Lühidalt: Turvaauk omavalitsuse veebisaidil on intsident avalikkuse silme all. Selgitage välja, kes serverit haldab, laske PHP paik ja taaskäivitus kinnitada ning hoidke valmis hädaleht, kui veebisait peab ajutiselt võrgust kaduma. Kommunikatsioon kodanikele ja ajakirjandusele peaks olema kooskõlastatud enne, kui küsimused tulevad.
Milliseid PHP süsteeme omavalitsused tavaliselt haldavad
Paljud omavalitsuste veebisaidid töötavad TYPO3 peal, lisaks teistel PHP süsteemidel. Põhiveebisaidi ümber tekib veel rakendusi: veebivormid taotlusteks ja registreerimisteks, murekohtade teavitajad, sündmuste kalendrid, kodanikuosalus, töökuulutuste portaalid, lasteaiakohtade eelregistreerimine, turismilehed, raamatukogu kataloogid ja üksikute asutuste, nagu muusikakooli või kommunaalettevõtte, veebisaidid.
Mõnda neist rakendustest haldab omavalitsus ise, teisi omavalitsuste andmekeskus, sihtühing või eriprotsesside tarkvara tootja. Kes tahab PHP turvaauku sulgeda, peab kõigepealt teadma, kelle serverites milline rakendus töötab.
Väiksematel valdadel ei ole sageli oma IT-osakonda. Seal hooldab veebisaiti kõrvaltööna peaameti (Hauptamt) töötaja, tehnika on agentuuri käes ja lepingud pärinevad ajast, mil keegi ei mõelnud programmeerimiskeele kriitilistele turvaaukudele. Suurematel linnadel on vastupidine probleem: ametite, projektide ja asutuste veebisaite on nii palju, et vaevalt keegi täielikku loendit tunneb.
Mis omavalitsuste veebisaitidel ohus on
Vormides ja portaalides asuvad kodanike andmed: aadressid, sünniandmed, laste andmed lasteaia- ja koolikohtade taotlustes, fotod ja asukohad murekohtade teadetes, kandideerimised. Avalikele asutustele kehtivad IKÜM ja liidumaa andmekaitseseadus (Landesdatenschutzgesetz), pädev on üldjuhul liidumaa andmekaitse järelevalve.
Vähemalt sama raskelt kaalub terviklikkus: omavalitsuse veebisait on ametlik allikas. Manipuleeritud sisu, võltsitud teadaanded või ümbersuunamised petulehtedele linna nime all kahjustavad usaldust kaugelt üle tehnilise kahju.
Omavalitsuste domeenid naudivad kodanike ja otsingumootorite usaldust. Just see teeb need ründajatele ahvatlevaks: rämpsposti saatjana, petulehtede hoidlana või valeteadete platvormina, näiteks valimiste, tormide või tasude kohta.
Omavalitsus ja veebisaidi turvaauk: kes mida otsustab?
| Roll | Tüüpiline ülesanne intsidendi korral |
|---|---|
| Omavalitsuste andmekeskus või IT-teenusepakkuja | Server, PHP paketid, taaskäivitus, võrgu eraldamine |
| Peaamet (Hauptamt) või IT-koordinatsioon | Üldjuhtimine, tellimine, hädaolukorra plaan |
| Pressiteenistus | Kodanike ja meedia teavitamine |
| Asutuse andmekaitsespetsialist | Teavitamiskohustuse hindamine |
| Veebiagentuur | CMS, laiendused, sisu |
Lünk tekib sageli andmekeskuse ja agentuuri vahele: andmekeskus haldab serverit, agentuur hooldab TYPO3-d ja kumbki pool eeldab, et PHP eest hoolitseb teine. TYPO3 uuendus PHP2Shelli ei sulge.
BSI on olukorda hinnanud hoiatustasemega 3 / oranž ja soovitab kohest uuendust. Kui omavalitsuse veebiserverit ei saa kohe paigata, võtke see ajutiselt võrgust maha ja lülitage sisse staatiline hädaleht.
Esimesed tunnid halduses
- Tehke loend kõigist veebiligipääsuga veebisaitidest ja eriprotsesside rakendustest, kaasa arvatud asutused ja turism.
- Laske igalt haldajalt kirjalikult kinnitada: PHP on versioonil 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või backport on paigaldatud, kõik protsessid on uuesti käivitatud.
- Kinnitamata süsteemid võtke võrgust maha või kaitske kuni paigani virtuaalse paikamisega. Cloudflare juhib tähelepanu, et reeglitest üksnes päringuandmete põhjal ei piisa; see on sild, mitte asendus.
- Kindlustage logid alates 20.10.2026.
- Teavitage pressiteenistust ja andmekaitsespetsialisti ning kooskõlastage asjalik väljendusviis. Abi pakub leht kriisikommunikatsioonist.
Mida BSI üksikasjalikult soovitab, võtab kokku leht BSI soovitused PHP2Shelli kohta. Hankimise ja hädatellimise küsimused selgitate välja oma sisemiste reeglite järgi.
Ennetus: hädaleht, inventuur ja asendus
Järgmine kriitiline turvaauk tuleb kindlasti. Kolm ettevalmistust säästavad siis tunde: valmis staatiline hädaleht telefoninumbrite, lahtiolekuaegade ja kiireloomuliste pöördumiste juhistega, mida saab edastada ilma PHP-ta. Hooldatud inventuur kõigist veebirakendustest koos haldaja, kontaktisiku ja lepingulise alusega. Ja asendusreegel, et otsuseid, nagu veebisaidi väljalülitamine, saaks teha ka õhtul ja nädalavahetusel.
Need punktid kuuluvad halduse IT-hädaolukorra plaani. Allasutused, kommunaalettevõtted ja oma veebisaitidega asutused peaksid seal olema sõnaselgelt nimetatud, sest muidu puuduvad nad inventuurist.
Kuidas PHP SOS konkreetselt aitab?
- Toetame teie IT-koordinatsiooni inventuuris ja selgitame koos andmekeskuse, tootjate ja agentuuriga välja, kes millise süsteemi paikab.
- Kus te ise haldate, võtame PHP paikamisteenuse kaudu üle uuenduse, taaskäivituse ja kirjaliku tõendi.
- Kompromiteerimise kahtluse korral kindlustame jäljed ja kontrollime sisu manipuleerimise suhtes enne, kui veebisait taas võrku läheb.
- Dokumenteerime käigu nii, et andmekaitsespetsialist, halduse juhtkond ja kontrolliosakond saavad seda jälgida.
Korduma kippuvad küsimused
Kas me tohime vallavalitsuse veebisaidi lihtsalt välja lülitada?
BSI (Saksamaa föderaalne infoturbeamet) soovitab veebiserverid ajutiselt võrgust maha võtta, kui uuendust ei saa kohe teha. Omavalitsustele sobib staatiline hädaleht tähtsamate kontaktteedega. Kes tohib seda sisemiselt otsustada, peaks olema hädaolukorra plaanis kirjas.
Kas volikogu infosüsteem on mõjutatud?
See sõltub tehnikast ja töökorraldusest. Volikogu infosüsteeme ja veebiteenuseid haldavad sageli eriprotsesside tarkvara tootjad või omavalitsuste andmekeskused. Küsige seal konkreetselt PHP kasutuse, paigatud seisu ja taaskäivituse kohta.
Milline andmekaitseasutus omavalitsuste eest vastutab?
Saksamaal vastutab liidumaade ja omavalitsuste avaliku sektori asutuste eest üldjuhul vastava liidumaa andmekaitse järelevalve. Lisaks kehtivad liidumaade andmekaitseseadused. Teie asutuse andmekaitsespetsialist tunneb teavitamisteid.