Lyhyesti: VdS 10000 on VdS Schadenverhütungin ohjeisto pienten ja keskisuurten yritysten tietoturvalle. Se perustuu VdS:n mukaan ISO 27001 -standardiin ja BSI:n perussuojaukseen (Grundschutz), mutta on selvästi kevyempi ja räätälöity keskisuurille yrityksille. Verkkosivustojen ja verkkopalvelinten kannalta tärkeitä ovat erityisesti luettelo, haavoittuvuuksien käsittely, etäyhteydet monivaiheisella tunnistautumisella, tietojen varmuuskopiointi ja tietoturvahäiriöiden käsittely.
Miksi VdS 10000 kiinnostaa keskisuuria yrityksiä
Monet yritykset tietävät, että tietoturvaan pitäisi suhtautua jäsennellymmin, mutta säikähtävät ISO 27001:n vaatimaa työmäärää. Juuri tähän VdS 10000 on tarkoitettu. VdS kuvaa sen toimialaneutraaliksi toimenpideluetteloksi, joka ei saa kuormittaa pieniä ja keskisuuria yrityksiä eikä kuntia organisatorisesti eikä taloudellisesti liikaa.
Kaksi VdS:n antamaa tietoa auttaa sijoittamaan ohjeiston. Työmäärä on VdS:n mukaan noin 20 prosenttia ISO 27001:een verrattuna. Ja BSI arvioi VdS 10000:n vaatimukset IT-Grundschutzin perustason suojauksen (Basis-Absicherung) osajoukoksi. Ohjeisto ei siis korvaa suuria standardeja vaan on realistinen sisääntulo, joka on VdS:n mukaan ylöspäin yhteensopiva.
Vakuutusyhtiöille VdS 10000:lla on erityistä painoa, sillä VdS on läheisesti sidoksissa vakuutusalaan. VdS korostaa, että sertifiointi voi luoda luottamusta vakuutusyhtiöiden silmissä ja auttaa siirtämään jäännösriskiä. Mitä se tarkoittaa vakuutuskirjanne kannalta, selvitätte vakuutusyhtiön tai välittäjän kanssa; vahinkotilanteen ohjeita löytyy sivulta Kyberturvallisuusvakuutus: mikä merkitsee vahinkotilanteessa.
Mikä on uutta VdS 10000:n versiossa 2025
VdS uudisti ohjeiston 2025. VdS:n mukaan mukaan on tullut tai muuttunut muun muassa nämä kohdat:
- Selkeämpi kieli, jotta aloittelijatkin ymmärtävät vaatimukset.
- Sitovat vastuut: tietoturvavastaavat ja heidän tiiminsä on nimitettävä virallisesti.
- Monivaiheinen tunnistautuminen etäyhteyksille tulee pakolliseksi.
- Tietojen varmuuskopiointi usean sukupolven periaatteella, eri paikoissa ja eri tallenteilla.
- Uudistettu riskienhallinta, jossa on ohjeita arviointikriteereistä ja rajoista, joista alkaen riski hyväksytään.
- Yhteinen luku ”Tietoturvahäiriöt”, joka yhdistää aiemmat luvut häiriöistä, katkoista ja tapahtumista.
- Fyysiset kulkuoikeudet kuten avaimet ja kulkutunnisteet säännellään mukana henkilöstöprosesseissa.
Uusintapainos ottaa lisäksi huomioon ohjeiston VdS 10100, joka kuvaa NIS2-vaatimukset. VdS pitää VdS 10000:ta pohjana, jonka päälle nämä voidaan myöhemmin täydentää.
VdS 10000 ja verkkopalvelin: mitä käytännössä on tehtävä
Ohjeisto ei puhu PHP:stä tai yksittäisistä verkkopalvelimista. Sen vaatimukset voi kuitenkin siirtää suoraan verkkoinfrastruktuuriin. Seuraava taulukko näyttää, miltä se voi näyttää. Se on tulkinta-apu, ei virallinen tulkinta.
| Vaatimusalue | Merkitys verkkosivustolle ja verkkopalvelimelle | Esimerkki PHP2Shell-tilanteesta |
|---|---|---|
| Yleiskuva IT-järjestelmistä ja riskeistä | Verkkosivustot, verkkokaupat, portaalit ja niiden palvelimet on kirjattu ja arvioitu | Tietää heti, mitkä järjestelmät käyttävät PHP:tä ja missä versiossa |
| Haavoittuvuudet ja päivitykset | Tietoturvapäivitykset asennetaan ajoissa ja dokumentoidaan | Päivitys versioon 8.5.12, 8.4.27, 8.3.36 tai 8.2.35, kaikkien työprosessien uudelleenkäynnistys |
| Etäyhteydet monivaiheisella tunnistautumisella | SSH, hosting-paneeli ja CMS-ylläpito on turvattu lisäksi | Varastetut salasanat eivät yksin avaa ylläpitäjän pääsyä |
| Tietojen varmuuskopiointi | Useita sukupolvia, erilliset paikat ja tallenteet | Paluu varmuuskopioon ennen 17.10.2026, jos tarpeen |
| Tietoturvahäiriöt | Ilmoitustie, arviointi, dokumentointi | Epäily web shellistä ilmoitetaan ja tarkistetaan, ei poisteta hiljaa |
| Palveluntarjoajat | Hosting-yritys ja toimisto on sidottu sopimuksella | Hosting-yrityksen kirjallinen vahvistus korjauksesta |
Tietojen varmuuskopioinnista kannattaa katsoa Varmuuskopiot 3-2-1-säännön mukaan, etäyhteyksistä sivu Kaksivaiheinen tunnistautuminen ylläpitäjien tunnuksille. Molemmat sopivat hyvin yhteen version 2025 uusien velvoitteiden kanssa.
Miten pk-yritykset etenevät realistisesti?
VdS 10000:ta voi käyttää oppaana myös ilman sertifiointitavoitetta. Pragmaattinen tie alkaa luettelosta, koska ilman yleiskuvaa mitään muuta vaatimusta ei voi täyttää siististi. Sen jälkeen tulevat kohdat, joilla on suurin vaikutus vaivaan nähden: monivaiheinen tunnistautuminen, toimivat varmuuskopiot palautustestillä ja selkeä ilmoitustie epäilyn varalle.
Vasta kun nämä perusteet ovat kunnossa, kannattaa panostaa muodolliseen puoleen ohjeineen, nimitettyine vastuuhenkilöineen ja riskinarviointeineen. Joka pyrkii myöhemmin sertifiointiin, löytää menettelyn VdS:n aineistosta; tarkastuksen tekee sertifiointilaitos, ei meidän kaltainen palveluntarjoaja.
Yleinen kompastuskivi keskisuurissa yrityksissä on kysymys siitä, kuka ottaa tietoturvavastaavan roolin. Versio 2025 edellyttää virallista nimitystä. Pienissä yrityksissä tehtävä päätyy usein IT-päällikölle tai johdolle itselleen. Se on mahdollista, kunhan aika ja toimivalta mitoitetaan realistisesti. Tärkeää on, että tällä henkilöllä on näkyvyys myös niihin verkkosivustoihin, joita markkinointi tai toimisto hoitaa. Juuri ne putoavat ensimmäisessä kartoituksessa helposti seulan läpi, koska ne eivät toimi omassa konesalissa. Auttaa yksinkertainen sääntö: jokaisella yrityksen omistamalla verkkotunnuksella on vastuuhenkilö ja merkintä luettelossa.
Verkkopalvelimelle tämä tarkoittaa: koventaminen ja päivityskuri eivät ole lisäosa ohjeiston rinnalla vaan juuri sitä, mitä se arjessa vaatii. Mitä siihen kuuluu, kuvaa sivu PHP-verkkopalvelinten koventaminen. Vertailun suuriin standardeihin tekee kirjoitus ISO 27001 ja TISAX: mitä verkkopalvelimet koskee.
Miten PHP SOS auttaa konkreettisesti?
- Laadimme kanssanne verkkosivustojenne, palvelintenne ja PHP-versioidenne luettelon ja merkitsemme kriittiset järjestelmät.
- Toteutamme tekniset vaatimukset verkkopalvelimella: päivitykset todisteineen, monivaiheinen tunnistautuminen etäyhteyksille, koventaminen ja varmuuskopioiden tarkistus.
- Dokumentoimme asiat niin, että tietoturvavastaavanne voivat siirtää ne VdS-aineistoon.
- Emme lupaa sertifiointia. Se, täyttyvätkö vaatimukset, on tarkastuslaitoksen arvioitava.
Yhteenveto
VdS 10000 on vakavasti otettava mutta toteutettavissa oleva kehys keskisuurille yrityksille. Versio 2025 terävöittää juuri ne kohdat, jotka merkitsevät myös PHP2Shellin jälkeen: vastuuhenkilöt, monivaiheinen tunnistautuminen, hyvät varmuuskopiot ja säännelty suhtautuminen häiriöihin. Joka aloittaa verkkopalvelimesta, saa nopeasti näkyvää edistystä ja vankan perustan lisälle.
Usein kysytyt kysymykset
Kenelle VdS 10000 on tarkoitettu?
VdS:n mukaan pienille ja keskisuurille yrityksille sekä kunnille ja kunnallisille yrityksille. Se on toimialaneutraali, eikä sen ole tarkoitus kuormittaa liikaa organisaation eikä talouden kannalta. VdS:n mukaan sitä voivat soveltaa myös suuremmat organisaatiot.
Mitä eroa on VdS 10000:lla ja ISO 27001:llä?
VdS 10000 perustuu VdS:n mukaan ISO 27001 -standardiin ja BSI:n perussuojaukseen (Grundschutz), mutta on räätälöity pk-yrityksille ja selvästi kevyempi. VdS arvioi työmäärän noin 20 prosentiksi ISO 27001:een verrattuna ja kuvaa ohjeiston ylöspäin yhteensopivaksi, siis mahdolliseksi sisääntuloksi ISO 27000 -sarjaan.
Auttaako VdS 10000 NIS2:n kanssa?
VdS kuvaa vuoden 2025 uusintapainosta pohjaksi, jonka päälle NIS2-vaatimukset voidaan myöhemmin täydentää. Sitä varten on oma ohjeisto VdS 10100. Se, kuuluuko yrityksenne NIS2:n piiriin ja mitä silloin pätee, on selvitettävä erikseen.
Onko olemassa versio tuotantolaitoksille?
On. Teollisille automaatiojärjestelmille VdS julkaisee oppaan VdS 10020, joka soveltaa VdS 10000:ta tälle alueelle.