# ISO 27001 i TISAX: što se tiče web-poslužitelja

> ISO 27001 i TISAX na web-poslužitelju: koji zahtjevi pogađaju zakrpe, dobavljače i incidente i koji dokazi nakon PHP2Shella pripadaju u dokumentaciju.

Izvor: https://phpsos.de/hr/blog/iso-27001-tisax-webserver/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** ISO 27001 i TISAX web-poslužitelje dotiču osobito kroz tri zahtjeva: ranjivosti se moraju prepoznati i obraditi, pružatelji usluga poput hostinga i agencija moraju se usmjeravati, a sigurnosni incidenti trebaju uređen tijek. Situacija poput PHP2Shella za svaki je ISMS praktičan test. Tko procjenu, zakrpu i ponovno pokretanje dokumentira razumljivo, ima dobru osnovu za sljedeći audit. Certifikat ili oznaka ne zamjenjuju zakrpu.

## Što su ISO 27001 i TISAX, u dva odlomka

ISO/IEC 27001 opisuje zahtjeve za sustav upravljanja informacijskom sigurnošću, skraćeno ISMS. Misli se na uređen krug: procijeniti rizike, odrediti mjere, provesti ih, provjeriti i poboljšati. Aktualno izdanje iz 2022. u Prilogu A sadrži katalog od 93 mjere u četiri teme. Koje od njih vrijede, odlučuje tvrtka na temelju svoje procjene rizika i bilježi to u izjavi o primjenjivosti.

TISAX je u automobilskoj industriji raširen mehanizam provjere i razmjene. Njime upravlja ENX Association, a osnova je katalog zahtjeva ISA, koji održava ENX, a objavljuje VDA (Udruga njemačke automobilske industrije). Neovisni pružatelji ispitivanja provode procjenu (assessment) čiji opseg ovisi o potrebi zaštite i kreće se od provjera dokumenata do termina na licu mjesta. Rezultati se prema ENX-u dodjeljuju kao oznake (labels), vrijede tri godine i dijele se putem ENX portala samo s odabranim partnerima.

## ISO 27001 na web-poslužitelju: koji se zahtjevi primjenjuju?

Web-poslužitelj u ISMS-u rijetko je zasebno poglavlje. Pojavljuje se na više mjesta, a upravo se tamo stvaraju nedostaci. Sljedeći pregled opće razvrstava najvažnije teme. Ne zamjenjuje uvid u Vašu vlastitu izjavu o primjenjivosti.

| Tema u ISMS-u | Što to znači za web-poslužitelj | Dokaz koji pomaže na auditu |
|---|---|---|
| Popis imovine | Svaka web-stranica, svaki poslužitelj, svaka verzija PHP-a je evidentirana | Aktualan popis s operaterom, verzijom, odgovornom osobom |
| Postupanje s tehničkim ranjivostima | Obavijesti poput PHP2Shella procjenjuju se i obrađuju | Tiket s procjenom, odlukom, datumom zakrpe |
| Odnosi s dobavljačima | Pružatelj hostinga i agencija imaju jasne sigurnosne obveze | Ugovor, podjela zadataka, pisana potvrda stanja zakrpe |
| Bilježenje i nadzor | Logovi web-poslužitelja se čuvaju i analiziraju | Pravilo čuvanja, primjer analize |
| Upravljanje incidentima | Sumnja se prijavljuje, procjenjuje i zaključuje | Zapisnik o incidentu, lessons learned |
| Upravljanje konfiguracijom | Postavke PHP-a i web-poslužitelja su utvrđene | Ciljna konfiguracija i provjera odstupanja |

Kod TISAX-a primjenjuju se usporedive teme jer je katalog ISA usklađen s drugim važnim normama. Uz to neki ciljevi provjere, primjerice zaštita prototipa, traže osobitu pažnju kod sustava putem kojih partneri razmjenjuju podatke. To mogu biti i portali na PHP osnovi.

## PHP2Shell kao praktičan test za ISMS

Dana 21. 10. 2026. PHP projekt objavio je verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja. Funkcionalan ISMS u takvoj bi situaciji trebao pokrenuti lanac koji se kasnije može dokazati.

1. **Zaprimanje:** Tko je kada primio obavijest i gdje je evidentirana?
2. **Procjena:** Koji su sustavi pogođeni? To pretpostavlja aktualan popis, vidi [Znati što radi](https://phpsos.de/hr/blog/inventar-websites-server/).
3. **Odluka:** Zakrpa, prijelazna mjera ili privremeno isključenje, s obrazloženjem i imenom osobe koja odlučuje.
4. **Provedba:** Stanje paketa, ponovno pokretanje svih PHP procesa, kontrola. Kod backportova distribucije vrijedi changelog paketa, a ne prikazani broj verzije; kako se to dokazuje, pokazuje članak [Kako ispravno provjeriti verziju PHP-a i stanje zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/).
5. **Dobavljači:** Pisana potvrda pružatelja hostinga da je zakrpano i ponovno pokrenuto.
6. **Naknadna kontrola:** Provjera znakova kompromitacije od 17. 10. 2026., jer zakrpa prethodne provale ne poništava.

Kako iz tog jednokratnog lanca napraviti trajan tijek, opisuju [Upravljanje ranjivostima za srednje tvrtke](https://phpsos.de/hr/blog/schwachstellenmanagement-mittelstand/) i [Upravljanje zakrpama kao proces](https://phpsos.de/hr/blog/patch-management-prozess/).

## Česti nedostaci u dokumentaciji

U praksi dokaz rijetko pada na tehnici, nego na prazninama u lancu. Tipična je web-stranica koju odjel vodi s agencijom i koje nema na popisu. Jednako su česti ugovori s pružateljem hostinga bez izjave o tome koliko se brzo instaliraju sigurnosna ažuriranja i obavještavaju li se klijenti.

Još jedan klasik: tiket za zakrpu je zatvoren, ali nitko nije ponovno pokrenuo PHP procese. Formalno je točka obavljena, tehnički stari kod i dalje radi. Dobar dokaz zato sadrži ne samo „ažuriranje instalirano“, nego i ponovno pokretanje te kontrolu poslije.

Teško je i sa sustavima koji se ne mogu odmah zakrpati, primjerice aplikacija na PHP-u 8.1. Ovdje ISMS ne traži čuda, ali traži svjesnu odluku: koje prijelazne mjere vrijede, tko je prihvatio preostali rizik i do kada je planiran prijelaz? Pisano prihvaćanje rizika s datumom isteka na auditu je znatno bolje od zastarjelog sustava koji šutke i dalje radi. Slično su važni logovi. Stručni tisak i stručni autori savjetovali su nakon PHP2Shella da se logovi poslužitelja čuvaju od 20. 10. 2026. Dopušta li to Vaše pravilo čuvanja i nalaze li se logovi kod pružatelja hostinga ili kod Vas, treba razjasniti prije sljedećeg incidenta, a ne tijekom njega.

Ako Vaša tvrtka uz to spada pod NIS2, ti se zahtjevi pojačavaju. Osnove su u članku [NIS2 i sigurnost web-poslužitelja](https://phpsos.de/hr/compliance/nis2/). To je opća informacija, a ne pravni savjet.

> **Važno:**
> Certifikat ili oznaka opisuje stanje sustava upravljanja u trenutku provjere. Ne štiti nijedan pojedinačni poslužitelj od nove ranjivosti. Odlučujuće je da tijek u kritičnom trenutku stvarno djeluje.

## Kako PHP SOS konkretno pomaže?

- Evidentiramo Vaše web-poslužitelje i PHP instalacije tako da se uklope u popis Vašeg ISMS-a.
- Zakrpamo i dokumentiramo svojom [uslugom PHP zakrpa](https://phpsos.de/hr/leistungen/php-patch-service/): stanje paketa, ponovno pokretanje, kontrola, s datumom i dokazima.
- Formuliramo pitanja za pružatelje hostinga i agencije te ocjenjujemo njihove odgovore za Vaše upravljanje dobavljačima.
- Odgovornoj osobi za ISMS isporučujemo tehničke činjenice. Procjena u sustavu upravljanja i audit ostaju kod Vas i Vašeg tijela za provjeru.

## Zaključak

ISO 27001 i TISAX ne traže određeni web-poslužitelj, ali traže razumljivo postupanje s njim. PHP2Shell pokazuje surađuju li popis, obrada ranjivosti i usmjeravanje dobavljača. Tko uredno dokaže lanac od zaprimanja, procjene, zakrpe, ponovnog pokretanja i naknadne kontrole, nema u rukama samo audit, nego prije svega poslužitelj.


## Česta pitanja

**Pripada li web-stranica tvrtke u područje primjene ISO 27001?**  
To ovisi o tome kako je Vaša tvrtka odredila područje primjene. Ako web-stranica obrađuje podatke klijenata, povezana je s internim sustavima ili je vodi pružatelj usluga, mnogo govori u prilog tome da je se uključi ili je barem obuhvati upravljanjem dobavljačima.

**Je li TISAX certifikat?**  
ENX Association govori o procjeni (assessment) koju provode neovisni pružatelji ispitivanja, a rezultati se dodjeljuju kao TISAX oznake (labels). Oznake prema ENX-u vrijede tri godine i ciljano se dijele s partnerima putem ENX portala, nisu javne.

**Moram li nakon PHP2Shella obavijestiti svog revizora?**  
Opće obveze za to nema. Vaš ISMS bi ipak trebao dokumentirati kako ste ranjivost procijenili i obradili. Te se dokumente na sljedećem auditu tipično pregledava.

**Koja je verzija ISO 27001 aktualna?**  
Mjerodavno je izdanje ISO/IEC 27001:2022. Njezin Prilog A razvrstava mjere u četiri teme: organizacijske, osobne, fizičke i tehnološke.

## Izvori

- [ENX Association: TISAX](https://www.enx.com/de-DE/TISAX/)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: sigurnosne objave](https://www.php.net/)
- [PHP: podržane verzije](https://www.php.net/supported-versions.php)