Lühidalt: VdS 10000 on VdS Schadenverhütung (Saksamaa kindlustusvaldkonna kahjuennetuse asutus) suunis infoturbeks väikestes ja keskmise suurusega ettevõtetes. See põhineb VdS-i andmetel ISO 27001-l ja BSI baaskaitsel (Grundschutz), kuid on märksa kergem ja kohandatud keskmise suurusega ettevõtetele. Veebisaitide ja veebiserverite jaoks on olulised eelkõige inventar, turvaaukude käsitlemine, kaugligipääsud mitmeastmelise sisselogimisega, andmete varundamine ja turvaintsidentide käsitlemine.
Miks on VdS 10000 keskmise suurusega ettevõtetele huvitav
Paljud ettevõtted teavad, et peaksid infoturvet struktureeritumalt lähenema, kuid põrkavad tagasi ISO 27001 töömahu ees. Just selleks on VdS 10000 mõeldud. VdS kirjeldab seda tegevusalaneutraalse meetmekataloogina, mis ei tohiks väikseid ja keskmise suurusega ettevõtteid ega omavalitsusi üle koormata ei organisatsiooniliselt ega rahaliselt.
Kaks VdS-i väidet aitavad hinnangut anda. Töömaht olevat umbes 20 protsenti ISO 27001-ga võrreldes. Ja BSI hindavat VdS 10000 nõudeid IT-baaskaitse (IT-Grundschutz) baaskaitse (Basis-Absicherung) alamhulgaks. Suunis ei ole seega suurte standardite asendus, vaid realistlik sissepääs, mis on VdS-i andmetel ülespoole ühilduv.
Kindlustajate jaoks on VdS 10000 erilise kaaluga, sest VdS on tihedalt seotud kindlustussektoriga. VdS toonitab, et sertifitseerimine võib luua kindlustajate juures usaldust ja aidata jääkriski üle kanda. Mida see teie poliisi jaoks konkreetselt tähendab, selgitage välja kindlustaja või maakleriga; juhised kahjujuhtumi kohta on artiklis Küberkindlustus: mis kahjujuhtumi korral loeb.
Mis on VdS 10000 2025. aasta redaktsioonis uut
VdS vaatas suunise 2025. aastal üle. VdS-i andmetel lisandusid või muutusid muu hulgas järgmised punktid:
- Selgem keel, et ka algajad nõudeid mõistaksid.
- Siduvad vastutusalad: infoturbejuhid ja nende meeskond tuleb ametlikult ametisse nimetada.
- Mitmeastmeline autentimine kaugligipääsudele muutub kohustuslikuks.
- Andmete varundamine mitme põlvkonna põhimõttel, eri kohtades ja erinevatel kandjatel.
- Ülevaadatud riskijuhtimine hindamiskriteeriumide ja piiride ettekirjutustega, millest alates risk aktsepteeritakse.
- Ühine peatükk „Turvaintsidendid“, mis ühendab varasemad peatükid häirete, tõrgete ja intsidentide kohta.
- Füüsilised ligipääsud nagu võtmed ja transponderid reguleeritakse personaliprotsessides kaasa.
Uusväljaanne arvestab lisaks suunist VdS 10100, mis kirjeldab NIS2 nõudeid. VdS näeb VdS 10000-s alust, millele neid saab hiljem lisada.
VdS 10000 ja veebiserver: mida konkreetselt teha
Suunis ei räägi PHP-st ega üksikutest veebiserveritest. Selle nõudeid saab siiski otse üle kanda veebitaristule. Allolev tabel näitab, kuidas see võib välja näha. See on tõlkeabi, mitte ametlik tõlgendus.
| Nõuete valdkond | Tähendus veebisaidile ja veebiserverile | Näide PHP2Shelli olukorrast |
|---|---|---|
| Ülevaade IT-süsteemidest ja riskidest | Veebisaidid, poed, portaalid ja nende serverid on registreeritud ja hinnatud | Kohe teada, millised süsteemid PHP-d kasutavad ja millises versioonis |
| Turvaaugud ja uuendused | Turvauuendused paigaldatakse õigeaegselt ja dokumenteeritakse | Paik versioonile 8.5.12, 8.4.27, 8.3.36 või 8.2.35, kõigi tööprotsesside taaskäivitus |
| Kaugligipääsud mitmeastmelise sisselogimisega | SSH, majutuspaneel ja CMS-i administraator on lisaks kaitstud | Varastatud paroolid üksi ei ava administraatori ligipääsu |
| Andmete varundamine | Mitu põlvkonda, eraldi kohad ja kandjad | Tagasipöördumine varukoopia juurde enne 17.10.2026, kui vaja |
| Turvaintsidendid | Teavitustee, hindamine, dokumenteerimine | Veebishelli kahtlusest teatatakse ja see kontrollitakse, mitte ei kustutata vaikselt |
| Teenusepakkujad | Veebimajutaja ja agentuur on lepinguga kaasatud | Veebimajutaja kirjalik paigakinnitus |
Andmete varundamise kohta tasub vaadata artiklit Varukoopiad 3-2-1 reegli järgi, kaugligipääsude kohta artiklit Kaheastmeline sisselogimine administraatori ligipääsudele. Mõlemad kattuvad hästi 2025. aasta redaktsiooni uute kohustustega.
Kuidas VKE-d realistlikult toimivad?
VdS 10000 saab kasutada juhendina ka ilma sertifitseerimise eesmärgita. Pragmaatiline tee algab inventarist, sest ilma ülevaateta ei saa ühtki teist nõuet puhtalt täita. Seejärel tulevad punktid, millel on suurim mõju vaeva kohta: mitmeastmeline sisselogimine, toimivad varukoopiad koos taastamistestiga ja selge teavitustee kahtluse korral.
Alles siis, kui need alused on olemas, tasub ette võtta formaalne külg suuniste, ametisse nimetatud vastutajate ja riskihinnanguga. Kes hiljem sertifitseerimist taotleb, leiab menetluse VdS-i dokumentidest; kontrolli ise teeb sertifitseerimisasutus, mitte teenusepakkuja nagu meie.
Sage komistuskivi keskmise suurusega ettevõtetes on küsimus, kes võtab enda peale infoturbejuhi rolli. 2025. aasta redaktsioon nõuab ametlikku ametisse nimetamist. Väikestes ettevõtetes langeb ülesanne sageli IT-juhile või juhtkonnale endale. See on võimalik, kuni aeg ja volitused on realistlikult mõõdetud. Oluline on, et see isik hoiab silma peal ka veebisaitidel, mida turundus või agentuur haldab. Just need kukuvad esimesel inventuuril meelsasti läbi sõela, sest nad ei tööta oma andmekeskuses. Abiks on lihtne reegel: igal domeenil, mis ettevõttele kuulub, on vastutav isik ja kirje inventaris.
Veebiserveri jaoks tähendab see: karastamine ja paigadistsipliin ei ole suunise kõrval lisaboonus, vaid täpselt see, mida see igapäevaselt nõuab. Mis sinna kuulub, kirjeldab PHP veebiserverite karastamine. Võrdluse suurte standarditega teeb artikkel ISO 27001 ja TISAX: mida veebiserverid puudutavad.
Kuidas PHP SOS konkreetselt aitab?
- Koostame koos teiega oma veebisaitide, serverite ja PHP versioonide inventari ning märgistame kriitilised süsteemid.
- Viime ellu veebiserveri tehnilised nõuded: uuendused tõendiga, mitmeastmeline sisselogimine kaugligipääsudele, karastamine ja varukoopiate kontroll.
- Dokumenteerime selle nii, et teie infoturbejuhid saavad selle VdS-i dokumentidesse üle võtta.
- Me ei luba sertifitseerimist. Kas nõuded on täidetud, hindab kontrolliasutus.
Kokkuvõte
VdS 10000 on tõsiseltvõetav, kuid teostatav raamistik keskmise suurusega ettevõtetele. 2025. aasta redaktsioon teritab täpselt need punktid, mis loevad ka pärast PHP2Shelli: vastutajad, mitmeastmeline sisselogimine, head varukoopiad ja reguleeritud käsitlus intsidentidega. Kes alustab veebiserverist, saab kiiresti nähtavaid edusamme ja kindla aluse enamaks.
Korduma kippuvad küsimused
Kellele VdS 10000 mõeldud on?
VdS-i andmetel väikestele ja keskmise suurusega ettevõtetele ning omavalitsustele ja omavalitsuste ettevõtetele. See on tegevusalaneutraalne ja ei tohiks üle koormata ei organisatsiooniliselt ega rahaliselt. VdS-i andmetel võivad seda kasutada ka suuremad organisatsioonid.
Mis vahe on VdS 10000 ja ISO 27001 vahel?
VdS 10000 põhineb VdS-i andmetel ISO 27001-l ja BSI baaskaitsel (Grundschutz), kuid on kohandatud VKE-dele ja märksa kergem. VdS hindab töömahuks umbes 20 protsenti ISO 27001-ga võrreldes ja kirjeldab suunist ülespoole ühilduvana, see tähendab võimaliku sissepääsuna ISO 27000 sarja.
Kas VdS 10000 aitab NIS2 puhul?
VdS kirjeldab 2025. aasta uusväljaannet alusena, millele saab NIS2 nõuded hiljem lisada. Selleks on olemas eraldi suunis VdS 10100. Kas teie ettevõte kuulub NIS2 alla ja mis siis kehtib, selgitage palun eraldi.
Kas on olemas tootmisseadmete versioon?
Jah. Tööstuslike automatiseerimissüsteemide jaoks avaldab VdS juhendi VdS 10020, mis tõlgendab VdS 10000 sellele valdkonnale.