# ISO 27001 ir TISAX: ką tai reiškia žiniatinklio serveriams

> ISO 27001 ir TISAX žiniatinklio serveriui: kokie reikalavimai liečia pataisas, tiekėjus ir incidentus bei kokie įrodymai po PHP2Shell turi patekti į bylą.

Šaltinis: https://phpsos.de/lt/blog/iso-27001-tisax-webserver/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

**Trumpai:** ISO 27001 ir TISAX žiniatinklio serverius ypač liečia per tris reikalavimus: pažeidžiamumai turi būti aptikti ir sprendžiami, paslaugų teikėjai, pavyzdžiui, hostingo teikėjai ir agentūros, turi būti valdomi, o saugumo incidentams reikia sutvarkytos eigos. Tokia situacija kaip PHP2Shell kiekvienai informacijos saugumo valdymo sistemai (ISVS) yra praktinis išbandymas. Kas vertinimą, pataisą ir paleidimą iš naujo dokumentuoja atsekamai, turi gerą pagrindą kitam auditui. Sertifikatas ar žymė pataisos nepakeičia.

## Kas yra ISO 27001 ir TISAX, dviem pastraipomis

ISO/IEC 27001 aprašo reikalavimus informacijos saugumo valdymo sistemai, trumpai ISVS (angl. ISMS). Turima omenyje sutvarkytas ciklas: vertinti rizikas, nustatyti priemones, jas įgyvendinti, tikrinti ir tobulinti. Aktualiame 2022 m. leidime A priede pateiktas 93 priemonių katalogas keturiose temose. Kurios iš jų taikomos, sprendžia įmonė remdamasi savo rizikos vertinimu ir tai užfiksuoja taikomumo deklaracijoje.

TISAX yra automobilių pramonėje paplitęs patikros ir keitimosi mechanizmas. Jį valdo ENX Association, pagrindas yra reikalavimų katalogas ISA, kurį prižiūri ENX ir skelbia VDA. Nepriklausomi vertinimo paslaugų teikėjai atlieka vertinimą, kurio apimtis priklauso nuo apsaugos poreikio ir svyruoja nuo dokumentų patikros iki apsilankymų vietoje. Rezultatai, pasak ENX, išduodami kaip žymės, galioja trejus metus ir per ENX portalą dalijamasi tik su atrinktais partneriais.

## ISO 27001 ir žiniatinklio serveris: kurie reikalavimai taikomi?

Žiniatinklio serveris ISVS retai būna atskiras skyrius. Jis atsiranda keliose vietose, ir būtent ten atsiranda spragų. Toliau pateikta apžvalga bendrai priskiria svarbiausias temas. Ji nepakeičia žvilgsnio į jūsų pačių taikomumo deklaraciją.

| ISVS tema | Ką tai reiškia žiniatinklio serveriui | Įrodymas, kuris padeda audite |
|---|---|---|
| Turto inventorius | Kiekviena svetainė, serveris ir PHP versija užfiksuoti | Aktualus sąrašas su eksploatuotoju, versija, atsakingu asmeniu |
| Techninių pažeidžiamumų tvarkymas | Tokie pranešimai kaip PHP2Shell vertinami ir sprendžiami | Bilietas su vertinimu, sprendimu, pataisos data |
| Santykiai su tiekėjais | Hostingo teikėjas ir agentūra turi aiškias saugumo pareigas | Sutartis, užduočių pasidalijimas, rašytinis pataisų būsenos patvirtinimas |
| Registravimas ir stebėsena | Žiniatinklio serverio žurnalai saugomi ir analizuojami | Saugojimo taisyklė, analizės pavyzdys |
| Incidentų valdymas | Įtarimas pranešamas, įvertinamas ir uždaromas | Incidento protokolas, išmoktos pamokos |
| Konfigūracijos valdymas | PHP ir žiniatinklio serverio nustatymai nustatyti | Tikslinė konfigūracija ir nukrypimų patikra |

TISAX atveju taikomos panašios temos, nes ISA katalogas suderintas su kitais svarbiais standartais. Be to, kai kurie vertinimo tikslai, pavyzdžiui, prototipų apsauga, reikalauja ypatingo kruopštumo sistemoms, per kurias partneriai keičiasi duomenimis. Tai gali būti ir PHP pagrindu veikiantys portalai.

## PHP2Shell kaip ISVS praktinis išbandymas

2026-10-21 PHP projektas paskelbė versijas 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. PHP 8.1 ir senesnėms oficialių atnaujinimų nebėra. Veikianti ISVS šioje situacijoje turėtų paleisti grandinę, kurią vėliau galima įrodyti.

1. **Gavimas:** kas ir kada gavo pranešimą ir kur jis užfiksuotas?
2. **Vertinimas:** kurios sistemos paveiktos? Tam reikia aktualaus inventoriaus, žr. [Žinoti, kas veikia](https://phpsos.de/lt/blog/inventar-websites-server/).
3. **Sprendimas:** pataisa, pereinamoji priemonė ar laikinas išjungimas, su pagrindimu ir sprendžiančiojo asmens vardu.
4. **Įgyvendinimas:** paketo būsena, visų PHP procesų paleidimas iš naujo, kontrolė. Esant distribucijos atgaliniams perkėlimams (backport) skaičiuojasi paketo pakeitimų žurnalas, o ne rodomas versijos numeris; kaip tai įrodyti, parodo [Kaip teisingai patikrinti PHP versiją ir pataisų būseną](https://phpsos.de/lt/php2shell/php-version-pruefen/).
5. **Tiekėjai:** rašytinis hostingo teikėjo patvirtinimas, kad pataisyta ir paleista iš naujo.
6. **Pokontrolė:** kompromitavimo požymių patikra nuo 2026-10-17, nes pataisa ankstesnių įsilaužimų neatšaukia.

Kaip iš šios vienkartinės grandinės padaryti pastovią eigą, aprašo [Pažeidžiamumų valdymas vidutinėms įmonėms](https://phpsos.de/lt/blog/schwachstellenmanagement-mittelstand/) ir [Pataisų valdymas kaip procesas](https://phpsos.de/lt/blog/patch-management-prozess/).

## Dažnos dokumentacijos spragos

Praktikoje įrodymas retai žlunga dėl technikos, o dėl grandinės spragų. Tipiška yra svetainė, kurią eksploatuoja skyrius su agentūra ir kurios inventoriuje nėra. Taip pat dažnos hostingo teikėjų sutartys be nuostatų, kaip greitai diegiami saugumo atnaujinimai ir ar informuojami klientai.

Dar vienas klasikinis atvejis: pataisos bilietas uždarytas, bet niekas iš naujo nepaleido PHP procesų. Formaliai punktas atliktas, techniškai veikia senas kodas. Geras įrodymas todėl apima ne tik „atnaujinimas įdiegtas“, bet ir paleidimą iš naujo bei kontrolę po jo.

Sunku ir su sistemomis, kurių negalima iškart pataisyti, pavyzdžiui, programa su PHP 8.1. Čia ISVS nereikalauja stebuklų, bet reikalauja sąmoningo sprendimo: kokios pereinamosios priemonės galioja, kas priėmė likusią riziką ir iki kada planuojamas perėjimas? Rašytinis rizikos priėmimas su galiojimo pabaigos data audite yra gerokai geresnis nei tyliai toliau veikianti sena sistema. Panašiai svarbūs žurnalai. Specializuota spauda ir autoriai po PHP2Shell patarė saugoti serverio žurnalus nuo 2026-10-20. Ar jūsų saugojimo taisyklė tai leidžia ir ar žurnalai yra pas hostingo teikėją, ar pas jus, turėtų būti išsiaiškinta prieš kitą incidentą, o ne jo metu.

Jei jūsų įmonei papildomai taikoma NIS2, šie reikalavimai sustiprėja. Pagrindai aprašyti skyriuje [NIS2 ir žiniatinklio serverių saugumas](https://phpsos.de/lt/compliance/nis2/). Tai bendro pobūdžio informacija, o ne teisinė konsultacija.

> **Svarbu:**
> Sertifikatas ar žymė apibūdina valdymo sistemos būklę patikros metu. Jis neapsaugo atskiro serverio nuo naujos spragos. Lemia tai, ar eiga kritiniu atveju iš tikrųjų veikia.

## Kaip PHP SOS padeda konkrečiai?

- Užfiksuojame jūsų žiniatinklio serverius ir PHP diegimus taip, kad jie tiktų jūsų ISVS inventoriui.
- Pataisome ir dokumentuojame per savo [PHP pataisų paslaugą](https://phpsos.de/lt/leistungen/php-patch-service/): paketo būsena, paleidimas iš naujo, kontrolė, su data ir įrodymais.
- Suformuluojame klausimus hostingo teikėjams ir agentūroms ir įvertiname jų atsakymus jūsų tiekėjų valdymui.
- Jūsų ISVS atsakingiesiems pateikiame techninius faktus. Vertinimas valdymo sistemoje ir auditas lieka jums ir jūsų vertinimo įstaigai.

## Išvada

ISO 27001 ir TISAX nereikalauja konkretaus žiniatinklio serverio, bet reikalauja atsekamo elgesio su juo. PHP2Shell parodo, ar inventorius, pažeidžiamumų tvarkymas ir tiekėjų valdymas veikia kartu. Kas švariai įrodo grandinę – gavimas, vertinimas, pataisa, paleidimas iš naujo ir pokontrolė – turi ne tik auditą, bet ir pirmiausia serverį savo rankose.


## Dažni klausimai

**Ar įmonės svetainė patenka į ISO 27001 taikymo sritį?**  
Tai priklauso nuo to, kaip jūsų įmonė nustatė taikymo sritį. Jei svetainė tvarko klientų duomenis, yra sujungta su vidinėmis sistemomis arba ją eksploatuoja paslaugų teikėjas, daug kas rodo, kad ją verta įtraukti arba bent užfiksuoti per tiekėjų valdymą.

**Ar TISAX yra sertifikatas?**  
ENX Association kalba apie nepriklausomų vertinimo paslaugų teikėjų atliekamą vertinimą, kurio rezultatai išduodami kaip TISAX žymės. Pasak ENX, žymės galioja trejus metus ir per ENX portalą tikslingai dalijamasi su partneriais, jos nėra viešos.

**Ar po PHP2Shell turiu informuoti auditorių?**  
Bendros pareigos tam nėra. Tačiau jūsų ISVS turėtų dokumentuoti, kaip pažeidžiamumą įvertinote ir sprendėte. Šie dokumentai paprastai peržiūrimi kitame audite.

**Kuri ISO 27001 versija šiuo metu aktuali?**  
Lemiamas yra leidimas ISO/IEC 27001:2022. Jo A priede priemonės suskirstytos į keturias temas: organizacines, asmenines, fizines ir technologines.

## Šaltiniai

- [ENX Association: TISAX](https://www.enx.com/de-DE/TISAX/)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: saugumo pranešimai](https://www.php.net/)
- [PHP: palaikomos versijos](https://www.php.net/supported-versions.php)