# ISO 27001 és TISAX: mit érintenek a webszerverek

> ISO 27001 és TISAX a webszervernél: mely követelmények érintik a javításokat, a szállítókat és az incidenseket, és mely igazolások számítanak.

Forrás: https://phpsos.de/hu/blog/iso-27001-tisax-webserver/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Az ISO 27001 és a TISAX három követelményen keresztül érinti különösen a webszervereket: a sebezhetőségeket fel kell ismerni és kezelni kell, a szolgáltatókat, például a tárhelyszolgáltatókat és az ügynökségeket irányítani kell, és a biztonsági incidenseknek szabályozott folyamatra van szükségük. Egy olyan helyzet, mint a PHP2Shell, minden ISMS számára gyakorlati próba. Aki az értékelést, a javítást és az újraindítást követhetően dokumentálja, jó alapot teremt a következő auditra. Egy tanúsítvány vagy címke nem pótolja a javítást.

## Mi az ISO 27001 és a TISAX, két bekezdésben

Az ISO/IEC 27001 az információbiztonsági irányítási rendszer, röviden ISMS követelményeit írja le. Rendezett ciklusról van szó: kockázatok értékelése, intézkedések meghatározása, megvalósítása, ellenőrzése és javítása. A 2022-es aktuális kiadás az A mellékletében négy témában 93 intézkedésből álló katalógust tartalmaz. Hogy ezek közül melyek érvényesek, azt a vállalkozás a kockázatértékelése alapján dönti el, és az alkalmazhatósági nyilatkozatban rögzíti.

A TISAX az autóiparban elterjedt vizsgálati és információcsere-mechanizmus. Az ENX Association irányítja, alapja az ISA követelménykatalógus, amelyet az ENX gondoz, és a VDA (az Autóipari Szövetség) tesz közzé. Független vizsgálati szolgáltatók értékelést végeznek, amelynek terjedelme a védelmi igénytől függ, és a dokumentumellenőrzéstől a helyszíni időpontokig terjed. Az eredményeket az ENX szerint címkékként adják ki, három évig érvényesek, és az ENX-portálon keresztül csak kiválasztott partnerekkel osztják meg őket.

## ISO 27001 a webszervernél: mely követelmények érvényesek?

Egy webszerver az ISMS-ben ritkán külön fejezet. Több helyen felbukkan, és éppen ott keletkeznek hiányosságok. A következő áttekintés általánosan rendezi a legfontosabb témákat. Nem helyettesíti a saját alkalmazhatósági nyilatkozata áttekintését.

| Téma az ISMS-ben | Mit jelent ez a webszervernél | Igazolás, amely segít az auditon |
|---|---|---|
| Az eszközök leltára | Minden weboldal, szerver és PHP-verzió fel van mérve | Aktuális lista üzemeltetővel, verzióval, felelőssel |
| A műszaki sebezhetőségek kezelése | Az olyan közleményeket, mint a PHP2Shell, értékelik és kezelik | Ticket értékeléssel, döntéssel, a javítás dátumával |
| Szállítói kapcsolatok | A tárhelyszolgáltatónak és az ügynökségnek egyértelmű biztonsági kötelezettségei vannak | Szerződés, feladatmegosztás, írásbeli megerősítés a javítási állapotról |
| Naplózás és felügyelet | A webszerver-naplókat megőrzik és kiértékelik | Megőrzési szabály, példa egy kiértékelésre |
| Incidenskezelés | A gyanút jelentik, értékelik és lezárják | Incidensjegyzőkönyv, lessons learned |
| Konfigurációkezelés | A PHP- és webszerver-beállítások rögzítve vannak | Tervezett konfiguráció és az eltérések ellenőrzése |

A TISAX-nál hasonló témák érvényesek, mert az ISA-katalógus összhangban van más jelentős szabványokkal. Ezenkívül egyes vizsgálati célok, például a prototípusvédelem, különös gondosságot követelnek azoknál a rendszereknél, amelyeken keresztül partnerek adatot cserélnek. Ezek lehetnek PHP-alapú portálok is.

## A PHP2Shell mint az ISMS gyakorlati próbája

2026. 10. 21-én a PHP-projekt kiadta a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziókat. A PHP 8.1-hez és régebbiekhez már nincsenek hivatalos frissítések. Egy működő ISMS-nek ebben a helyzetben olyan láncot kell elindítania, amely később igazolható.

1. **Beérkezés:** Ki kapta meg mikor a közleményt, és hol van rögzítve?
2. **Értékelés:** Mely rendszerek érintettek? Ez aktuális leltárt feltételez, lásd [Tudni, mi fut](https://phpsos.de/hu/blog/inventar-websites-server/).
3. **Döntés:** Javítás, átmeneti intézkedés vagy átmeneti lekapcsolás, indoklással és a döntő személy nevével.
4. **Megvalósítás:** Csomagállapot, az összes PHP-folyamat újraindítása, ellenőrzés. A disztribúció backportjainál a csomag changelogja számít, nem a megjelenített verziószám; hogyan igazolható ez, azt a [PHP-verzió és javítási állapot helyes ellenőrzése](https://phpsos.de/hu/php2shell/php-version-pruefen/) mutatja.
5. **Szállítók:** A tárhelyszolgáltató írásbeli megerősítése arról, hogy javított és újraindított.
6. **Utóellenőrzés:** Egy kompromittálódásra utaló jelek vizsgálata 2026. 10. 17. óta, mert a javítás nem teszi meg nem történtté a korábbi behatolásokat.

Hogyan lehet ebből az egyszeri láncból tartós folyamatot csinálni, azt a [Sebezhetőségkezelés a közép- és kisvállalkozásoknál](https://phpsos.de/hu/blog/schwachstellenmanagement-mittelstand/) és a [Patchmenedzsment folyamatként](https://phpsos.de/hu/blog/patch-management-prozess/) írja le.

## Gyakori gyengeségek a dokumentációban

A gyakorlatban az igazolás ritkán a technikán bukik el, hanem a lánc hiányosságain. Tipikus eset egy olyan weboldal, amelyet egy szakosztály üzemeltet egy ügynökséggel, és amely hiányzik a leltárból. Ugyanilyen gyakoriak a tárhelyszolgáltatói szerződések, amelyek nem tartalmaznak kijelentést arról, milyen gyorsan telepítik a biztonsági frissítéseket, és tájékoztatják-e az ügyfeleket.

Egy másik klasszikus: a patch-ticket le van zárva, de senki sem indította újra a PHP-folyamatokat. Formailag a pont elintézett, technikailag a régi kód fut tovább. Egy jó igazolás ezért nem csak azt tartalmazza, hogy „frissítés telepítve”, hanem az újraindítást és az utána végzett ellenőrzést is.

Nehézzé válik a helyzet azoknál a rendszereknél is, amelyeket nem lehet azonnal javítani, például egy PHP 8.1-en futó alkalmazásnál. Itt az ISMS nem követel csodát, de tudatos döntést igen: mely átmeneti intézkedések érvényesek, ki fogadta el a fennmaradó kockázatot, és meddig tervezik az átállást? Egy lejárati dátummal ellátott írásbeli kockázatvállalás az auditon lényegesen jobb, mint egy csendben tovább futó régi rendszer. Hasonlóan fontosak a naplók. A szakmai sajtó és a szakmai szerzők a PHP2Shell után azt javasolták, hogy a szervernaplókat 2026. 10. 20-tól őrizzék meg. Hogy az Ön megőrzési szabálya ezt lehetővé teszi-e, és hogy a naplók a tárhelyszolgáltatónál vagy Önnél vannak-e, azt a következő incidens előtt kell tisztázni, nem közben.

Ha a vállalkozása ezenkívül a NIS2 hatálya alá tartozik, ezek a követelmények erősödnek. Az alapokat a [NIS2 és a webszerverek biztonsága](https://phpsos.de/hu/compliance/nis2/) tartalmazza. Ez általános tájékoztatás, nem jogi tanácsadás.

> **Fontos:**
> Egy tanúsítvány vagy címke egy irányítási rendszer állapotát írja le a vizsgálat időpontjában. Egyetlen szervert sem véd egy új rés ellen. Az a döntő, hogy a folyamat éles helyzetben ténylegesen működik.

## Hogyan segít konkrétan a PHP SOS?

- Úgy mérjük fel a webszervereit és PHP-telepítéseit, hogy illeszkedjenek az ISMS-e leltárába.
- A [PHP-patch-szolgáltatásunkkal](https://phpsos.de/hu/leistungen/php-patch-service/) javítunk és dokumentálunk: csomagállapot, újraindítás, ellenőrzés, dátummal és bizonylatokkal.
- Megfogalmazzuk a kérdéseket a tárhelyszolgáltatóknak és az ügynökségeknek, és értékeljük a válaszaikat a szállítói menedzsmentje számára.
- Az ISMS-felelősének átadjuk a műszaki tényeket. Az irányítási rendszerben végzett értékelés és az audit Önnél és a vizsgálati szervezetnél marad.

## Összegzés

Az ISO 27001 és a TISAX nem követel meg egy bizonyos webszervert, de követhető bánásmódot igen vele. A PHP2Shell megmutatja, hogy a leltár, a sebezhetőségek kezelése és a szállítók irányítása együttműködik-e. Aki rendesen igazolja a beérkezés, az értékelés, a javítás, az újraindítás és az utóellenőrzés láncát, annak nemcsak az auditja van rendben, hanem mindenekelőtt a szervere is.


## Gyakori kérdések

**Beletartozik a vállalati weboldal egy ISO 27001 hatókörébe?**  
Ez attól függ, hogyan határozta meg a vállalkozása a hatókört. Ha a weboldal ügyféladatokat dolgoz fel, belső rendszerekkel van összekötve, vagy egy szolgáltató üzemelteti, sok szól amellett, hogy bevonják, vagy legalább a szállítói menedzsmenten keresztül felmérjék.

**A TISAX tanúsítvány?**  
Az ENX Association független vizsgálati szolgáltatók általi értékelésről beszél, amelynek eredményeit TISAX-címkékként adják ki. A címkék az ENX szerint három évig érvényesek, és az ENX-portálon keresztül célzottan osztják meg őket partnerekkel, nem nyilvánosak.

**Tájékoztatnom kell az auditoromat a PHP2Shell után?**  
Erre nincs általános kötelezettség. Az ISMS-nek azonban dokumentálnia kell, hogyan értékelte és kezelte a sebezhetőséget. Ezeket a dokumentumokat a következő auditon jellemzően megnézik.

**Melyik az ISO 27001 aktuális verziója?**  
Az ISO/IEC 27001:2022 kiadás a mérvadó. A melléklete (A melléklet) az intézkedéseket négy témába rendezi: szervezeti, személyi, fizikai és technológiai.

## Források

- [ENX Association: TISAX](https://www.enx.com/de-DE/TISAX/)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: biztonsági közlemények](https://www.php.net/)
- [PHP: támogatott verziók](https://www.php.net/supported-versions.php)