengono condivisi tramite il portale ENX solo con partner selezionati.

## ISO 27001 sul server web: quali requisiti si applicano?

Un server web nell'ISMS raramente è un capitolo a sé. Compare in più punti, ed è proprio lì che nascono le lacune. Il prospetto seguente ordina in modo generale i temi principali. Non sostituisce uno sguardo alla Sua dichiarazione di applicabilità.

| Tema nell'ISMS | Che cosa significa per il server web | Prova utile nell'audit |
|---|---|---|
| Inventario dei beni | Ogni sito, ogni server, ogni versione di PHP è rilevato | Elenco aggiornato con gestore, versione, responsabile |
| Gestione delle vulnerabilità tecniche | Segnalazioni come PHP2Shell vengono valutate e trattate | Ticket con valutazione, decisione, data della patch |
| Rapporti con i fornitori | Hoster e agenzia hanno obblighi di sicurezza chiari | Contratto, ripartizione dei compiti, conferma scritta dello stato delle patch |
| Registrazione e monitoraggio | I log del server web sono conservati e analizzati | Regola di conservazione, esempio di un'analisi |
| Gestione degli incidenti | Il sospetto viene segnalato, valutato e chiuso | Verbale dell'incidente, lessons learned |
| Gestione della configurazione | Le impostazioni di PHP e del server web sono definite | Configurazione di riferimento e verifica degli scostamenti |

Con TISAX si applicano temi analoghi, perché il catalogo ISA è allineato con altri standard importanti. Inoltre alcuni obiettivi di verifica, ad esempio la protezione dei prototipi, richiedono particolare attenzione per i sistemi attraverso i quali i partner scambiano dati. Possono essere anche portali basati su PHP.

## PHP2Shell come prova pratica per l'ISMS

Il 21/10/2026 il progetto PHP ha pubblicato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per PHP 8.1 e precedenti non esistono più aggiornamenti ufficiali. Un ISMS funzionante dovrebbe in questa situazione innescare una catena che si possa poi documentare.

1. **Ricezione:** chi ha ricevuto la segnalazione e quando, e dove è registrata?
2. **Valutazione:** quali sistemi sono interessati? Presuppone un inventario aggiornato, vedere [Sapere che cosa gira](https://phpsos.de/it/blog/inventar-websites-server/).
3. **Decisione:** patch, misura provvisoria o spegnimento temporaneo, con motivazione e nome della persona che decide.
4. **Attuazione:** stato del pacchetto, riavvio di tutti i processi PHP, controllo. Con i backport della distribuzione conta il changelog del pacchetto, non il numero di versione visualizzato; come dimostrarlo lo mostra [Verificare correttamente versione PHP e livello di patch](https://phpsos.de/it/php2shell/php-version-pruefen/).
5. **Fornitori:** conferma scritta dell'hoster che è stata applicata la patch e che è avvenuto il riavvio.
6. **Controllo successivo:** verifica di segni di compromissione dal 17/10/2026, perché una patch non annulla le intrusioni precedenti.

Come trasformare questa catena una tantum in una procedura stabile lo descrivono [Gestione delle vulnerabilità per le PMI](https://phpsos.de/it/blog/schwachstellenmanagement-mittelstand/) e [Patch management come processo](https://phpsos.de/it/blog/patch-management-prozess/).

## Punti deboli frequenti nella documentazione

Nella pratica la prova raramente fallisce per la tecnica, ma per lacune nella catena. Tipico è un sito che un reparto gestisce con un'agenzia e che manca nell'inventario. Altrettanto frequenti sono contratti con l'hoster privi di indicazioni su quanto rapidamente vengano installati gli aggiornamenti di sicurezza e se i clienti vengano informati.

Un altro classico: il ticket della patch è chiuso, ma nessuno ha riavviato i processi PHP. Formalmente il punto è chiuso, tecnicamente continua a girare il vecchio codice. Una buona prova contiene quindi non solo «aggiornamento installato», ma anche il riavvio e un controllo successivo.

È difficile anche con i sistemi che non si possono aggiornare subito, ad esempio un'applicazione su PHP 8.1. Qui un ISMS non pretende miracoli, ma una decisione consapevole: quali misure provvisorie valgono, chi ha accettato il rischio residuo e per quando è pianificato il passaggio? Un'accettazione scritta del rischio con data di scadenza è nell'audit nettamente migliore di un sistema legacy che continua tacitamente a funzionare. Altrettanto importanti sono i log. Dopo PHP2Shell la stampa specializzata e gli autori specializzati hanno consigliato di conservare i log del server dal 20/10/2026. Se la Sua regola di conservazione lo consenta e se i log siano presso l'hoster o presso di Lei dovrebbe essere chiarito prima del prossimo incidente, non durante.

Se la Sua azienda rientra inoltre nella NIS2, questi requisiti si rafforzano. Le linee generali sono in [NIS2 e sicurezza dei server web](https://phpsos.de/it/compliance/nis2/). Questa è un'informazione generale, non consulenza legale.

> **Importante:**
> Un certificato o un label descrive lo stato di un sistema di gestione al momento della verifica. Non protegge il singolo server da una nuova falla. Decisivo è che la procedura funzioni davvero nell'emergenza.

## Come aiuta concretamente PHP SOS?

- Rileviamo i Suoi server web e le installazioni PHP in modo che si inseriscano nell'inventario del Suo ISMS.
- Applichiamo le patch e documentiamo con il nostro [servizio patch PHP](https://phpsos.de/it/leistungen/php-patch-service/): stato del pacchetto, riavvio, controllo, con data e prove.
- Formuliamo le domande a hoster e agenzie e valutiamo le loro risposte per la Sua gestione dei fornitori.
- Forniamo al responsabile del Suo ISMS i fatti tecnici. La valutazione nel sistema di gestione e l'audit restano a Lei e al Suo ente di verifica.

## Conclusione

ISO 27001 e TISAX non richiedono un determinato server web, ma un approccio comprensibile. PHP2Shell mostra se inventario, trattamento delle vulnerabilità e governo dei fornitori funzionano insieme. Chi documenta in modo pulito la catena di ricezione, valutazione, patch, riavvio e controllo successivo ha sotto controllo non solo l'audit, ma soprattutto il server.


## Domande frequenti

**Il sito aziendale rientra nell'ambito di applicazione di una ISO 27001?**  
Dipende da come la Sua azienda ha definito l'ambito di applicazione. Se il sito tratta dati dei clienti, è collegato a sistemi interni o è gestito da un fornitore, ci sono buone ragioni per includerlo o almeno per rilevarlo attraverso la gestione dei fornitori.

**TISAX è un certificato?**  
L'ENX Association parla di un assessment condotto da fornitori di verifica indipendenti, i cui risultati vengono assegnati come label TISAX. Secondo l'ENX i label valgono tre anni e vengono condivisi in modo mirato con i partner tramite il portale ENX, non sono pubblici.

**Dopo PHP2Shell devo informare il mio auditor?**  
Non esiste un obbligo generale in tal senso. Il Suo ISMS dovrebbe però documentare come ha valutato e trattato la vulnerabilità. Questi documenti vengono di norma esaminati nel prossimo audit.

**Qual è la versione attuale della ISO 27001?**  
Fa fede l'edizione ISO/IEC 27001:2022. Il suo Allegato A ordina le misure in quattro temi: organizzativo, riferito alle persone, fisico e tecnologico.

## Fonti

- [ENX Association: TISAX](https://www.enx.com/de-DE/TISAX/)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: segnalazioni di sicurezza](https://www.php.net/)
- [PHP: versioni supportate](https://www.php.net/supported-versions.php)