Krótko: VdS 10000 to wytyczna VdS Schadenverhütung (niemieckiej instytucji zajmującej się zapobieganiem szkodom, ściśle związanej z branżą ubezpieczeniową) dotycząca bezpieczeństwa informacji w małych i średnich firmach. Opiera się według VdS na ISO 27001 i podstawowej ochronie BSI, ale jest wyraźnie szczuplejsza i dopasowana do średnich firm. Dla stron internetowych i serwerów WWW ważne są przede wszystkim inwentarz, postępowanie z podatnościami, dostępy zdalne z uwierzytelnianiem wieloskładnikowym, kopie zapasowe i postępowanie z incydentami bezpieczeństwa.
Dlaczego VdS 10000 jest interesująca dla średnich firm
Wiele firm wie, że powinno podchodzić do bezpieczeństwa informacji w sposób bardziej uporządkowany, ale odstrasza je nakład pracy związany z ISO 27001. Właśnie do tego przeznaczona jest VdS 10000. VdS opisuje ją jako neutralny branżowo katalog środków, który ma nie przeciążać ani organizacyjnie, ani finansowo małych i średnich firm oraz gmin.
Dwie informacje od VdS pomagają w ocenie. Nakład ma wynosić około 20 procent w porównaniu z ISO 27001. A BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) ocenia wymagania VdS 10000 jako podzbiór podstawowego zabezpieczenia w ramach IT-Grundschutz. Wytyczna nie jest więc zamiennikiem wielkich standardów, lecz realistycznym punktem wejścia, który według VdS jest kompatybilny w górę.
Dla ubezpieczycieli VdS 10000 ma szczególną wagę, ponieważ VdS jest ściśle związane z branżą ubezpieczeniową. VdS podkreśla, że certyfikacja może budować zaufanie ubezpieczycieli i pomagać w przeniesieniu ryzyka resztkowego. Co to konkretnie oznacza dla Państwa polisy, proszę wyjaśnić z ubezpieczycielem lub brokerem; wskazówki dotyczące zdarzenia szkodowego znajdują się w artykule Ubezpieczenie cyber: co liczy się w razie szkody.
Co nowego w VdS 10000 w wersji 2025
VdS zrewidowało wytyczną w 2025 roku. Według VdS doszły lub zostały zmienione między innymi następujące punkty:
- Jaśniejszy język, aby także początkujący rozumieli wymagania.
- Wiążące odpowiedzialności: pełnomocnicy ds. bezpieczeństwa informacji i odpowiedni zespół muszą być oficjalnie powołani.
- Uwierzytelnianie wieloskładnikowe dla dostępów zdalnych staje się obowiązkiem.
- Kopie zapasowe według zasady wielu generacji, w różnych miejscach i na różnych nośnikach.
- Zrewidowane zarządzanie ryzykiem z wytycznymi dotyczącymi kryteriów oceny i granic, od których ryzyko jest akceptowane.
- Wspólny rozdział „Incydenty bezpieczeństwa”, który łączy dawne rozdziały o zakłóceniach, awariach i incydentach.
- Dostępy fizyczne, takie jak klucze i transpondery, są regulowane razem w procesach kadrowych.
Nowe wydanie uwzględnia ponadto wytyczną VdS 10100, opisującą wymagania NIS2. VdS widzi w VdS 10000 podstawę, którą można o nie później uzupełnić.
VdS 10000 a serwer WWW: co konkretnie zrobić
Wytyczna nie mówi o PHP ani o poszczególnych serwerach WWW. Jej wymagania można jednak wprost przenieść na infrastrukturę internetową. Poniższa tabela pokazuje, jak to może wyglądać. Jest pomocą w tłumaczeniu, a nie urzędową wykładnią.
| Obszar wymagań | Znaczenie dla strony i serwera WWW | Przykład z sytuacji PHP2Shell |
|---|---|---|
| Przegląd systemów IT i ryzyk | Strony, sklepy, portale i ich serwery są zarejestrowane i ocenione | Od razu wiedzieć, które systemy używają PHP i w jakiej wersji |
| Podatności i aktualizacje | Aktualizacje bezpieczeństwa są instalowane w odpowiednim czasie i dokumentowane | Poprawka do 8.5.12, 8.4.27, 8.3.36 lub 8.2.35, restart wszystkich procesów worker |
| Dostępy zdalne z logowaniem wieloskładnikowym | SSH, panel hostingowy i administrator CMS są dodatkowo zabezpieczone | Same skradzione hasła nie otwierają dostępu administratora |
| Kopie zapasowe | Wiele generacji, oddzielne miejsca i nośniki | Sięgnięcie po kopię sprzed 17.10.2026, jeśli to konieczne |
| Incydenty bezpieczeństwa | Droga zgłoszenia, ocena, dokumentacja | Podejrzenie webshella jest zgłaszane i sprawdzane, a nie po cichu usuwane |
| Usługodawcy | Firma hostingowa i agencja są włączone umownie | Pisemne potwierdzenie poprawek od firmy hostingowej |
W kwestii kopii zapasowych warto zajrzeć do artykułu Kopie zapasowe według reguły 3-2-1, a w kwestii dostępów zdalnych do artykułu Logowanie dwuskładnikowe dla dostępów administratora. Jedno i drugie dobrze pokrywa się z nowymi obowiązkami w wersji 2025.
Jak realistycznie postępują MŚP?
VdS 10000 można wykorzystać jako przewodnik także bez celu certyfikacji. Pragmatyczna droga zaczyna się od inwentarza, ponieważ bez przeglądu żadnego innego wymagania nie da się porządnie spełnić. Następnie przychodzą punkty o największym skutku w stosunku do nakładu: logowanie wieloskładnikowe, działające kopie zapasowe z testem odtworzenia i jasna droga zgłoszenia przy podejrzeniu.
Dopiero gdy te podstawy stoją, opłaca się strona formalna z wytycznymi, powołanymi odpowiedzialnymi i oceną ryzyka. Kto później dąży do certyfikacji, znajdzie procedurę w dokumentach VdS; samo badanie przeprowadza jednostka certyfikująca, a nie usługodawca taki jak my.
Częstą przeszkodą w średnich firmach jest pytanie, kto przejmie rolę pełnomocnika ds. bezpieczeństwa informacji. Wersja 2025 wymaga oficjalnego powołania. W małych firmach zadanie często trafia do kierownika IT lub samego zarządu. Jest to możliwe, dopóki czas i uprawnienia są realistycznie wymierzone. Ważne, aby ta osoba miała na oku także strony, którymi opiekuje się marketing lub agencja. Właśnie one przy pierwszej inwentaryzacji chętnie wypadają z siatki, ponieważ nie działają we własnym centrum danych. Pomocna jest prosta zasada: każda domena, którą firma posiada, ma osobę odpowiedzialną i wpis w inwentarzu.
Dla serwera WWW oznacza to: utwardzanie i dyscyplina poprawek nie są dodatkiem obok wytycznej, lecz dokładnie tym, czego wymaga ona na co dzień. Co do tego należy, opisuje Utwardzanie serwerów WWW z PHP. Porównanie z wielkimi standardami przeprowadza wpis ISO 27001 i TISAX: czego dotyczą serwery WWW.
Jak konkretnie pomaga PHP SOS?
- Razem z Państwem sporządzamy inwentarz stron, serwerów i wersji PHP oraz oznaczamy systemy krytyczne.
- Wdrażamy wymagania techniczne na serwerze WWW: aktualizacje z dowodem, logowanie wieloskładnikowe dla dostępów zdalnych, utwardzanie i kontrolę kopii zapasowych.
- Dokumentujemy to tak, aby Państwa pełnomocnicy ds. bezpieczeństwa informacji mogli przenieść to do dokumentów VdS.
- Nie obiecujemy certyfikacji. To, czy wymagania są spełnione, ocenia jednostka badawcza.
Podsumowanie
VdS 10000 to poważne, ale wykonalne ramy dla średnich firm. Wersja 2025 wyostrza dokładnie te punkty, które liczą się także po PHP2Shell: osoby odpowiedzialne, logowanie wieloskładnikowe, dobre kopie zapasowe i uregulowane postępowanie z incydentami. Kto zacznie od serwera WWW, szybko zobaczy postępy i uzyska solidną podstawę do dalszych działań.
Częste pytania
Dla kogo przeznaczona jest VdS 10000?
Według VdS dla małych i średnich przedsiębiorstw oraz gmin i przedsiębiorstw komunalnych. Jest neutralna branżowo i ma nie przeciążać ani organizacyjnie, ani finansowo. Według VdS mogą ją stosować także większe organizacje.
Jaka jest różnica między VdS 10000 a ISO 27001?
VdS 10000 opiera się według VdS na ISO 27001 i podstawowej ochronie BSI (IT-Grundschutz), ale jest dopasowana do MŚP i wyraźnie szczuplejsza. VdS szacuje nakład na około 20 procent w porównaniu z ISO 27001 i opisuje wytyczną jako kompatybilną w górę, czyli jako możliwy punkt wejścia do serii ISO 27000.
Czy VdS 10000 pomaga w kwestii NIS2?
VdS opisuje nowe wydanie z 2025 roku jako podstawę, którą można później uzupełnić o wymagania NIS2. Służy do tego osobna wytyczna VdS 10100. To, czy Państwa firma podlega NIS2 i co wtedy obowiązuje, proszę wyjaśnić osobno.
Czy istnieje wersja dla instalacji produkcyjnych?
Tak. Dla przemysłowych systemów automatyki VdS publikuje wytyczną VdS 10020, która interpretuje VdS 10000 dla tego obszaru.