Εν ολίγοις: Τα ISO 27001 και TISAX αφορούν τους διακομιστές ιστού ιδιαίτερα μέσα από τρεις απαιτήσεις: οι ευπάθειες πρέπει να εντοπίζονται και να αντιμετωπίζονται, οι πάροχοι υπηρεσιών όπως πάροχοι φιλοξενίας και πρακτορεία πρέπει να διευθύνονται, και τα περιστατικά ασφαλείας χρειάζονται ρυθμισμένη διαδικασία. Μια κατάσταση όπως το PHP2Shell είναι για κάθε ΣΔΑΠ μια δοκιμή στην πράξη. Όποιος τεκμηριώνει κατανοητά την αξιολόγηση, το patch και την επανεκκίνηση, έχει μια καλή βάση για τον επόμενο έλεγχο. Ένα πιστοποιητικό ή μια ετικέτα δεν αντικαθιστά το patch.
Τι είναι τα ISO 27001 και TISAX, σε δύο παραγράφους
Το ISO/IEC 27001 περιγράφει τις απαιτήσεις για ένα Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών, εν συντομία ΣΔΑΠ (ISMS). Εννοείται ένας οργανωμένος κύκλος: αξιολόγηση κινδύνων, καθορισμός μέτρων, υλοποίηση, έλεγχος και βελτίωση. Η τρέχουσα έκδοση του 2022 περιλαμβάνει στο Παράρτημα Α έναν κατάλογο 93 μέτρων σε τέσσερα θέματα. Ποια από αυτά ισχύουν, το αποφασίζει η επιχείρηση με βάση την αξιολόγηση κινδύνων της και το καταγράφει στη Δήλωση Εφαρμοσιμότητας.
Το TISAX είναι ο μηχανισμός ελέγχου και ανταλλαγής που είναι διαδεδομένος στην αυτοκινητοβιομηχανία. Διευθύνεται από την ENX Association, βάση είναι ο κατάλογος απαιτήσεων ISA, τον οποίο συντηρεί η ENX και εκδίδει η VDA (Ένωση της γερμανικής αυτοκινητοβιομηχανίας). Ανεξάρτητοι πάροχοι ελέγχου διενεργούν μια αξιολόγηση, της οποίας η έκταση εξαρτάται από την ανάγκη προστασίας και κυμαίνεται από ελέγχους εγγράφων έως επιτόπιες επισκέψεις. Τα αποτελέσματα χορηγούνται, σύμφωνα με την ENX, ως ετικέτες, ισχύουν τρία χρόνια και μοιράζονται μέσω της πύλης ENX μόνο με επιλεγμένους συνεργάτες.
ISO 27001 στον διακομιστή ιστού: ποιες απαιτήσεις ισχύουν;
Ένας διακομιστής ιστού σπάνια αποτελεί ξεχωριστό κεφάλαιο στο ΣΔΑΠ. Εμφανίζεται σε πολλά σημεία, και ακριβώς εκεί δημιουργούνται κενά. Η παρακάτω επισκόπηση κατατάσσει γενικά τα σημαντικότερα θέματα. Δεν αντικαθιστά τη ματιά στη δική σας Δήλωση Εφαρμοσιμότητας.
| Θέμα στο ΣΔΑΠ | Τι σημαίνει στον διακομιστή ιστού | Τεκμήριο που βοηθά στον έλεγχο |
|---|---|---|
| Απογραφή περιουσιακών στοιχείων | Κάθε ιστότοπος, κάθε διακομιστής, κάθε έκδοση PHP είναι καταγεγραμμένα | Επίκαιρη λίστα με διαχειριστή, έκδοση, υπεύθυνο |
| Διαχείριση τεχνικών ευπαθειών | Ανακοινώσεις όπως το PHP2Shell αξιολογούνται και αντιμετωπίζονται | Ticket με αξιολόγηση, απόφαση, ημερομηνία patch |
| Σχέσεις με προμηθευτές | Πάροχος φιλοξενίας και πρακτορείο έχουν σαφείς υποχρεώσεις ασφαλείας | Σύμβαση, κατανομή εργασιών, γραπτή επιβεβαίωση του επιπέδου patch |
| Καταγραφή και παρακολούθηση | Τα logs του διακομιστή ιστού φυλάσσονται και αναλύονται | Κανόνας φύλαξης, παράδειγμα ανάλυσης |
| Διαχείριση περιστατικών | Η υποψία αναφέρεται, αξιολογείται και κλείνει | Πρακτικό περιστατικού, lessons learned |
| Διαχείριση διαμόρφωσης | Οι ρυθμίσεις PHP και διακομιστή ιστού είναι καθορισμένες | Επιθυμητή διαμόρφωση και έλεγχος αποκλίσεων |
Στο TISAX ισχύουν συγκρίσιμα θέματα, επειδή ο κατάλογος ISA είναι εναρμονισμένος με άλλα σημαντικά πρότυπα. Επιπλέον ορισμένοι στόχοι ελέγχου, όπως η προστασία πρωτοτύπων, απαιτούν ιδιαίτερη επιμέλεια σε συστήματα μέσω των οποίων οι συνεργάτες ανταλλάσσουν δεδομένα. Αυτά μπορεί να είναι και πύλες βασισμένες σε PHP.
Το PHP2Shell ως δοκιμή στην πράξη για το ΣΔΑΠ
Στις 21/10/2026 το έργο PHP δημοσίευσε τις εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις. Ένα ΣΔΑΠ που λειτουργεί σωστά πρέπει σε αυτή την κατάσταση να πυροδοτεί μια αλυσίδα που μπορεί αργότερα να τεκμηριωθεί.
- Παραλαβή: Ποιος έλαβε την ανακοίνωση, πότε, και πού καταγράφεται;
- Αξιολόγηση: Ποια συστήματα επηρεάζονται; Αυτό προϋποθέτει επίκαιρη απογραφή, δείτε Να ξέρετε τι λειτουργεί.
- Απόφαση: Patch, προσωρινό μέτρο ή προσωρινή απενεργοποίηση, με αιτιολόγηση και όνομα του προσώπου που αποφασίζει.
- Υλοποίηση: Επίπεδο πακέτου, επανεκκίνηση όλων των διεργασιών PHP, έλεγχος. Στα backports της διανομής μετράει το changelog του πακέτου και όχι ο αριθμός έκδοσης που εμφανίζεται· πώς το αποδεικνύετε, δείχνει το Σωστός έλεγχος της έκδοσης PHP και του επιπέδου patch.
- Προμηθευτές: Γραπτή επιβεβαίωση του παρόχου φιλοξενίας ότι έγινε patch και επανεκκίνηση.
- Μεταγενέστερος έλεγχος: Έλεγχος για ενδείξεις παραβίασης από τις 17/10/2026, επειδή ένα patch δεν αναιρεί προηγούμενες παραβιάσεις.
Πώς μετατρέπετε αυτή τη μοναδική αλυσίδα σε μόνιμη διαδικασία, περιγράφουν τα Διαχείριση ευπαθειών για μικρομεσαίες επιχειρήσεις και Διαχείριση ενημερώσεων ως διαδικασία.
Συχνές αδυναμίες στην τεκμηρίωση
Στην πράξη η απόδειξη σπάνια αποτυγχάνει λόγω τεχνολογίας, αλλά λόγω κενών στην αλυσίδα. Τυπικός είναι ένας ιστότοπος που λειτουργεί ένα τμήμα με ένα πρακτορείο και λείπει από την απογραφή. Εξίσου συχνές είναι οι συμβάσεις με παρόχους φιλοξενίας χωρίς δήλωση για το πόσο γρήγορα εγκαθίστανται οι ενημερώσεις ασφαλείας και αν ενημερώνονται οι πελάτες.
Ένα ακόμη κλασικό: το ticket του patch είναι κλειστό, αλλά κανείς δεν επανεκκίνησε τις διεργασίες PHP. Τυπικά το θέμα έχει ολοκληρωθεί, τεχνικά ο παλιός κώδικας συνεχίζει να εκτελείται. Μια καλή απόδειξη δεν περιλαμβάνει γι' αυτό μόνο το «εγκαταστάθηκε η ενημέρωση», αλλά και την επανεκκίνηση και έναν έλεγχο μετά.
Δύσκολη γίνεται η κατάσταση και με συστήματα που δεν μπορούν να λάβουν άμεσα patch, για παράδειγμα μια εφαρμογή σε PHP 8.1. Εδώ ένα ΣΔΑΠ δεν απαιτεί θαύματα, αλλά μια συνειδητή απόφαση: Ποια προσωρινά μέτρα ισχύουν, ποιος αποδέχθηκε τον υπολειπόμενο κίνδυνο και μέχρι πότε είναι προγραμματισμένη η μετάβαση; Μια γραπτή αποδοχή κινδύνου με ημερομηνία λήξης είναι στον έλεγχο σαφώς καλύτερη από ένα παλιό σύστημα που συνεχίζει σιωπηρά να λειτουργεί. Εξίσου σημαντικά είναι τα logs. Ο τεχνικός τύπος και ειδικοί συγγραφείς συνέστησαν μετά το PHP2Shell να φυλάσσονται τα logs διακομιστή από τις 20/10/2026. Το αν ο κανόνας φύλαξής σας το επιτρέπει και αν τα logs βρίσκονται στον πάροχο φιλοξενίας ή σε εσάς, πρέπει να διευκρινιστεί πριν από το επόμενο περιστατικό και όχι κατά τη διάρκειά του.
Αν η επιχείρησή σας εμπίπτει επιπλέον στο NIS2, αυτές οι απαιτήσεις ενισχύονται. Τις βασικές γραμμές θα βρείτε στο NIS2 και ασφάλεια διακομιστή ιστού. Αυτό είναι γενική πληροφόρηση, όχι νομική συμβουλή.
Ένα πιστοποιητικό ή μια ετικέτα περιγράφει την κατάσταση ενός συστήματος διαχείρισης τη στιγμή του ελέγχου. Δεν προστατεύει κανέναν μεμονωμένο διακομιστή από μια νέα ευπάθεια. Καθοριστικό είναι να λειτουργεί πράγματι η διαδικασία σε περίπτωση έκτακτης ανάγκης.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγράφουμε τους διακομιστές ιστού και τις εγκαταστάσεις PHP σας έτσι ώστε να ταιριάζουν στην απογραφή του ΣΔΑΠ σας.
- Εφαρμόζουμε patch και τεκμηριώνουμε με την υπηρεσία patch PHP: επίπεδο πακέτου, επανεκκίνηση, έλεγχος, με ημερομηνία και τεκμήρια.
- Διατυπώνουμε τις ερωτήσεις προς παρόχους φιλοξενίας και πρακτορεία και αξιολογούμε τις απαντήσεις τους για τη διαχείριση προμηθευτών σας.
- Παραδίδουμε στους υπευθύνους του ΣΔΑΠ σας τα τεχνικά γεγονότα. Η αξιολόγηση στο σύστημα διαχείρισης και ο έλεγχος παραμένουν σε εσάς και στον φορέα ελέγχου σας.
Συμπέρασμα
Τα ISO 27001 και TISAX δεν απαιτούν κάποιον συγκεκριμένο διακομιστή ιστού, αλλά μια κατανοητή αντιμετώπισή του. Το PHP2Shell δείχνει αν η απογραφή, η αντιμετώπιση των ευπαθειών και η διεύθυνση των προμηθευτών συνεργάζονται. Όποιος τεκμηριώνει καθαρά την αλυσίδα παραλαβής, αξιολόγησης, patch, επανεκκίνησης και μεταγενέστερου ελέγχου, έχει υπό έλεγχο όχι μόνο τον έλεγχο, αλλά κυρίως τον διακομιστή.
Συχνές ερωτήσεις
Ανήκει ο εταιρικός ιστότοπος στο πεδίο εφαρμογής ενός ISO 27001;
Αυτό εξαρτάται από το πώς έχει ορίσει η επιχείρησή σας το πεδίο εφαρμογής. Αν ο ιστότοπος επεξεργάζεται δεδομένα πελατών, συνδέεται με εσωτερικά συστήματα ή λειτουργεί από πάροχο υπηρεσιών, συντρέχουν πολλοί λόγοι να συμπεριληφθεί ή τουλάχιστον να καταγραφεί μέσω της διαχείρισης προμηθευτών.
Είναι το TISAX πιστοποιητικό;
Η ENX Association μιλά για αξιολόγηση (assessment) από ανεξάρτητους παρόχους ελέγχου, της οποίας τα αποτελέσματα χορηγούνται ως ετικέτες TISAX. Οι ετικέτες ισχύουν, σύμφωνα με την ENX, τρία χρόνια και μοιράζονται στοχευμένα με συνεργάτες μέσω της πύλης ENX· δεν είναι δημόσιες.
Πρέπει μετά το PHP2Shell να ενημερώσω τον ελεγκτή μου;
Γενική υποχρέωση δεν υπάρχει. Το ΣΔΑΠ σας πρέπει όμως να τεκμηριώνει πώς αξιολογήσατε και αντιμετωπίσατε την ευπάθεια. Αυτά τα έγγραφα εξετάζονται τυπικά στον επόμενο έλεγχο.
Ποια έκδοση του ISO 27001 ισχύει σήμερα;
Καθοριστική είναι η έκδοση ISO/IEC 27001:2022. Το Παράρτημα Α της κατατάσσει τα μέτρα σε τέσσερα θέματα: οργανωτικά, σχετικά με το προσωπικό, φυσικά και τεχνολογικά.