Lühidalt: ISO 27001 ja TISAX puudutavad veebiservereid eriti kolme nõude kaudu: turvaauke tuleb tuvastada ja käsitleda, teenusepakkujaid nagu veebimajutajad ja agentuurid tuleb juhtida ning turvaintsidentidel peab olema reguleeritud kulg. PHP2Shelli-sarnane olukord on iga ISMS-i jaoks praktiline test. Kes dokumenteerib hindamise, paiga ja taaskäivituse jälgitavalt, saab järgmiseks auditiks hea aluse. Sertifikaat või märgis paika ei asenda.
Mis on ISO 27001 ja TISAX, kahes lõigus
ISO/IEC 27001 kirjeldab nõudeid infoturbe juhtimissüsteemile, lühidalt ISMS-ile. Mõeldud on korrapärast ringi: hinnata riske, määrata meetmed, viia need ellu, kontrollida ja parandada. Praegune 2022. aasta väljaanne sisaldab lisas A 93 meetme kataloogi nelja teema all. Millised neist kehtivad, otsustab ettevõte oma riskihinnangu alusel ja fikseerib selle kohaldatavuse avalduses.
TISAX on autotööstuses levinud kontrolli- ja vahetusmehhanism. Seda juhib ENX Association, aluseks on nõuete kataloog ISA, mida ENX hooldab ja VDA avaldab. Sõltumatud auditeerimisteenuse osutajad viivad läbi hindamise, mille ulatus sõltub kaitsevajadusest ja ulatub dokumentide kontrollist kohapealsete kohtumisteni. Tulemused antakse ENX-i andmetel välja märgistena, need kehtivad kolm aastat ja neid jagatakse ENX-i portaali kaudu ainult valitud partneritega.
ISO 27001 veebiserveri juures: millised nõuded kehtivad?
Veebiserver on ISMS-is harva eraldi peatükk. See ilmub mitmes kohas ja just seal tekivad lüngad. Allolev ülevaade järjestab olulisimad teemad üldiselt. See ei asenda pilku teie enda kohaldatavuse avaldusse.
| Teema ISMS-is | Mida see veebiserveri puhul tähendab | Tõend, mis auditil aitab |
|---|---|---|
| Varade inventar | Iga veebisait, iga server, iga PHP versioon on registreeritud | Ajakohane nimekiri käitaja, versiooni ja vastutajaga |
| Tehniliste turvaaukude käsitlemine | Teateid nagu PHP2Shell hinnatakse ja käsitletakse | Pilet hinnangu, otsuse ja paigakuupäevaga |
| Tarnijasuhted | Veebimajutajal ja agentuuril on selged turvakohustused | Leping, ülesannete jaotus, kirjalik kinnitus paigaseisu kohta |
| Logimine ja jälgimine | Veebiserveri logisid säilitatakse ja analüüsitakse | Säilitusreegel, analüüsi näide |
| Intsidentide juhtimine | Kahtlusest teatatakse, see hinnatakse ja suletakse | Intsidendiprotokoll, lessons learned |
| Konfiguratsioonihaldus | PHP ja veebiserveri sätted on kindlaks määratud | Sihtkonfiguratsioon ja kõrvalekallete kontroll |
TISAX-i juures kehtivad võrreldavad teemad, sest ISA kataloog on kooskõlastatud teiste oluliste standarditega. Lisaks nõuavad mõned kontrolleesmärgid, näiteks prototüüpide kaitse, erilist hoolt süsteemide puhul, mille kaudu partnerid andmeid vahetavad. Need võivad olla ka PHP-põhised portaalid.
PHP2Shell kui ISMS-i praktiline test
21.10.2026 avaldas PHP projekt versioonid 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemale ametlikke uuendusi enam ei ole. Toimiv ISMS peaks sellises olukorras käivitama ahela, mida saab hiljem tõendada.
- Saabumine: Kes sai teate millal ja kus see on registreeritud?
- Hindamine: Millised süsteemid on mõjutatud? See eeldab ajakohast inventari, vt Teadke, mis töötab.
- Otsus: Paik, üleminekumeede või ajutine väljalülitamine, põhjenduse ja otsustaja nimega.
- Elluviimine: Paketi seis, kõigi PHP protsesside taaskäivitus, kontroll. Distributsiooni tagasiportimiste (backport) puhul loeb paketi muudatuslogi, mitte kuvatav versiooninumber; kuidas seda tõendada, näitab PHP versiooni ja paigaseisu õige kontroll.
- Tarnijad: Veebimajutaja kirjalik kinnitus, et paigati ja taaskäivitati.
- Järelkontroll: Kompromiteerimise tunnuste kontroll alates 17.10.2026, sest paik ei tee varasemaid sissemurdmisi olematuks.
Kuidas sellest ühekordsest ahelast püsiv kulg teha, kirjeldavad artiklid Haavatavuste haldus keskmise suurusega ettevõttes ja Paigahaldus protsessina.
Sagedased nõrkused dokumentatsioonis
Praktikas ei kuku tõend harva läbi tehnika, vaid lünkade tõttu ahelas. Tüüpiline on veebisait, mida osakond koos agentuuriga käitab ja mis puudub inventarist. Sama sagedased on veebimajutaja lepingud ilma väiteta selle kohta, kui kiiresti turvauuendused paigaldatakse ja kas kliente teavitatakse.
Veel üks klassika: paigapilet on suletud, kuid keegi ei taaskäivitanud PHP protsesse. Formaalselt on punkt tehtud, tehniliselt töötab vana kood edasi. Hea tõend sisaldab seetõttu mitte ainult „uuendus paigaldatud“, vaid ka taaskäivituse ja kontrolli pärast seda.
Keeruliseks läheb ka süsteemidega, mida ei saa kohe paigata, näiteks rakendus PHP 8.1 peal. Siin ei nõua ISMS imesid, kuid teadlikku otsust: millised üleminekumeetmed kehtivad, kes on jääkriski vastu võtnud ja millal on üleminek planeeritud? Kirjalik riskivastuvõtt aegumiskuupäevaga on auditil selgelt parem kui vaikides edasi töötav vanasüsteem. Sama oluline on logid. Erialaajakirjandus ja eriala autorid soovitasid pärast PHP2Shelli säilitada serverilogisid alates 20.10.2026. Kas teie säilitusreegel seda võimaldab ja kas logid asuvad veebimajutaja või teie juures, tuleks selgeks teha enne järgmist intsidenti, mitte selle ajal.
Kui teie ettevõte kuulub lisaks NIS2 alla, need nõuded tugevnevad. Põhijooned leiate lehelt NIS2 ja veebiserveri turvalisus. See on üldine teave, mitte õigusnõustamine.
Sertifikaat või märgis kirjeldab juhtimissüsteemi seisu kontrollimise hetkel. See ei kaitse ühtegi üksikut serverit uue turvaaugu eest. Otsustav on, et kulg hädaolukorras tõesti toimib.
Kuidas PHP SOS konkreetselt aitab?
- Kaardistame teie veebiserverid ja PHP paigaldused nii, et need sobivad teie ISMS-i inventari.
- Paigame ja dokumenteerime oma PHP-paigateenusega: paketi seis, taaskäivitus, kontroll, kuupäeva ja tõenditega.
- Sõnastame küsimused veebimajutajatele ja agentuuridele ning hindame nende vastuseid teie tarnijahalduse jaoks.
- Anname teie ISMS-i vastutajale tehnilised faktid. Hindamine juhtimissüsteemis ja audit jäävad teile ja teie auditeerijale.
Kokkuvõte
ISO 27001 ja TISAX ei nõua kindlat veebiserverit, vaid jälgitavat käsitlemist. PHP2Shell näitab, kas inventar, turvaaukude käsitlemine ja tarnijate juhtimine toimivad koos. Kes tõendab puhtalt ahelat saabumisest, hindamisest, paigast, taaskäivitusest ja järelkontrollist, on korras mitte ainult auditiga, vaid ennekõike serveriga.
Korduma kippuvad küsimused
Kas ettevõtte veebisait kuulub ISO 27001 kohaldamisalasse?
See sõltub sellest, kuidas teie ettevõte on kohaldamisala määranud. Kui veebisait töötleb kliendiandmeid, on seotud sisemiste süsteemidega või seda käitab teenusepakkuja, räägib palju selle kaasamise poolt või vähemalt selle hõlmamise poolt tarnijahalduse kaudu.
Kas TISAX on sertifikaat?
ENX Association räägib sõltumatute auditeerimisteenuse osutajate poolt tehtavast hindamisest, mille tulemused antakse välja TISAX-märgistena. Märgised kehtivad ENX-i andmetel kolm aastat ja neid jagatakse ENX-i portaali kaudu sihipäraselt partneritega, need ei ole avalikud.
Kas pean pärast PHP2Shelli oma audiitorit teavitama?
Üldist kohustust selleks ei ole. Teie ISMS peaks siiski dokumenteerima, kuidas te turvaauku hindasite ja käsitlesite. Neid dokumente vaadatakse järgmisel auditil tavaliselt üle.
Milline ISO 27001 versioon on praegu kehtiv?
Otsustav on väljaanne ISO/IEC 27001:2022. Selle lisa A järjestab meetmed nelja teema alla: organisatsioonilised, isikuga seotud, füüsilised ja tehnoloogilised.