Stručně: ISO 27001 a TISAX se webových serverů dotýkají zejména třemi požadavky: Zranitelnosti je nutné rozpoznávat a řešit, dodavatele jako poskytovatele hostingu a agentury je nutné řídit a bezpečnostní incidenty potřebují řádný postup. Situace jako PHP2Shell je pro každé ISMS praktickou zkouškou. Kdo srozumitelně zdokumentuje hodnocení, záplatu a restart, má dobrý základ pro příští audit. Certifikát nebo štítek záplatu nenahradí.
Co jsou ISO 27001 a TISAX, ve dvou odstavcích
ISO/IEC 27001 popisuje požadavky na systém řízení informační bezpečnosti, zkráceně ISMS. Jde o uspořádaný cyklus: hodnotit rizika, stanovit opatření, provést je, kontrolovat a zlepšovat. Aktuální vydání z roku 2022 obsahuje v příloze A katalog 93 opatření ve čtyřech tématech. Která z nich platí, rozhoduje firma na základě svého hodnocení rizik a zaznamenává to v prohlášení o aplikovatelnosti.
TISAX je v automobilovém průmyslu rozšířený mechanismus prověřování a výměny. Řídí ho ENX Association, základem je katalog požadavků ISA, který ENX udržuje a VDA zveřejňuje. Nezávislí poskytovatelé auditních služeb provádějí assessment, jehož rozsah závisí na potřebě ochrany a sahá od kontroly dokumentů po návštěvy na místě. Výsledky se podle ENX udělují jako štítky, platí tři roky a sdílejí se přes portál ENX jen s vybranými partnery.
ISO 27001 u webového serveru: jaké požadavky se uplatní?
Webový server je v ISMS zřídka samostatnou kapitolou. Objevuje se na několika místech a právě tam vznikají mezery. Následující přehled řadí nejdůležitější témata obecně. Nenahrazuje pohled do vlastního prohlášení o aplikovatelnosti.
| Téma v ISMS | Co to znamená u webového serveru | Doklad, který pomůže při auditu |
|---|---|---|
| Inventář aktiv | Každý web, každý server, každá verze PHP je zachycena | Aktuální seznam s provozovatelem, verzí, odpovědnou osobou |
| Práce s technickými zranitelnostmi | Hlášení jako PHP2Shell se hodnotí a řeší | Ticket s hodnocením, rozhodnutím, datem záplaty |
| Vztahy s dodavateli | Poskytovatel hostingu a agentura mají jasné bezpečnostní povinnosti | Smlouva, rozdělení úkolů, písemné potvrzení stavu záplat |
| Protokolování a monitorování | Logy webového serveru se uchovávají a vyhodnocují | Pravidlo uchovávání, příklad vyhodnocení |
| Řízení incidentů | Podezření se hlásí, hodnotí a uzavírá | Záznam o incidentu, lessons learned |
| Řízení konfigurace | Nastavení PHP a webového serveru jsou stanovena | Cílová konfigurace a kontrola odchylek |
U TISAX se uplatňují srovnatelná témata, protože katalog ISA je sladěn s dalšími významnými standardy. Některé cíle prověřování, například ochrana prototypů, navíc vyžadují zvláštní péči u systémů, přes které partneři vyměňují data. Mohou to být i portály na bázi PHP.
PHP2Shell jako praktická zkouška ISMS
Dne 21. 10. 2026 projekt PHP vydal verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 8.1 a starší už oficiální aktualizace neexistují. Fungující ISMS by v této situaci mělo spustit řetězec, který lze později doložit.
- Přijetí: Kdo hlášení kdy obdržel a kde je zaznamenáno?
- Hodnocení: Které systémy jsou dotčeny? To předpokládá aktuální inventář, viz Vědět, co běží.
- Rozhodnutí: Záplata, přechodné opatření nebo dočasné odstavení, s odůvodněním a jménem rozhodující osoby.
- Provedení: Stav balíčku, restart všech procesů PHP, kontrola. U backportů distribuce se počítá changelog balíčku, ne zobrazené číslo verze; jak to doložit, ukazuje Jak správně ověřit verzi PHP a stav záplat.
- Dodavatelé: Písemné potvrzení poskytovatele hostingu, že bylo záplatováno a restartováno.
- Následná kontrola: Kontrola na příznaky kompromitace od 17. 10. 2026, protože záplata dřívější průniky nevrátí zpět.
Jak z tohoto jednorázového řetězce vytvořit trvalý postup, popisují Řízení zranitelností pro střední firmy a Správa záplat jako proces.
Časté slabiny v dokumentaci
V praxi se doložení málokdy zhroutí na technice, ale na mezerách v řetězci. Typický je web, který provozuje odborný útvar s agenturou a který v inventáři chybí. Stejně časté jsou smlouvy s poskytovatelem hostingu bez údaje o tom, jak rychle se instalují bezpečnostní aktualizace a zda jsou zákazníci informováni.
Další klasika: Ticket k záplatě je uzavřen, ale nikdo procesy PHP nerestartoval. Formálně je bod vyřízen, technicky běží starý kód dál. Dobrý doklad proto neobsahuje jen „aktualizace nainstalována“, ale i restart a kontrolu po něm.
Obtížné je to i u systémů, které nelze hned záplatovat, například aplikace na PHP 8.1. ISMS tu nevyžaduje zázraky, ale vědomé rozhodnutí: Jaká přechodná opatření platí, kdo akceptoval zbývající riziko a do kdy je plánován přechod? Písemná akceptace rizika s datem platnosti je při auditu podstatně lepší než mlčky dále běžící starší systém. Podobně důležité jsou logy. Odborný tisk a odborní autoři po PHP2Shell radili uchovávat logy serveru od 20. 10. 2026. Zda to vaše pravidlo uchovávání umožňuje a zda jsou logy u poskytovatele hostingu, nebo u vás, by se mělo ujasnit před příštím incidentem, ne během něj.
Pokud se na vaši firmu navíc vztahuje NIS2, tyto požadavky se zesilují. Základní rysy najdete v NIS2 a bezpečnost webového serveru. Jde o obecnou informaci, nikoli o právní poradenství.
Certifikát nebo štítek popisuje stav systému řízení v okamžiku prověření. Žádný jednotlivý server před novou zranitelností nechrání. Rozhodující je, aby postup v krizi skutečně zabral.
Jak konkrétně pomáhá PHP SOS?
- Vaše webové servery a instalace PHP zachytíme tak, aby zapadly do inventáře vašeho ISMS.
- Záplatujeme a dokumentujeme prostřednictvím naší služby záplatování PHP: stav balíčku, restart, kontrola, s datem a doklady.
- Formulujeme otázky pro poskytovatele hostingu a agentury a jejich odpovědi vyhodnocujeme pro vaše řízení dodavatelů.
- Vašim odpovědným osobám za ISMS dodáváme technická fakta. Hodnocení v systému řízení a audit zůstávají na vás a vašem prověřujícím místě.
Závěr
ISO 27001 a TISAX nevyžadují konkrétní webový server, ale srozumitelné zacházení s ním. PHP2Shell ukazuje, zda inventář, řešení zranitelností a řízení dodavatelů spolupracují. Kdo čistě doloží řetězec přijetí, hodnocení, záplaty, restartu a následné kontroly, nemá v ruce jen audit, ale především server.
Časté dotazy
Patří firemní web do rozsahu ISO 27001?
Záleží na tom, jak vaše firma stanovila rozsah. Pokud web zpracovává data zákazníků, je propojen s interními systémy nebo ho provozuje dodavatel, mnohé mluví pro jeho zahrnutí nebo alespoň zachycení prostřednictvím řízení dodavatelů.
Je TISAX certifikát?
ENX Association mluví o assessmentu nezávislými poskytovateli auditních služeb, jehož výsledky se udělují jako štítky TISAX. Štítky podle ENX platí tři roky a sdílejí se cíleně s partnery přes portál ENX, nejsou veřejné.
Musím po PHP2Shell informovat svého auditora?
Obecná povinnost k tomu neexistuje. Vaše ISMS by ale mělo dokumentovat, jak jste zranitelnost vyhodnotili a řešili. Tyto podklady se při příštím auditu typicky prohlížejí.
Která verze ISO 27001 je aktuální?
Rozhodující je vydání ISO/IEC 27001:2022. Jeho příloha A řadí opatření do čtyř témat: organizační, osobní, fyzické a technologické.