Na kratko: ISO 27001 in TISAX zadevata spletne strežnike zlasti prek treh zahtev: ranljivosti je treba prepoznati in obravnavati, ponudnike, kot so ponudniki gostovanja in agencije, je treba usmerjati, varnostni incidenti pa potrebujejo urejen potek. Razmere, kot je PHP2Shell, so za vsak ISMS preizkus v praksi. Kdor ocenjevanje, popravek in ponovni zagon sledljivo dokumentira, ima dobro podlago za naslednjo presojo. Certifikat ali oznaka popravka ne nadomešča.
Kaj sta ISO 27001 in TISAX, v dveh odstavkih
ISO/IEC 27001 opisuje zahteve za sistem upravljanja informacijske varnosti, na kratko ISMS. Mišljen je urejen krog: oceniti tveganja, določiti ukrepe, jih izvesti, preveriti in izboljšati. Aktualna izdaja iz leta 2022 v Dodatku A vsebuje katalog 93 ukrepov v štirih temah. Katere med njimi veljajo, odloči podjetje na podlagi svoje ocene tveganj in to zapiše v izjavi o uporabnosti.
TISAX je v avtomobilski industriji razširjen mehanizem preverjanja in izmenjave. Vodi ga ENX Association, podlaga je katalog zahtev ISA, ki ga vzdržuje ENX in objavlja VDA. Neodvisni preizkuševalci izvedejo presojo, katere obseg je odvisen od potrebe po zaščiti in sega od pregledov dokumentov do terminov na kraju samem. Rezultati se po navedbah ENX podeljujejo kot oznake, veljajo tri leta in se prek portala ENX delijo samo z izbranimi partnerji.
ISO 27001 pri spletnem strežniku: katere zahteve veljajo?
Spletni strežnik je v ISMS redko samostojno poglavje. Pojavi se na več mestih in prav tam nastajajo vrzeli. Naslednji pregled splošno razvršča najpomembnejše teme. Ne nadomešča pogleda v vašo lastno izjavo o uporabnosti.
| Tema v ISMS | Kaj to pomeni pri spletnem strežniku | Dokazilo, ki pomaga pri presoji |
|---|---|---|
| Popis sredstev | Vsaka spletna stran, vsak strežnik, vsaka različica PHP je zabeležena | Aktualen seznam z upravljavcem, različico, odgovorno osebo |
| Ravnanje s tehničnimi ranljivostmi | Obvestila, kot je PHP2Shell, se ocenijo in obravnavajo | Zahtevek z oceno, odločitvijo, datumom popravka |
| Odnosi z dobavitelji | Ponudnik gostovanja in agencija imata jasne varnostne obveznosti | Pogodba, delitev nalog, pisna potrditev stanja popravkov |
| Beleženje in nadzor | Dnevniki spletnega strežnika se hranijo in analizirajo | Pravilo hranjenja, primer analize |
| Upravljanje incidentov | Sum se prijavi, oceni in zaključi | Zapisnik incidenta, lessons learned |
| Upravljanje konfiguracije | Nastavitve PHP in spletnega strežnika so določene | Ciljna konfiguracija in preverjanje odstopanj |
Pri TISAX veljajo primerljive teme, ker je katalog ISA usklajen z drugimi pomembnimi standardi. Poleg tega nekateri preizkusni cilji, na primer zaščita prototipov, zahtevajo posebno skrbnost pri sistemih, prek katerih partnerji izmenjujejo podatke. To so lahko tudi portali na osnovi PHP.
PHP2Shell kot preizkus v praksi za ISMS
Dne 21. 10. 2026 je projekt PHP objavil različice 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Za PHP 8.1 in starejše uradnih posodobitev ni več. Delujoč ISMS bi moral v takih razmerah sprožiti verigo, ki jo je pozneje mogoče dokazati.
- Prejem: Kdo je obvestilo prejel kdaj in kje je zabeleženo?
- Ocena: Kateri sistemi so prizadeti? To predpostavlja ažuren popis, glejte Vedeti, kaj teče.
- Odločitev: Popravek, prehodni ukrep ali začasen izklop, z obrazložitvijo in imenom odločajoče osebe.
- Izvedba: Stanje paketa, ponovni zagon vseh procesov PHP, kontrola. Pri prenosih popravkov (backport) distribucije šteje dnevnik sprememb paketa, ne prikazana številka različice; kako to dokazati, kaže Pravilno preverjanje različice PHP in stanja popravkov.
- Dobavitelji: Pisna potrditev ponudnika gostovanja, da je bil popravek nameščen in da je bil izveden ponovni zagon.
- Naknadna kontrola: Preverjanje znakov ogrozitve od 17. 10. 2026, ker popravek prejšnjih vdorov ne razveljavi.
Kako iz te enkratne verige naredite trajen postopek, opisujeta Upravljanje ranljivosti v srednje velikih podjetjih in Upravljanje popravkov kot postopek.
Pogoste šibkosti v dokumentaciji
V praksi dokazovanje redko spodleti zaradi tehnike, ampak zaradi vrzeli v verigi. Značilna je spletna stran, ki jo strokovni oddelek upravlja z agencijo in ki v popisu manjka. Enako pogoste so pogodbe s ponudniki gostovanja brez izjave o tem, kako hitro se nameščajo varnostne posodobitve in ali so stranke obveščene.
Še en klasik: zahtevek za popravek je zaprt, vendar nihče ni znova zagnal procesov PHP. Formalno je točka opravljena, tehnično še naprej teče stara koda. Dober dokaz zato ne vsebuje le »posodobitev nameščena«, ampak tudi ponovni zagon in kontrolo po njem.
Težko je tudi pri sistemih, ki jih ni mogoče takoj popraviti, na primer aplikacija na PHP 8.1. Tu ISMS ne zahteva čudežev, zahteva pa zavestno odločitev: Kateri prehodni ukrepi veljajo, kdo je sprejel preostalo tveganje in do kdaj je načrtovan prehod? Pisno sprejetje tveganja s potekom veljavnosti je pri presoji občutno boljše kot molče delujoč stari sistem. Podobno pomembni so dnevniki. Strokovni tisk in avtorji so po PHP2Shell svetovali hranjenje strežniških dnevnikov od 20. 10. 2026. Ali vaše pravilo hranjenja to omogoča in ali so dnevniki pri ponudniku gostovanja ali pri vas, bi moralo biti razjasnjeno pred naslednjim incidentom, ne med njim.
Če vaše podjetje dodatno spada pod NIS2, se te zahteve okrepijo. Osnove so na strani NIS2 in varnost spletnih strežnikov. To je splošna informacija, ne pravno svetovanje.
Certifikat ali oznaka opisuje stanje sistema upravljanja ob času preverjanja. Posameznega strežnika pred novo vrzeljo ne zaščiti. Odločilno je, da postopek v skrajnem primeru dejansko zaleže.
Kako PHP SOS pomaga konkretno?
- Vaše spletne strežnike in namestitve PHP zabeležimo tako, da ustrezajo popisu vašega ISMS.
- Popravljamo in dokumentiramo s svojo storitvijo popravljanja PHP: stanje paketa, ponovni zagon, kontrola, z datumom in dokazili.
- Oblikujemo vprašanja za ponudnike gostovanja in agencije ter ocenimo njihove odgovore za vaše upravljanje dobaviteljev.
- Vaši odgovorni osebi za ISMS dostavimo tehnična dejstva. Ocena v sistemu upravljanja in presoja ostaneta pri vas in vaši preizkusni službi.
Sklep
ISO 27001 in TISAX ne zahtevata določenega spletnega strežnika, zahtevata pa sledljivo ravnanje z njim. PHP2Shell pokaže, ali popis, obravnava ranljivosti in usmerjanje dobaviteljev delujejo skupaj. Kdor verigo prejema, ocene, popravka, ponovnega zagona in naknadne kontrole čisto dokaže, ima pod nadzorom ne le presojo, ampak predvsem strežnik.
Pogosta vprašanja
Ali spletna stran podjetja sodi v obseg uporabe ISO 27001?
To je odvisno od tega, kako je vaše podjetje določilo obseg. Če spletna stran obdeluje podatke strank, je povezana z notranjimi sistemi ali jo upravlja ponudnik, veliko govori za to, da jo vključite ali vsaj zajamete prek upravljanja dobaviteljev.
Ali je TISAX certifikat?
ENX Association govori o presoji, ki jo opravijo neodvisni preizkuševalci in katere rezultati se podeljujejo kot oznake TISAX. Oznake po navedbah ENX veljajo tri leta in se prek portala ENX ciljno delijo s partnerji, niso javne.
Ali moram po PHP2Shell obvestiti svojega presojevalca?
Splošne obveznosti za to ni. Vaš ISMS pa naj dokumentira, kako ste ranljivost ocenili in obravnavali. Ta dokumentacija se pri naslednji presoji običajno pregleda.
Katera različica ISO 27001 je aktualna?
Merodajna je izdaja ISO/IEC 27001:2022. Njen Dodatek A razvršča ukrepe v štiri teme: organizacijsko, osebno, fizično in tehnološko.