# Benchmark CIS e moduli BSI per i server web

> Benchmark CIS per server web e moduli BSI a confronto: quali standard si adattano a Linux, Nginx, Apache e PHP e come attuarli nella pratica.

Fonte: https://phpsos.de/it/blog/cis-benchmarks-bsi-bausteine/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** un benchmark CIS per server web fornisce impostazioni concrete e specifiche per versione per sistema operativo e server web, ad esempio per Ubuntu, Debian, RHEL, Nginx o Apache. I moduli dell'IT-Grundschutz del BSI (Ufficio federale tedesco per la sicurezza informatica) descrivono inoltre quali requisiti valgano per server web, applicazioni web, gestione delle patch e registrazione dei log. Insieme formano una direttiva di hardening verificabile; le impostazioni specifiche di PHP le aggiunge Lei stesso.

## Perché «ben configurato» non è un metro di misura

Dopo un incidente, direzione, assicuratori o auditor prima o poi pongono la stessa domanda: secondo quale standard era configurato il server? La risposta onesta, in molte aziende, è: secondo il meglio delle conoscenze dell'admin che a suo tempo lo ha messo in piedi. Non è necessariamente un male, ma non è né tracciabile né ripetibile.

PHP2Shell lo ha reso visibile. Chi voleva sapere quali server fossero interessati, quale modalità di esecuzione di PHP girasse e quando fosse stata applicata l'ultima patch, in molti posti ha dovuto prima mettersi a cercare. Uno standard di hardening non sostituisce un aggiornamento, ma crea proprio quest'ordine: impostazioni definite, un inventario e verifiche regolari.

Due opere si sono dimostrate valide allo scopo: i benchmark CIS del Center for Internet Security e l'IT-Grundschutz del BSI.

## Che cosa contiene un benchmark CIS per server web

I benchmark CIS sono raccomandazioni di configurazione basate sul consenso, elaborate insieme da esperti di molte organizzazioni. Secondo CIS esistono per più di 25 famiglie di prodotti. Per i server web PHP sono rilevanti soprattutto questi: Ubuntu Linux, Debian Linux e Red Hat Enterprise Linux per il sistema operativo, nonché Apache HTTP Server 2.4 e NGINX per il server web.

Ogni benchmark è un elenco di singole raccomandazioni con motivazione, istruzioni di verifica e correzione. Molti benchmark distinguono un profilo di base, attuabile senza grandi effetti collaterali, e un profilo più severo per esigenze di protezione più alte. Per la verifica automatica CIS offre strumenti, nell'ambito dei benchmark con il nome CIS-CAT.

Il vantaggio è la precisione: invece di «mettere in sicurezza SSH» vi si legge quale impostazione debba avere quale valore e come verificarlo. Lo svantaggio è la mole. Un benchmark completo per un sistema Linux contiene moltissimi punti e non tutti si adattano a ogni attività.

Faccia inoltre attenzione alla versione. I benchmark valgono ciascuno per determinate release: la panoramica CIS riporta ad esempio edizioni separate per le versioni LTS di Ubuntu fino alla 26.04, per Debian da 9 a 13 e per RHEL 8, 9 e 10. Chi applica a un sistema nuovo un benchmark per una versione più vecchia verifica in parte impostazioni che lì non esistono più e ne trascura di nuove. Se su un server gira ancora un sistema operativo senza supporto del produttore, già questo è il rilievo più importante.

## I moduli BSI adatti per i server web PHP

L'IT-Grundschutz del BSI lavora con moduli che descrivono requisiti per sistemi e procedure. Attualmente è in vigore il Compendio IT-Grundschutz nell'edizione 2023. Il BSI sta trasformando l'IT-Grundschutz in un insieme di regole orientato ai processi e leggibile da macchina; secondo il BSI il compendio attuale resta applicabile in un periodo transitorio di più anni.

Per un server web PHP questi moduli sono i più importanti:

| Modulo | Contenuto | Rapporto con il server web PHP |
|---|---|---|
| APP.3.2 Webserver | Gestione e configurazione del server web | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | Requisiti per l'applicazione | CMS, shop, software PHP proprio |
| SYS.1.3 Server unter Linux und Unix | Hardening del sistema operativo | Base di ogni server web Linux |
| OPS.1.1.3 Patch- und Änderungsmanagement | Installazione regolata degli aggiornamenti | Aggiornamenti PHP, riavvii, documentazione |
| OPS.1.1.5 Protokollierung | Rilevazione e analisi degli eventi | Log di accesso e di errore |
| CON.3 Datensicherungskonzept | Backup e ripristino | Salvataggio di codice e database |
| CON.10 Entwicklung von Webanwendungen | Sviluppo sicuro | Progetti PHP propri |

L'Grundschutz è meno concreto di un benchmark CIS, ma in compenso copre procedure che non compaiono in alcun file di configurazione: chi applica le patch, chi controlla, chi viene informato.

## CIS o BSI: che cosa si adatta alla sua azienda?

La scelta dipende meno dalla tecnica che dal contesto. Una regola pratica:

- **Base tecnica per singoli server:** benchmark CIS per sistema operativo e server web, integrato da una direttiva PHP propria.
- **Pubblica amministrazione, committenti con riferimento all'Grundschutz, settori regolamentati:** IT-Grundschutz come cornice, benchmark CIS per l'attuazione concreta.
- **Aziende con ISO 27001 o TISAX:** entrambe le opere sono adatte come supporto tecnico alle proprie direttive, vedi [ISO 27001 e TISAX: che cosa riguarda i server web](https://phpsos.de/it/blog/iso-27001-tisax-webserver/).
- **Aziende che rientrano nella NIS2:** uno standard di hardening documentato aiuta a dimostrare misure adeguate. Che cosa richieda la direttiva lo riassume [NIS2 e sicurezza dei server web](https://phpsos.de/it/compliance/nis2/); nel singolo caso decide la sua consulenza legale.

Per PHP stesso conviene integrare le direttive del server: valori bloccati in php.ini, pool FPM separati, nessuna esecuzione nelle cartelle di upload. Una buona base è offerta dalla guida [Configurare php.ini in modo sicuro](https://phpsos.de/it/ratgeber/php-ini-sicher-konfigurieren/).

## In sei passi verso una propria direttiva di hardening

Uno standard serve solo se arriva nell'attività quotidiana. Si è dimostrato valido questo procedimento:

1. **Creare un inventario:** quali server, sistemi operativi, server web e versioni di PHP girano dove?
2. **Scegliere benchmark e moduli**, adatti a versione ed esigenza di protezione.
3. **Verificare lo stato attuale**, se possibile in modo automatizzato, e raccogliere le deviazioni.
4. **Valutare le deviazioni:** attuare, accettare consapevolmente o compensare con altre misure, sempre con motivazione.
5. **Fissare la direttiva**, idealmente come automazione della configurazione, così i nuovi server sono sottoposti a hardening fin dall'inizio.
6. **Ripetere la verifica regolarmente e dopo aggiornamenti importanti**, perché i nuovi pacchetti portano a volte nuovi valori predefiniti.

Il passo 6 collega l'hardening al processo delle patch. Come installare gli aggiornamenti in modo pianificabile anziché frenetico lo descrive [Gestione delle patch come processo anziché pronto intervento](https://phpsos.de/it/blog/patch-management-prozess/).

> **Importante:**
> Provi i profili severi prima su un sistema di staging. Alcune raccomandazioni, ad esempio su file system o servizi di rete, possono interrompere applicazioni o accessi remoti.

## Come aiuta concretamente PHP SOS?

- Rileviamo i suoi server web e assegniamo a ciascuno il benchmark CIS adatto e i moduli di Grundschutz rilevanti.
- Verifichiamo lo stato attuale e forniamo un elenco prioritizzato delle deviazioni con impegno e beneficio.
- Integriamo la direttiva con una base PHP per php.ini, pool FPM e permessi dei file.
- Documentiamo le eccezioni consapevoli in modo che auditor e assicuratori possano seguirle.

L'attuazione la svolgiamo nell'ambito dell'[hardening del server per server web PHP](https://phpsos.de/it/leistungen/server-haertung/).


## Domande frequenti

**Devo attuare ogni raccomandazione di un benchmark CIS?**  
No. I benchmark sono un metro di misura, non una legge. Alcune raccomandazioni non si adattano alla sua attività o ostacolerebbero delle funzioni. Conta decidere le deviazioni in modo consapevole, motivarle e documentarle.

**I benchmark CIS e l'IT-Grundschutz sono concorrenti?**  
Piuttosto si integrano. I benchmark CIS forniscono impostazioni concrete per prodotto e versione. L'IT-Grundschutz descrive i requisiti per sistemi e processi, ad esempio gestione delle patch e registrazione dei log, e li inserisce in un sistema di gestione.

**Esiste uno standard di hardening specifico per PHP?**  
Le impostazioni di PHP sono contenute di solito solo marginalmente negli standard comuni per i server. Nella pratica si integrano le direttive del server con una base PHP propria, ad esempio per php.ini, pool FPM e permessi dei file, e per l'applicazione ci si orienta ai moduli sulle applicazioni web.

**Un benchmark CIS avrebbe impedito PHP2Shell?**  
No. PHP2Shell indica vulnerabilità nell'interprete PHP, contro le quali aiuta solo l'aggiornamento. Un server sottoposto a hardening può però limitare le conseguenze di un'intrusione e, con una gestione regolata delle patch, far sì che gli aggiornamenti vengano installati più in fretta e in modo documentabile.

**L'IT-Grundschutz è troppo grande per le piccole imprese?**  
Come sistema di gestione completo spesso sì. I singoli moduli si possono però usare bene come checklist per server web e applicazioni web, senza adottare subito l'intero metodo.

## Fonti

- [CIS Benchmarks](https://www.cisecurity.org/cis-benchmarks)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI: pagina iniziale](https://www.bsi.bund.de/)