Em resumo: a VdS 10000 é uma diretriz da VdS Schadenverhütung (organização alemã de prevenção de sinistros) para a segurança da informação em pequenas e médias empresas. Baseia-se, segundo a VdS, na ISO 27001 e no IT-Grundschutz do BSI (Gabinete Federal Alemão para a Segurança da Informação), mas é claramente mais enxuta e talhada para as PME. Para sites e servidores web, são importantes sobretudo o inventário, o tratamento de vulnerabilidades, os acessos remotos com autenticação multifator, as cópias de segurança e o tratamento de incidentes de segurança.
Porque é que a VdS 10000 interessa às PME
Muitas empresas sabem que deviam abordar a segurança da informação de forma mais estruturada, mas recuam perante o esforço de uma ISO 27001. É precisamente para isso que se destina a VdS 10000. A VdS descreve-a como um catálogo de medidas neutro quanto ao setor, que não deve sobrecarregar nem em termos organizacionais nem financeiros as pequenas e médias empresas e os municípios.
Duas indicações da VdS ajudam no enquadramento. O esforço rondaria 20 por cento em comparação com a ISO 27001. E o BSI avaliaria os requisitos da VdS 10000 como um subconjunto da proteção de base do IT-Grundschutz. A diretriz não é, portanto, um substituto das grandes normas, mas uma porta de entrada realista que, segundo a VdS, é compatível ascendente.
Para as seguradoras, a VdS 10000 tem um peso especial, pois a VdS está estreitamente ligada ao setor segurador. A VdS salienta que uma certificação pode criar confiança junto das seguradoras e ajudar a transferir o risco residual. O que isso significa em concreto para a sua apólice, esclareça-o com a seguradora ou o mediador; indicações sobre o caso de sinistro encontram-se em Ciberseguro: o que conta em caso de sinistro.
O que há de novo na VdS 10000, versão 2025
A VdS reviu a diretriz em 2025. Segundo a VdS, foram acrescentados ou alterados, entre outros, estes pontos:
- Linguagem mais clara, para que também os principiantes compreendam os requisitos.
- Responsabilidades vinculativas: os responsáveis pela segurança da informação e a respetiva equipa têm de ser oficialmente nomeados.
- Autenticação multifator para acessos remotos passa a ser obrigatória.
- Cópias de segurança segundo o princípio de várias gerações, em locais diferentes e em suportes diferentes.
- Gestão de risco revista, com indicações sobre critérios de avaliação e limites a partir dos quais um risco é aceite.
- Um capítulo comum «Incidentes de segurança», que reúne os anteriores capítulos sobre perturbações, falhas e incidentes.
- Acessos físicos, como chaves e transponders, passam a ser regulados também nos processos de pessoal.
A nova edição tem em conta, além disso, a diretriz VdS 10100, que descreve os requisitos da NIS2. A VdS vê a VdS 10000 como a base sobre a qual estes se podem completar mais tarde.
VdS 10000 e o servidor web: o que fazer em concreto
A diretriz não fala de PHP nem de servidores web individuais. Os seus requisitos podem, no entanto, ser transpostos diretamente para a infraestrutura web. A tabela seguinte mostra como isso pode ser. É uma ajuda de tradução, e não uma interpretação oficial.
| Área de requisito | Significado para o site e o servidor web | Exemplo da situação do PHP2Shell |
|---|---|---|
| Visão geral dos sistemas de TI e dos riscos | Sites, lojas, portais e os seus servidores estão registados e avaliados | Saber de imediato que sistemas usam PHP e em que versão |
| Vulnerabilidades e atualizações | As atualizações de segurança são instaladas atempadamente e documentadas | Patch para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, reinício de todos os workers |
| Acessos remotos com autenticação multifator | SSH, painel de alojamento e administração do CMS estão protegidos adicionalmente | Palavras-passe roubadas, por si só, não abrem um acesso de administrador |
| Cópias de segurança | Várias gerações, locais e suportes separados | Recurso a uma cópia anterior a 17/10/2026, se necessário |
| Incidentes de segurança | Via de comunicação, avaliação, documentação | A suspeita de webshell é comunicada e verificada, não apagada em silêncio |
| Prestadores de serviços | O fornecedor de alojamento e a agência estão envolvidos por contrato | Confirmação escrita do patch pelo fornecedor de alojamento |
Quanto às cópias de segurança, vale a pena ver Cópias de segurança segundo a regra 3-2-1; quanto aos acessos remotos, Autenticação de dois fatores para acessos de administração. Ambos coincidem bem com as novas obrigações da versão 2025.
Como procedem as PME de forma realista?
A VdS 10000 também pode ser usada como guia sem objetivo de certificação. Um caminho pragmático começa pelo inventário, porque sem visão geral nenhum outro requisito se cumpre devidamente. Seguem-se os pontos com maior efeito por esforço: autenticação multifator, cópias de segurança funcionais com teste de recuperação e uma via de comunicação clara em caso de suspeita.
Só depois de estas bases estarem assentes compensa o lado formal, com diretrizes, responsáveis nomeados e avaliação de risco. Quem mais tarde pretender uma certificação encontra o procedimento na documentação da VdS; a auditoria em si é assumida pela entidade de certificação, e não por um prestador de serviços como nós.
Um obstáculo frequente nas PME é a pergunta sobre quem assume o papel de responsável pela segurança da informação. A versão 2025 exige uma nomeação oficial. Nas pequenas empresas, a tarefa acaba muitas vezes na direção de TI ou na própria gerência. É possível, desde que o tempo e os poderes sejam realistas. É importante que esta pessoa também tenha em vista os sites que o marketing ou uma agência gere. Precisamente esses passam facilmente pela malha no primeiro levantamento, porque não correm no centro de dados da própria empresa. Ajuda uma regra simples: cada domínio que a empresa possui tem uma pessoa responsável e uma entrada no inventário.
Para o servidor web, isto significa: o hardening e a disciplina de patches não são um extra ao lado da diretriz, mas exatamente o que ela exige no dia a dia. O que lhes pertence, descreve-o o Hardening de servidores web PHP. A comparação com as grandes normas faz-a o artigo ISO 27001 e TISAX: o que afeta os servidores web.
Como ajuda concretamente a PHP SOS?
- Elaboramos consigo o inventário dos seus sites, servidores e versões do PHP e assinalamos os sistemas críticos.
- Aplicamos os requisitos técnicos no servidor web: atualizações com comprovativo, autenticação multifator para acessos remotos, hardening e verificação das cópias de segurança.
- Documentamos isto de modo a que os seus responsáveis pela segurança da informação o possam incorporar na documentação VdS.
- Não prometemos nenhuma certificação. Se os requisitos estão cumpridos, avalia-o a entidade de auditoria.
Conclusão
A VdS 10000 é um quadro a levar a sério, mas exequível, para as PME. A versão 2025 afina precisamente os pontos que contam também depois do PHP2Shell: responsáveis, autenticação multifator, boas cópias de segurança e um tratamento regulado dos incidentes. Quem começa pelo servidor web tem depressa progressos visíveis e uma base sólida para mais.
Perguntas frequentes
Para quem se destina a VdS 10000?
Segundo a VdS, para pequenas e médias empresas, bem como municípios e empresas municipais. É neutra quanto ao setor e não deve sobrecarregar nem em termos organizacionais nem financeiros. Segundo a VdS, também organizações maiores a podem aplicar.
Qual é a diferença entre a VdS 10000 e a ISO 27001?
A VdS 10000 baseia-se, segundo a VdS, na ISO 27001 e no IT-Grundschutz do BSI, mas está talhada para PME e é claramente mais enxuta. A VdS quantifica o esforço em cerca de 20 por cento em comparação com a ISO 27001 e descreve a diretriz como compatível ascendente, isto é, como possível porta de entrada na série ISO 27000.
A VdS 10000 ajuda com a NIS2?
A VdS descreve a nova edição de 2025 como base sobre a qual os requisitos da NIS2 se podem completar mais tarde. Para isso existe a diretriz própria VdS 10100. Se a sua empresa está abrangida pela NIS2 e o que então se aplica, esclareça-o em separado.
Existe uma versão para instalações de produção?
Sim. Para sistemas industriais de automação, a VdS publica o guia VdS 10020, que interpreta a VdS 10000 para esta área.