Накратко: VdS 10000 е директива на VdS Schadenverhütung (германска организация за предотвратяване на щети) за информационна сигурност в малки и средни предприятия. Според VdS тя се основава на ISO 27001 и на BSI-Grundschutz (базовата защита на ИТ на Федералната служба за информационна сигурност на Германия), но е значително по-стегната и съобразена със средния бизнес. За уебсайтовете и уеб сървърите най-важни са инвентарът, третирането на уязвимостите, отдалечените достъпи с многофакторно удостоверяване, архивирането на данни и работата с инциденти със сигурността.
Защо VdS 10000 е интересна за средния бизнес
Много фирми знаят, че трябва да подходят към информационната сигурност по-структурирано, но се стряскат от усилията, които изисква ISO 27001. Точно за това е предназначена VdS 10000. VdS я описва като неутрален към отрасъла каталог от мерки, който не бива да претоварва малките и средните предприятия и общините нито организационно, нито финансово.
Две твърдения на VdS помагат за класифицирането. Усилията били около 20 процента в сравнение с ISO 27001. И BSI оценявало изискванията на VdS 10000 като подмножество на базовата защита (Basis-Absicherung) на IT-Grundschutz. Директивата следователно не е заместител на големите стандарти, а реалистично начало, което според VdS е съвместимо нагоре.
За застрахователите VdS 10000 има особена тежест, защото VdS е тясно свързана със застрахователния сектор. VdS подчертава, че сертификацията може да създаде доверие при застрахователите и да помогне за прехвърлянето на остатъчния риск. Какво означава това конкретно за Вашата полица, изяснете със застрахователя или брокера; насоки за щетния случай има в Киберзастраховка: какво има значение при щета.
Какво е ново във версията VdS 10000 от 2025 г.
VdS е преработила директивата през 2025 г. Според VdS са добавени или променени, наред с другото, тези точки:
- По-ясен език, за да разбират изискванията и начинаещите.
- Обвързващи отговорности: Длъжностните лица по информационна сигурност и съответният екип трябва да бъдат официално назначени.
- Многофакторно удостоверяване за отдалечени достъпи става задължително.
- Архивиране на данни по принципа на много поколения, на различни места и върху различни носители.
- Преработено управление на риска с указания за критерии за оценка и граници, от които един риск се приема.
- Обща глава „Инциденти със сигурността“, която обединява по-ранните глави за смущения, откази и инциденти.
- Физическите достъпи като ключове и транспондери се уреждат допълнително в кадровите процеси.
Новото издание отчита и директивата VdS 10100, която описва изискванията на NIS2. VdS разглежда VdS 10000 като основа, върху която те могат по-късно да се добавят.
VdS 10000 и уеб сървърът: какво конкретно трябва да се направи
Директивата не говори за PHP или за отделни уеб сървъри. Нейните изисквания обаче могат да се пренесат директно върху уеб инфраструктурата. Следната таблица показва как може да изглежда това. Тя е помагало за превод, а не официално тълкуване.
| Област на изискване | Значение за уебсайта и уеб сървъра | Пример от ситуацията с PHP2Shell |
|---|---|---|
| Преглед на ИТ системите и рисковете | Уебсайтовете, магазините, порталите и техните сървъри са отчетени и оценени | Веднага да се знае кои системи ползват PHP и в коя версия |
| Уязвимости и ъпдейти | Ъпдейтите за сигурност се инсталират своевременно и се документират | Пач до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, рестарт на всички worker |
| Отдалечени достъпи с многофакторно удостоверяване | SSH, хостинг панелът и CMS администрацията са допълнително защитени | Откраднати пароли сами по себе си не отварят администраторски достъп |
| Архивиране на данни | Няколко поколения, отделни места и носители | Връщане към копие отпреди 17.10.2026 г., ако е нужно |
| Инциденти със сигурността | Път за съобщаване, оценка, документиране | Подозрение за webshell се съобщава и проверява, а не се трие тихо |
| Доставчици | Хостинг доставчикът и агенцията са включени договорно | Писмено потвърждение за пача от хостинг доставчика |
За архивирането си заслужава да погледнете Резервни копия по правилото 3-2-1, за отдалечените достъпи Двуфакторно удостоверяване за администраторски достъпи. И двете се вписват добре в новите задължения на версията от 2025 г.
Как малкият и средният бизнес действа реалистично?
VdS 10000 може да се ползва като ръководство и без цел за сертификация. Прагматичният път започва с инвентара, защото без преглед никое друго изискване не може да се изпълни чисто. След това следват точките с най-голям ефект за усилие: многофакторно удостоверяване, работещи резервни копия с тест за възстановяване и ясен път за съобщаване при подозрение.
Едва когато тези основи стоят, си заслужава формалната страна с директиви, назначени отговорници и оценка на риска. Който по-късно се стреми към сертификация, ще намери процедурата в документите на VdS; самата проверка се поема от сертифициращия орган, а не от доставчик като нас.
Честа спънка в средния бизнес е въпросът кой поема ролята на длъжностното лице по информационна сигурност. Версията от 2025 г. изисква официално назначаване. В малките фирми задачата често отива при ръководителя на ИТ или при самия управител. Това е възможно, докато времето и правомощията са реалистично отмерени. Важно е това лице да държи под око и уебсайтовете, които поддържат маркетингът или агенция. Именно те при първата инвентаризация лесно минават през решетката, защото не работят в собствения център за данни. Полезно е просто правило: всеки домейн, който фирмата притежава, има отговорно лице и запис в инвентара.
За уеб сървъра това означава: заздравяването и дисциплината при пачовете не са по желание до директивата, а точно това, което тя изисква в ежедневието. Какво спада към тях, описва Заздравяване на сървъра за PHP уеб сървъри. Сравнението с големите стандарти прави материалът ISO 27001 и TISAX: какво засяга уеб сървърите.
Как помага PHP SOS конкретно?
- Изготвяме с Вас инвентара на Вашите уебсайтове, сървъри и версии на PHP и маркираме критичните системи.
- Изпълняваме техническите изисквания на уеб сървъра: ъпдейти с доказателство, многофакторно удостоверяване за отдалечени достъпи, заздравяване и проверка на резервните копия.
- Документираме това така, че Вашите длъжностни лица по информационна сигурност да могат да го пренесат в документите за VdS.
- Не обещаваме сертификация. Дали изискванията са изпълнени, преценява проверяващата институция.
Извод
VdS 10000 е сериозна, но постижима рамка за средния бизнес. Версията от 2025 г. изостря точно точките, които имат значение и след PHP2Shell: отговорници, многофакторно удостоверяване, добри резервни копия и уреден ред при инциденти. Който започне от уеб сървъра, бързо има видим напредък и стабилна основа за още.
Често задавани въпроси
За кого е предназначена VdS 10000?
Според VdS за малки и средни предприятия, както и за общини и общински предприятия. Тя е неутрална към отрасъла и не бива да претоварва нито организационно, нито финансово. Според VdS могат да я прилагат и по-големи организации.
Каква е разликата между VdS 10000 и ISO 27001?
Според VdS директивата VdS 10000 се основава на ISO 27001 и на BSI-Grundschutz, но е съобразена с малкия и средния бизнес и е значително по-стегната. VdS оценява усилията на около 20 процента в сравнение с ISO 27001 и описва директивата като съвместима нагоре, тоест като възможно начало към серията ISO 27000.
Помага ли VdS 10000 за NIS2?
VdS описва новото издание от 2025 г. като основа, върху която по-късно могат да се добавят изискванията на NIS2. За това има отделна директива VdS 10100. Дали Вашата фирма попада под NIS2 и какво тогава важи, изяснете отделно.
Има ли версия за производствени съоръжения?
Да. За индустриални системи за автоматизация VdS публикува ръководството VdS 10020, което тълкува VdS 10000 за тази област.