Trumpai: VdS 10000 yra VdS Schadenverhütung (Vokietijos draudikų sąjungos nuostolių prevencijos organizacijos) gairės dėl informacijos saugumo mažose ir vidutinėse įmonėse. Pasak VdS, jos remiasi ISO 27001 ir BSI pagrindine apsauga (Grundschutz), bet yra gerokai lengvesnės ir pritaikytos vidutinėms įmonėms. Svetainėms ir žiniatinklio serveriams svarbiausi inventorius, pažeidžiamumų tvarkymas, nuotolinės prieigos su daugiafaktoriu prisijungimu, duomenų atsarginis kopijavimas ir elgesys incidentų atveju.
Kodėl VdS 10000 įdomi vidutinėms įmonėms
Daugelis įmonių žino, kad informacijos saugumu turėtų užsiimti struktūriškiau, bet atsitraukia nuo ISO 27001 sąnaudų. Būtent tam skirta VdS 10000. VdS ją apibūdina kaip nuo sektoriaus nepriklausomą priemonių katalogą, kuris neturėtų per daug apkrauti mažų ir vidutinių įmonių bei savivaldybių nei organizaciškai, nei finansiškai.
Du VdS duomenys padeda suvokti vietą. Sąnaudos esą sudaro maždaug 20 procentų, palyginti su ISO 27001. O BSI VdS 10000 reikalavimus vertina kaip IT Grundschutz pagrindinės apsaugos (Basis-Absicherung) dalinį rinkinį. Taigi gairės nėra didžiųjų standartų pakaitalas, o realistiškas įėjimas, pasak VdS, suderinamas į viršų.
Draudikams VdS 10000 turi ypatingą svorį, nes VdS glaudžiai susijusi su draudimo sektoriumi. VdS pabrėžia, kad sertifikavimas gali kurti pasitikėjimą draudikų akyse ir padėti perkelti likutinę riziką. Ką tai konkrečiai reiškia jūsų poliso atveju, išsiaiškinkite su draudiku ar brokeriu; nuorodų dėl žalos atvejo rasite skyriuje Kibernetinis draudimas: kas svarbu žalos atveju.
Kas naujo VdS 10000 2025 m. versijoje
VdS gaires 2025 m. peržiūrėjo. Pasak VdS, be kita ko, pridėta arba pakeista:
- Aiškesnė kalba, kad ir pradedantieji suprastų reikalavimus.
- Įpareigojančios atsakomybės: informacijos saugumo pareigūnai ir su jais susijusi komanda turi būti paskirti oficialiai.
- Daugiafaktorė autentifikacija nuotolinėms prieigoms tampa privaloma.
- Duomenų atsarginis kopijavimas pagal kelių kartų principą, skirtingose vietose ir skirtingose laikmenose.
- Peržiūrėtas rizikos valdymas su nuorodomis dėl vertinimo kriterijų ir ribų, nuo kurių rizika priimama.
- Bendras skyrius „Saugumo incidentai“, kuris sujungia ankstesnius skyrius apie sutrikimus, gedimus ir incidentus.
- Fiziniai priėjimai, tokie kaip raktai ir transponderiai, reglamentuojami kartu su personalo procesais.
Naujasis leidimas be to atsižvelgia į gaires VdS 10100, kurios aprašo NIS2 reikalavimus. VdS VdS 10000 laiko pagrindu, ant kurio vėliau galima juos papildyti.
VdS 10000 ir žiniatinklio serveris: ką konkrečiai daryti
Gairėse nekalbama apie PHP ar atskirus žiniatinklio serverius. Tačiau jų reikalavimus galima tiesiogiai perkelti į žiniatinklio infrastruktūrą. Toliau pateiktoje lentelėje parodyta, kaip tai gali atrodyti. Tai vertimo pagalba, o ne oficialus aiškinimas.
| Reikalavimų sritis | Reikšmė svetainei ir žiniatinklio serveriui | Pavyzdys iš PHP2Shell situacijos |
|---|---|---|
| IT sistemų ir rizikų apžvalga | Svetainės, parduotuvės, portalai ir jų serveriai užfiksuoti ir įvertinti | Iškart žinoti, kurios sistemos naudoja PHP ir kokios versijos |
| Pažeidžiamumai ir atnaujinimai | Saugumo atnaujinimai diegiami laiku ir dokumentuojami | Pataisa į 8.5.12, 8.4.27, 8.3.36 arba 8.2.35, visų darbinių procesų paleidimas iš naujo |
| Nuotolinės prieigos su daugiafaktoriu prisijungimu | SSH, hostingo skydelis ir CMS administravimas papildomai apsaugoti | Vien pavogti slaptažodžiai neatveria administratoriaus prieigos |
| Duomenų atsarginis kopijavimas | Kelios kartos, atskiros vietos ir laikmenos | Prireikus galimybė pasinaudoti kopija iki 2026-10-17 |
| Saugumo incidentai | Pranešimo kelias, vertinimas, dokumentavimas | Įtarimas dėl žiniatinklio apvalkalo (webshell) pranešamas ir tikrinamas, o ne tyliai trinamas |
| Paslaugų teikėjai | Hostingo teikėjas ir agentūra įtraukti sutartimi | Rašytinis hostingo teikėjo pataisos patvirtinimas |
Dėl atsarginio kopijavimo verta pažiūrėti Atsarginės kopijos pagal 3-2-1 taisyklę, dėl nuotolinių prieigų – Dviejų veiksnių prisijungimas administratoriaus prieigoms. Abu gerai dera su naujomis 2025 m. versijos pareigomis.
Kaip realistiškai elgiasi MVĮ
VdS 10000 galima naudoti kaip vadovą ir be sertifikavimo tikslo. Pragmatiškas kelias prasideda nuo inventoriaus, nes be apžvalgos švariai neįgyvendinamas joks kitas reikalavimas. Po to seka didžiausią poveikį vienam darbo vienetui duodantys punktai: daugiafaktorė prisijungimas, veikiančios atsarginės kopijos su atkūrimo testu ir aiškus pranešimo kelias esant įtarimui.
Tik kai šie pagrindai sukurti, verta imtis formaliosios pusės su politikomis, paskirtais atsakingaisiais ir rizikos vertinimu. Kas vėliau siekia sertifikavimo, procedūrą suras VdS dokumentuose; patį vertinimą atlieka sertifikavimo įstaiga, o ne tokie paslaugų teikėjai kaip mes.
Dažnas suklupimo akmuo vidutinėse įmonėse – klausimas, kas perima informacijos saugumo pareigūno vaidmenį. 2025 m. versija reikalauja oficialaus paskyrimo. Mažose įmonėse užduotis dažnai atitenka IT vadovui ar pačiai vadovybei. Tai įmanoma, kol laikas ir įgaliojimai realistiškai atseikėti. Svarbu, kad šis asmuo matytų ir svetaines, kurias prižiūri rinkodara ar agentūra. Būtent jos pirmos apžvalgos metu mielai praslysta pro tinklą, nes neveikia savame duomenų centre. Padeda paprasta taisyklė: kiekvienas įmonei priklausantis domenas turi atsakingą asmenį ir įrašą inventoriuje.
Žiniatinklio serveriui tai reiškia: sustiprinimas ir pataisų drausmė nėra papildoma dalis šalia gairių, o būtent tai, ko jos kasdien reikalauja. Kas tam priklauso, aprašo PHP žiniatinklio serverių sustiprinimas. Palyginimą su didžiaisiais standartais pateikia straipsnis ISO 27001 ir TISAX: ką tai reiškia žiniatinklio serveriams.
Kaip PHP SOS padeda konkrečiai?
- Kartu su jumis sudarome jūsų svetainių, serverių ir PHP versijų inventorių ir pažymime kritines sistemas.
- Įgyvendiname techninius reikalavimus žiniatinklio serveryje: atnaujinimai su įrodymu, daugiafaktorė prisijungimas nuotolinėms prieigoms, sustiprinimas ir atsarginių kopijų patikra.
- Dokumentuojame taip, kad jūsų informacijos saugumo pareigūnai galėtų tai perkelti į VdS dokumentus.
- Nežadame sertifikavimo. Ar reikalavimai įvykdyti, vertina vertinimo įstaiga.
Išvada
VdS 10000 yra rimtai vertinamas, bet įgyvendinamas pagrindas vidutinėms įmonėms. 2025 m. versija paryškina būtent tuos punktus, kurie svarbūs ir po PHP2Shell: atsakingi asmenys, daugiafaktorė prisijungimas, geros atsarginės kopijos ir sutvarkytas elgesys incidentų atveju. Kas pradeda nuo žiniatinklio serverio, greitai pasiekia matomą pažangą ir tvirtą pagrindą daugiau.
Dažni klausimai
Kam skirta VdS 10000?
Pasak VdS, mažoms ir vidutinėms įmonėms bei savivaldybėms ir savivaldybių įmonėms. Ji nesusieta su sektoriumi ir neturėtų per daug apkrauti nei organizaciškai, nei finansiškai. Pasak VdS, ją gali taikyti ir didesnės organizacijos.
Kuo skiriasi VdS 10000 ir ISO 27001?
Pasak VdS, VdS 10000 remiasi ISO 27001 ir BSI pagrindine apsauga (Grundschutz), bet pritaikyta MVĮ ir gerokai lengvesnė. VdS darbo sąnaudas įvertina maždaug 20 procentų, palyginti su ISO 27001, ir apibūdina gaires kaip suderinamas į viršų, tai yra kaip galimą įėjimą į ISO 27000 seriją.
Ar VdS 10000 padeda esant NIS2?
VdS naująjį 2025 m. leidimą apibūdina kaip pagrindą, ant kurio vėliau galima papildyti NIS2 reikalavimus. Tam yra atskiros gairės VdS 10100. Ar jūsų įmonei taikoma NIS2 ir kas tada galioja, išsiaiškinkite atskirai.
Ar yra versija gamybos įrenginiams?
Taip. Pramoninėms automatizavimo sistemoms VdS skelbia vadovą VdS 10020, kuris VdS 10000 pritaiko šiai sričiai.