Na kratko: VdS 10000 je smernica VdS Schadenverhütung (nemške ustanove za preprečevanje škode) za informacijsko varnost v malih in srednje velikih podjetjih. Po navedbah VdS temelji na ISO 27001 in osnovni zaščiti BSI (Grundschutz), vendar je občutno vitkejša in prilagojena srednje velikim podjetjem. Pri spletnih straneh in spletnih strežnikih so pomembni zlasti popis, obravnava ranljivosti, oddaljeni dostopi z večfaktorsko prijavo, varnostno kopiranje in ravnanje z varnostnimi incidenti.
Zakaj je VdS 10000 zanimiva za srednje velika podjetja
Mnoga podjetja vedo, da bi morala informacijsko varnost obravnavati bolj strukturirano, vendar se ustrašijo truda pri ISO 27001. Za to je namenjena VdS 10000. VdS jo opisuje kot panožno nevtralen katalog ukrepov, ki naj mala in srednje velika podjetja ter občine preobremeni niti organizacijsko niti finančno.
Dva podatka VdS pomagata pri umestitvi. Napor naj bi znašal približno 20 odstotkov v primerjavi z ISO 27001. In BSI naj bi zahteve VdS 10000 ocenil kot podmnožico osnovne zaščite IT-Grundschutz. Smernica torej ni nadomestilo za velike standarde, ampak realističen vstop, ki je po navedbah VdS navzgor združljiv.
Za zavarovalnice ima VdS 10000 posebno težo, saj je VdS tesno povezan z zavarovalništvom. VdS poudarja, da lahko certifikacija pri zavarovalnicah ustvari zaupanje in pomaga prenesti preostalo tveganje. Kaj to konkretno pomeni za vašo polico, razjasnite z zavarovalnico ali posrednikom; napotki za škodni primer so na strani Kibernetsko zavarovanje: kaj šteje ob škodnem primeru.
Kaj je novega v VdS 10000, izdaja 2025
VdS je smernico leta 2025 prenovil. Po navedbah VdS so bile pri tem med drugim dodane ali spremenjene te točke:
- Jasnejši jezik, da zahteve razumejo tudi začetniki.
- Zavezujoče odgovornosti: Pooblaščenci za informacijsko varnost in pripadajoča ekipa morajo biti uradno imenovani.
- Večfaktorska overitev za oddaljene dostope postane obveznost.
- Varnostno kopiranje po večgeneracijskem načelu, na različnih lokacijah in na različnih medijih.
- Prenovljeno upravljanje tveganj z določili o merilih ocenjevanja in mejah, od katerih se tveganje sprejme.
- Skupno poglavje »Varnostni incidenti«, ki združuje prejšnja poglavja o motnjah, izpadih in incidentih.
- Fizični dostopi, kot so ključi in transponderji, se urejajo v kadrovskih postopkih.
Nova izdaja upošteva tudi smernico VdS 10100, ki opisuje zahteve NIS2. VdS vidi VdS 10000 kot podlago, na kateri jih je mogoče pozneje dopolniti.
VdS 10000 in spletni strežnik: kaj konkretno storiti
Smernica ne govori o PHP ali posameznih spletnih strežnikih. Njene zahteve pa je mogoče neposredno prenesti na spletno infrastrukturo. Naslednja tabela kaže, kako to lahko izgleda. Je prevajalska pomoč, ne uradna razlaga.
| Področje zahtev | Pomen za spletno stran in spletni strežnik | Primer iz razmer PHP2Shell |
|---|---|---|
| Pregled sistemov IT in tveganj | Spletne strani, trgovine, portali in njihovi strežniki so zabeleženi in ocenjeni | Takoj vedeti, kateri sistemi uporabljajo PHP in v kateri različici |
| Ranljivosti in posodobitve | Varnostne posodobitve se nameščajo pravočasno in dokumentirajo | Popravek na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35, ponovni zagon vseh delavcev |
| Oddaljeni dostopi z večfaktorsko prijavo | SSH, upravljalna plošča gostovanja in skrbništvo CMS so dodatno zavarovani | Ukradena gesla sama ne odprejo skrbniškega dostopa |
| Varnostno kopiranje | Več generacij, ločene lokacije in mediji | Povratek na varnostno kopijo pred 17. 10. 2026, če je potrebno |
| Varnostni incidenti | Pot prijave, ocena, dokumentacija | Sum na webshell se prijavi in preveri, ne tiho izbriše |
| Ponudniki | Ponudnik gostovanja in agencija sta pogodbeno vključena | Pisna potrditev popravka ponudnika gostovanja |
Za varnostno kopiranje se splača pogledati Varnostne kopije po pravilu 3-2-1, za oddaljene dostope Dvofaktorska prijava za skrbniške dostope. Oboje se dobro ujema z novimi obveznostmi izdaje 2025.
Kako MSP ravnajo realistično?
VdS 10000 je mogoče uporabljati kot vodnik tudi brez cilja certifikacije. Pragmatična pot se začne s popisom, ker brez pregleda nobene druge zahteve ni mogoče čisto izpolniti. Sledijo točke z največjim učinkom na vložen napor: večfaktorska prijava, delujoče varnostne kopije s preizkusom obnovitve in jasna pot prijave ob sumu.
Šele ko so ti temelji postavljeni, se splača formalna plat s smernicami, imenovanimi odgovornimi osebami in oceno tveganj. Kdor pozneje stremi k certifikaciji, najde postopek v dokumentih VdS; samo presojo opravi certifikacijski organ, ne ponudnik, kot smo mi.
Pogost spodrsljaj v srednje velikih podjetjih je vprašanje, kdo prevzame vlogo pooblaščenca za informacijsko varnost. Izdaja 2025 zahteva uradno imenovanje. V majhnih podjetjih naloga pogosto pristane pri vodji IT ali pri vodstvu samem. To je mogoče, dokler sta čas in pooblastila realistično odmerjena. Pomembno je, da ta oseba nadzira tudi spletne strani, ki jih vodita trženje ali agencija. Prav te pri prvem popisu rade zdrsnejo skozi sito, ker ne tečejo v lastnem podatkovnem centru. Pomaga preprosto pravilo: vsaka domena, ki jo podjetje poseduje, ima odgovorno osebo in vnos v popisu.
Za spletni strežnik to pomeni: utrjevanje in disciplina pri popravkih nista kreativni dodatek ob smernici, ampak prav tisto, kar zahteva vsak dan. Kaj sodi zraven, opisuje Utrjevanje strežnikov PHP. Primerjavo z velikimi standardi potegne prispevek ISO 27001 in TISAX: kaj zadeva spletne strežnike.
Kako PHP SOS pomaga konkretno?
- Z vami izdelamo popis vaših spletnih strani, strežnikov in različic PHP ter označimo kritične sisteme.
- Tehnične zahteve na spletnem strežniku izvedemo: posodobitve z dokazilom, večfaktorska prijava za oddaljene dostope, utrjevanje in preverjanje varnostnih kopij.
- To dokumentiramo tako, da jo vaši pooblaščenci za informacijsko varnost lahko prevzamejo v dokumente VdS.
- Ne obljubljamo certifikacije. Ali so zahteve izpolnjene, presodi preizkusna služba.
Sklep
VdS 10000 je resen, a izvedljiv okvir za srednje velika podjetja. Izdaja 2025 zaostri prav tiste točke, ki štejejo tudi po PHP2Shell: odgovorne osebe, večfaktorska prijava, dobre varnostne kopije in urejeno ravnanje z incidenti. Kdor začne pri spletnem strežniku, hitro doseže vidne napredke in trdno podlago za več.
Pogosta vprašanja
Za koga je VdS 10000 namenjena?
Po navedbah VdS za mala in srednje velika podjetja ter občine in komunalna podjetja. Je panožno nevtralna in naj ne bi preobremenila ne organizacijsko ne finančno. Po navedbah VdS jo lahko uporabljajo tudi večje organizacije.
Kakšna je razlika med VdS 10000 in ISO 27001?
VdS 10000 po navedbah VdS temelji na ISO 27001 in osnovni zaščiti BSI (Grundschutz), vendar je prilagojena MSP in občutno vitkejša. VdS napore ocenjuje na približno 20 odstotkov v primerjavi z ISO 27001 in smernico opisuje kot navzgor združljivo, torej kot možen vstop v družino ISO 27000.
Ali VdS 10000 pomaga pri NIS2?
VdS novo izdajo 2025 opisuje kot podlago, na kateri je mogoče pozneje dopolniti zahteve NIS2. Za to obstaja lastna smernica VdS 10100. Ali vaše podjetje spada pod NIS2 in kaj tedaj velja, razjasnite ločeno.
Ali obstaja različica za proizvodne naprave?
Da. Za industrijske sisteme avtomatizacije VdS objavlja vodnik VdS 10020, ki VdS 10000 razlaga za to področje.