In breve: ISO 27001 e TISAX riguardano i server web soprattutto attraverso tre requisiti: le vulnerabilità devono essere riconosciute e trattate, i fornitori come hoster e agenzie devono essere governati e gli incidenti di sicurezza richiedono una procedura regolata. Una situazione come PHP2Shell è per ogni ISMS una prova pratica. Chi documenta in modo comprensibile valutazione, patch e riavvio ha una buona base per il prossimo audit. Un certificato o un label non sostituisce la patch.
Che cosa sono ISO 27001 e TISAX, in due paragrafi
La ISO/IEC 27001 descrive i requisiti per un sistema di gestione della sicurezza delle informazioni, in breve ISMS. Si intende un ciclo ordinato: valutare i rischi, definire le misure, attuarle, verificarle e migliorarle. L'edizione attuale del 2022 contiene nell'Allegato A un catalogo di 93 misure in quattro temi. Quali si applichino lo decide l'azienda sulla base della propria valutazione del rischio e lo annota nella dichiarazione di applicabilità.
TISAX è il meccanismo di verifica e scambio diffuso nell'industria automobilistica. È gestito dall'ENX Association; la base è il catalogo dei requisiti ISA, che l'ENX cura e che il VDA (l'associazione tedesca dell'industria automobilistica) pubblica. Fornitori di verifica indipendenti conducono un assessment, il cui ambito dipende dal fabbisogno di protezione e va dal controllo dei documenti ai sopralluoghi. I risultati vengono assegnati, secondo l'ENX, come label, valgono tre anni e vengono condivisi tramite il portale ENX solo con partner selezionati.
ISO 27001 sul server web: quali requisiti si applicano?
Un server web nell'ISMS raramente è un capitolo a sé. Compare in più punti, ed è proprio lì che nascono le lacune. Il prospetto seguente ordina in modo generale i temi principali. Non sostituisce uno sguardo alla Sua dichiarazione di applicabilità.
| Tema nell'ISMS | Che cosa significa per il server web | Prova utile nell'audit |
|---|---|---|
| Inventario dei beni | Ogni sito, ogni server, ogni versione di PHP è rilevato | Elenco aggiornato con gestore, versione, responsabile |
| Gestione delle vulnerabilità tecniche | Segnalazioni come PHP2Shell vengono valutate e trattate | Ticket con valutazione, decisione, data della patch |
| Rapporti con i fornitori | Hoster e agenzia hanno obblighi di sicurezza chiari | Contratto, ripartizione dei compiti, conferma scritta dello stato delle patch |
| Registrazione e monitoraggio | I log del server web sono conservati e analizzati | Regola di conservazione, esempio di un'analisi |
| Gestione degli incidenti | Il sospetto viene segnalato, valutato e chiuso | Verbale dell'incidente, lessons learned |
| Gestione della configurazione | Le impostazioni di PHP e del server web sono definite | Configurazione di riferimento e verifica degli scostamenti |
Con TISAX si applicano temi analoghi, perché il catalogo ISA è allineato con altri standard importanti. Inoltre alcuni obiettivi di verifica, ad esempio la protezione dei prototipi, richiedono particolare attenzione per i sistemi attraverso i quali i partner scambiano dati. Possono essere anche portali basati su PHP.
PHP2Shell come prova pratica per l'ISMS
Il 21/10/2026 il progetto PHP ha pubblicato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per PHP 8.1 e precedenti non esistono più aggiornamenti ufficiali. Un ISMS funzionante dovrebbe in questa situazione innescare una catena che si possa poi documentare.
- Ricezione: chi ha ricevuto la segnalazione e quando, e dove è registrata?
- Valutazione: quali sistemi sono interessati? Presuppone un inventario aggiornato, vedere Sapere che cosa gira.
- Decisione: patch, misura provvisoria o spegnimento temporaneo, con motivazione e nome della persona che decide.
- Attuazione: stato del pacchetto, riavvio di tutti i processi PHP, controllo. Con i backport della distribuzione conta il changelog del pacchetto, non il numero di versione visualizzato; come dimostrarlo lo mostra Verificare correttamente versione PHP e livello di patch.
- Fornitori: conferma scritta dell'hoster che è stata applicata la patch e che è avvenuto il riavvio.
- Controllo successivo: verifica di segni di compromissione dal 17/10/2026, perché una patch non annulla le intrusioni precedenti.
Come trasformare questa catena una tantum in una procedura stabile lo descrivono Gestione delle vulnerabilità per le PMI e Patch management come processo.
Punti deboli frequenti nella documentazione
Nella pratica la prova raramente fallisce per la tecnica, ma per lacune nella catena. Tipico è un sito che un reparto gestisce con un'agenzia e che manca nell'inventario. Altrettanto frequenti sono contratti con l'hoster privi di indicazioni su quanto rapidamente vengano installati gli aggiornamenti di sicurezza e se i clienti vengano informati.
Un altro classico: il ticket della patch è chiuso, ma nessuno ha riavviato i processi PHP. Formalmente il punto è chiuso, tecnicamente continua a girare il vecchio codice. Una buona prova contiene quindi non solo «aggiornamento installato», ma anche il riavvio e un controllo successivo.
È difficile anche con i sistemi che non si possono aggiornare subito, ad esempio un'applicazione su PHP 8.1. Qui un ISMS non pretende miracoli, ma una decisione consapevole: quali misure provvisorie valgono, chi ha accettato il rischio residuo e per quando è pianificato il passaggio? Un'accettazione scritta del rischio con data di scadenza è nell'audit nettamente migliore di un sistema legacy che continua tacitamente a funzionare. Altrettanto importanti sono i log. Dopo PHP2Shell la stampa specializzata e gli autori specializzati hanno consigliato di conservare i log del server dal 20/10/2026. Se la Sua regola di conservazione lo consenta e se i log siano presso l'hoster o presso di Lei dovrebbe essere chiarito prima del prossimo incidente, non durante.
Se la Sua azienda rientra inoltre nella NIS2, questi requisiti si rafforzano. Le linee generali sono in NIS2 e sicurezza dei server web. Questa è un'informazione generale, non consulenza legale.
Un certificato o un label descrive lo stato di un sistema di gestione al momento della verifica. Non protegge il singolo server da una nuova falla. Decisivo è che la procedura funzioni davvero nell'emergenza.
Come aiuta concretamente PHP SOS?
- Rileviamo i Suoi server web e le installazioni PHP in modo che si inseriscano nell'inventario del Suo ISMS.
- Applichiamo le patch e documentiamo con il nostro servizio patch PHP: stato del pacchetto, riavvio, controllo, con data e prove.
- Formuliamo le domande a hoster e agenzie e valutiamo le loro risposte per la Sua gestione dei fornitori.
- Forniamo al responsabile del Suo ISMS i fatti tecnici. La valutazione nel sistema di gestione e l'audit restano a Lei e al Suo ente di verifica.
Conclusione
ISO 27001 e TISAX non richiedono un determinato server web, ma un approccio comprensibile. PHP2Shell mostra se inventario, trattamento delle vulnerabilità e governo dei fornitori funzionano insieme. Chi documenta in modo pulito la catena di ricezione, valutazione, patch, riavvio e controllo successivo ha sotto controllo non solo l'audit, ma soprattutto il server.
Domande frequenti
Il sito aziendale rientra nell'ambito di applicazione di una ISO 27001?
Dipende da come la Sua azienda ha definito l'ambito di applicazione. Se il sito tratta dati dei clienti, è collegato a sistemi interni o è gestito da un fornitore, ci sono buone ragioni per includerlo o almeno per rilevarlo attraverso la gestione dei fornitori.
TISAX è un certificato?
L'ENX Association parla di un assessment condotto da fornitori di verifica indipendenti, i cui risultati vengono assegnati come label TISAX. Secondo l'ENX i label valgono tre anni e vengono condivisi in modo mirato con i partner tramite il portale ENX, non sono pubblici.
Dopo PHP2Shell devo informare il mio auditor?
Non esiste un obbligo generale in tal senso. Il Suo ISMS dovrebbe però documentare come ha valutato e trattato la vulnerabilità. Questi documenti vengono di norma esaminati nel prossimo audit.
Qual è la versione attuale della ISO 27001?
Fa fede l'edizione ISO/IEC 27001:2022. Il suo Allegato A ordina le misure in quattro temi: organizzativo, riferito alle persone, fisico e tecnologico.