Stručne: ISO 27001 a TISAX sa webserverov týkajú najmä cez tri požiadavky: zraniteľnosti sa musia rozpoznať a ošetriť, dodávatelia ako poskytovatelia hostingu a agentúry sa musia riadiť a bezpečnostné incidenty potrebujú usporiadaný postup. Situácia ako PHP2Shell je pre každý ISMS praktický test. Kto posúdenie, záplatu a reštart zdokumentuje zrozumiteľne, má dobrý základ pre ďalší audit. Certifikát ani label záplatu nenahrádza.
Čo sú ISO 27001 a TISAX, v dvoch odsekoch
ISO/IEC 27001 opisuje požiadavky na systém riadenia informačnej bezpečnosti, skrátene ISMS. Ide o usporiadaný cyklus: posúdiť riziká, určiť opatrenia, zrealizovať, preveriť a zlepšovať. Aktuálne vydanie z roku 2022 obsahuje v prílohe A katalóg 93 opatrení v štyroch témach. Ktoré z nich platia, rozhoduje firma na základe svojho posúdenia rizík a zaznamená to vo vyhlásení o aplikovateľnosti.
TISAX je v automobilovom priemysle rozšírený mechanizmus skúšania a výmeny informácií. Riadi ho ENX Association, základom je katalóg požiadaviek ISA, ktorý ENX udržiava a VDA (Zväz automobilového priemyslu) zverejňuje. Nezávislí poskytovatelia auditov vykonávajú assessment, ktorého rozsah závisí od potreby ochrany a siaha od kontroly dokumentov až po termíny na mieste. Výsledky sa podľa ENX udeľujú ako labely, platia tri roky a cez portál ENX sa zdieľajú iba s vybranými partnermi.
ISO 27001 pri webserveri: ktoré požiadavky platia?
Webserver je v ISMS zriedka samostatnou kapitolou. Objavuje sa na viacerých miestach a práve tam vznikajú medzery. Nasledujúci prehľad všeobecne priraďuje najdôležitejšie témy. Nenahrádza pohľad do vášho vlastného vyhlásenia o aplikovateľnosti.
| Téma v ISMS | Čo to znamená pri webserveri | Doklad, ktorý pomôže pri audite |
|---|---|---|
| Inventár aktív | Každý web, každý server, každá verzia PHP je zachytená | Aktuálny zoznam s prevádzkovateľom, verziou, zodpovednou osobou |
| Nakladanie s technickými zraniteľnosťami | Hlásenia ako PHP2Shell sa posudzujú a ošetrujú | Tiket s posúdením, rozhodnutím, dátumom záplaty |
| Vzťahy s dodávateľmi | Poskytovateľ hostingu a agentúra majú jasné bezpečnostné povinnosti | Zmluva, rozdelenie úloh, písomné potvrdenie stavu záplat |
| Zaznamenávanie a monitorovanie | Logy webservera sa uchovávajú a vyhodnocujú | Pravidlo uchovávania, príklad vyhodnotenia |
| Riadenie incidentov | Podozrenie sa hlási, posudzuje a uzatvára | Záznam o incidente, Lessons Learned |
| Riadenie konfigurácie | Nastavenia PHP a webservera sú stanovené | Cieľová konfigurácia a kontrola odchýlok |
Pri TISAX platia porovnateľné témy, pretože katalóg ISA je zosúladený s inými významnými štandardmi. Niektoré ciele skúšania, napríklad ochrana prototypov, navyše vyžadujú osobitnú starostlivosť pri systémoch, cez ktoré partneri vymieňajú údaje. Môžu to byť aj portály na báze PHP.
PHP2Shell ako praktický test pre ISMS
Dňa 21. 10. 2026 projekt PHP zverejnil verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už neexistujú oficiálne aktualizácie. Fungujúci ISMS by mal v tejto situácii spustiť reťazec, ktorý sa dá neskôr doložiť.
- Prijatie: Kto dostal hlásenie kedy a kde je zaznamenané?
- Posúdenie: Ktoré systémy sú dotknuté? To predpokladá aktuálny inventár, pozri Vedieť, čo beží.
- Rozhodnutie: Záplata, prechodné opatrenie alebo dočasné odpojenie, s odôvodnením a menom rozhodujúcej osoby.
- Realizácia: Stav balíka, reštart všetkých procesov PHP, kontrola. Pri backportoch distribúcie sa počíta changelog balíka, nie zobrazené číslo verzie; ako to doložiť, ukazuje článok Ako správne skontrolovať verziu PHP a stav záplat.
- Dodávatelia: Písomné potvrdenie poskytovateľa hostingu, že sa záplatovalo a reštartovalo.
- Dodatočná kontrola: Kontrola príznakov kompromitácie od 17. 10. 2026, pretože záplata skoršie vniknutia nevráti späť.
Ako z tohto jednorazového reťazca vytvoríte trvalý postup, opisujú články Riadenie zraniteľností pre stredné firmy a Správa záplat ako proces.
Časté slabiny v dokumentácii
V praxi doklad zriedka zlyhá na technike, ale na medzerách v reťazci. Typický je web, ktorý prevádzkuje odborné oddelenie s agentúrou a ktorý v inventári chýba. Rovnako časté sú zmluvy s poskytovateľom hostingu bez vyjadrenia o tom, ako rýchlo sa bezpečnostné aktualizácie inštalujú a či sa zákazníci informujú.
Ďalší klasický prípad: Tiket k záplate je uzavretý, ale nikto procesy PHP nereštartoval. Formálne je bod vybavený, technicky beží ďalej starý kód. Dobrý doklad preto neobsahuje iba „aktualizácia nainštalovaná“, ale aj reštart a kontrolu po ňom.
Ťažké je to aj pri systémoch, ktoré sa nedajú hneď záplatovať, napríklad aplikácia na PHP 8.1. ISMS tu nežiada zázraky, ale vedomé rozhodnutie: Aké prechodné opatrenia platia, kto akceptoval zostávajúce riziko a dokedy je naplánovaný prechod? Písomná akceptácia rizika s dátumom platnosti je pri audite oveľa lepšia než potichu ďalej bežiaci starý systém. Podobne dôležité sú logy. Odborná tlač a odborní autori po PHP2Shell radili uchovávať logy servera od 20. 10. 2026. Či to vaše pravidlo uchovávania umožňuje a či sú logy u poskytovateľa hostingu alebo u vás, by malo byť vyjasnené pred ďalším incidentom, nie počas neho.
Ak sa na vašu firmu navyše vzťahuje NIS2, tieto požiadavky sa zosilňujú. Základné črty nájdete v článku NIS2 a bezpečnosť webservera. Ide o všeobecnú informáciu, nie právne poradenstvo.
Certifikát alebo label opisuje stav systému riadenia v čase skúšky. Nechráni jednotlivý server pred novou zraniteľnosťou. Rozhodujúce je, aby postup v krízovej situácii skutočne fungoval.
Ako konkrétne pomáha PHP SOS?
- Vaše webservery a inštalácie PHP zachytíme tak, aby zapadli do inventára vášho ISMS.
- Záplatujeme a dokumentujeme prostredníctvom našej služby záplatovania PHP: stav balíka, reštart, kontrola, s dátumom a dokladmi.
- Formulujeme otázky pre poskytovateľov hostingu a agentúry a ich odpovede hodnotíme pre vaše riadenie dodávateľov.
- Zodpovedným pracovníkom pre ISMS dodávame technické fakty. Posúdenie v systéme riadenia a audit zostávajú na vás a vašom skúšobnom orgáne.
Záver
ISO 27001 a TISAX nepožadujú konkrétny webserver, ale zrozumiteľné zaobchádzanie s ním. PHP2Shell ukazuje, či inventár, ošetrovanie zraniteľností a riadenie dodávateľov spolu fungujú. Kto čisto doloží reťazec prijatia, posúdenia, záplaty, reštartu a dodatočnej kontroly, má pod kontrolou nielen audit, ale predovšetkým server.
Časté otázky
Patrí firemný web do rozsahu ISO 27001?
Závisí to od toho, ako vaša firma rozsah určila. Ak web spracúva údaje zákazníkov, je prepojený s internými systémami alebo ho prevádzkuje dodávateľ, hovorí veľa za tým, aby sa zahrnul alebo aspoň zachytil cez riadenie dodávateľov.
Je TISAX certifikát?
ENX Association hovorí o assessmente nezávislých poskytovateľov auditov, ktorého výsledky sa udeľujú ako labely TISAX. Labely podľa ENX platia tri roky a cez portál ENX sa cielene zdieľajú s partnermi, nie sú verejné.
Musím po PHP2Shell informovať audítorku?
Všeobecná povinnosť neexistuje. Váš ISMS by však mal zdokumentovať, ako ste zraniteľnosť posúdili a ošetrili. Tieto podklady sa pri ďalšom audite zvyčajne preverujú.
Ktorá verzia ISO 27001 je aktuálna?
Rozhodujúce je vydanie ISO/IEC 27001:2022. Jeho príloha A radí opatrenia do štyroch tém: organizačné, osobné, fyzické a technologické.