Īsi sakot: ISO 27001 un TISAX tīmekļa serverus īpaši skar trīs prasības: ievainojamības jāatklāj un jārisina, pakalpojumu sniedzēji, piemēram, hostinga pakalpojumu sniedzēji un aģentūras, jāvada, un drošības incidentiem vajadzīga noteikta kārtība. Situācija, kāda bija ar PHP2Shell, ir praktisks tests katram ISMS. Kas novērtējumu, ielāpu un pārstartēšanu dokumentē izsekojami, tam nākamajam auditam ir laba pamatne. Sertifikāts vai etiķete ielāpu neaizstāj.
Kas ir ISO 27001 un TISAX, divās rindkopās
ISO/IEC 27001 apraksta prasības informācijas drošības pārvaldības sistēmai, īsi ISMS. Ar to saprot sakārtotu ciklu: novērtēt riskus, noteikt pasākumus, īstenot, pārbaudīt un uzlabot. Aktuālais 2022. gada izdevums A pielikumā satur 93 pasākumu katalogu četrās tēmās. Kuri no tiem ir spēkā, nosaka uzņēmums, balstoties uz sava riska novērtējumu, un fiksē to piemērojamības deklarācijā.
TISAX ir autobūves nozarē izplatīts pārbaudes un apmaiņas mehānisms. To vada ENX Association, pamatā ir prasību katalogs ISA, ko uztur ENX un publicē VDA (Vācijas Autorūpniecības asociācija). Neatkarīgi pārbaudes pakalpojumu sniedzēji veic novērtējumu, kura apjoms ir atkarīgs no aizsardzības vajadzības un svārstās no dokumentu pārbaudēm līdz vizītēm uz vietas. Rezultāti saskaņā ar ENX tiek piešķirti kā etiķetes, ir derīgi trīs gadus un caur ENX portālu tiek dalīti tikai ar izvēlētiem partneriem.
ISO 27001 tīmekļa serverim: kuras prasības ir spēkā?
Tīmekļa serveris ISMS reti ir sava nodaļa. Tas parādās vairākās vietās, un tieši tur rodas nepilnības. Turpmākais pārskats vispārīgi sakārto svarīgākās tēmas. Tas neaizstāj skatu uz jūsu pašu piemērojamības deklarāciju.
| ISMS tēma | Ko tas nozīmē tīmekļa serverim | Apliecinājums, kas palīdz auditā |
|---|---|---|
| Aktīvu inventārs | Katra vietne, katrs serveris, katra PHP versija ir uzskaitīta | Aktuāls saraksts ar uzturētāju, versiju, atbildīgo |
| Rīcība ar tehniskām ievainojamībām | Ziņojumi, piemēram, par PHP2Shell, tiek novērtēti un risināti | Biļete ar novērtējumu, lēmumu, ielāpa datumu |
| Attiecības ar piegādātājiem | Hostinga pakalpojumu sniedzējam un aģentūrai ir skaidri drošības pienākumi | Līgums, uzdevumu sadale, rakstveida apstiprinājums par ielāpa stāvokli |
| Žurnālēšana un uzraudzība | Tīmekļa servera žurnāli tiek glabāti un izvērtēti | Glabāšanas noteikums, izvērtējuma piemērs |
| Incidentu pārvaldība | Aizdomas tiek ziņotas, novērtētas un noslēgtas | Incidentu protokols, Lessons Learned |
| Konfigurācijas pārvaldība | PHP un tīmekļa servera iestatījumi ir noteikti | Mērķa konfigurācija un noviržu pārbaude |
TISAX gadījumā ir spēkā salīdzināmas tēmas, jo ISA katalogs ir saskaņots ar citiem nozīmīgiem standartiem. Papildus dažos pārbaudes mērķos, piemēram, prototipu aizsardzībā, nepieciešama īpaša rūpība pie sistēmām, caur kurām partneri apmainās ar datiem. Tie var būt arī portāli uz PHP bāzes.
PHP2Shell kā ISMS praktiskais tests
-
gada 21. oktobrī PHP projekts publicēja versijas 8.5.12, 8.4.27, 8.3.36 un 8.2.35. PHP 8.1 un vecākām versijām oficiālu atjauninājumu vairs nav. Funkcionējošam ISMS šajā situācijā vajadzētu aktivizēt ķēdi, ko vēlāk var pierādīt.
-
Saņemšana: kurš ziņojumu saņēmis kad un kur tas ir reģistrēts?
- Novērtējums: kuras sistēmas ir skartas? Tas paredz aktuālu inventāru, skatiet Zināt, kas darbojas.
- Lēmums: ielāps, pagaidu pasākums vai īslaicīga atslēgšana, ar pamatojumu un lēmuma pieņēmēja vārdu.
- Īstenošana: pakotnes stāvoklis, visu PHP procesu pārstartēšana, kontrole. Distribūcijas atpakaļportējumu (backport) gadījumā svarīgs ir pakotnes izmaiņu žurnāls, nevis parādītais versijas numurs; kā to apliecināt, parāda PHP versijas un ielāpa stāvokļa pareiza pārbaude.
- Piegādātāji: hostinga pakalpojumu sniedzēja rakstveida apstiprinājums, ka ielāpots un pārstartēts.
- Pēckontrole: pārbaude uz kompromitācijas pazīmēm kopš 2026. gada 17. oktobra, jo ielāps iepriekšējas ielaušanās nepadara nenotikušas.
Kā no šīs vienreizējās ķēdes izveidot pastāvīgu norisi, apraksta Ievainojamību pārvaldība vidējiem uzņēmumiem un Ielāpu pārvaldība kā process.
Biežākās nepilnības dokumentācijā
Praksē apliecinājums reti cieš neveiksmi tehnikas dēļ, bet ķēdes nepilnību dēļ. Tipiska ir vietne, ko nodaļa darbina kopā ar aģentūru un kas inventārā trūkst. Tikpat bieži sastopami hostinga līgumi bez norādes, cik ātri drošības atjauninājumi tiek uzstādīti un vai klienti tiek informēti.
Vēl viens klasisks gadījums: ielāpa biļete ir slēgta, bet neviens nav pārstartējis PHP procesus. Formāli punkts ir paveikts, tehniski darbojas vecais kods. Labs apliecinājums tāpēc ietver ne tikai „atjauninājums uzstādīts”, bet arī pārstartēšanu un kontroli pēc tās.
Grūti kļūst arī ar sistēmām, ko nevar ielāpot uzreiz, piemēram, lietojumprogrammu uz PHP 8.1. Šeit ISMS neprasa brīnumus, bet apzinātu lēmumu: kādi pagaidu pasākumi ir spēkā, kurš ir pieņēmis atlikušo risku un līdz kuram laikam plānota pāreja? Rakstveida riska pieņemšana ar beigu datumu auditā ir ievērojami labāka nekā klusi turpinoša vecās sistēmas darbība. Līdzīgi svarīgi ir žurnāli. Specializētā prese un autori pēc PHP2Shell ieteica serveru žurnālus glabāt no 2026. gada 20. oktobra. Vai jūsu glabāšanas noteikums to nodrošina un vai žurnāli atrodas pie hostinga pakalpojumu sniedzēja vai pie jums, jānoskaidro pirms nākamā incidenta, nevis tā laikā.
Ja jūsu uzņēmumam papildus piemērojams NIS2, šīs prasības pastiprinās. Pamatnostādnes ir sadaļā NIS2 un tīmekļa serveru drošība. Tā ir vispārīga informācija, nevis juridiskā konsultācija.
Sertifikāts vai etiķete apraksta pārvaldības sistēmas stāvokli pārbaudes brīdī. Tā neaizsargā atsevišķu serveri pret jaunu nepilnību. Izšķiroši, lai norise ārkārtas situācijā tiešām darbotos.
Kā PHP SOS palīdz konkrēti?
- Mēs uzskaitām jūsu tīmekļa serverus un PHP instalācijas tā, lai tās atbilstu jūsu ISMS inventāram.
- Mēs ielāpojam un dokumentējam ar savu PHP ielāpu servisu: pakotnes stāvoklis, pārstartēšana, kontrole, ar datumu un pierādījumiem.
- Mēs formulējam jautājumus hostinga pakalpojumu sniedzējiem un aģentūrām un novērtējam viņu atbildes jūsu piegādātāju pārvaldībai.
- Mēs sniedzam jūsu ISMS atbildīgajai personai tehniskos faktus. Novērtējums pārvaldības sistēmā un audits paliek pie jums un jūsu pārbaudes iestādes.
Secinājums
ISO 27001 un TISAX neprasa konkrētu tīmekļa serveri, bet izsekojamu rīcību ar to. PHP2Shell parāda, vai inventārs, ievainojamību risināšana un piegādātāju vadība darbojas kopā. Kas ķēdi no saņemšanas, novērtējuma, ielāpa, pārstartēšanas un pēckontroles apliecina kārtīgi, tam ir ne tikai audits, bet galvenokārt serveris kontrolē.
Biežāk uzdotie jautājumi
Vai uzņēmuma vietne ietilpst ISO 27001 piemērošanas jomā?
Tas ir atkarīgs no tā, kā jūsu uzņēmums noteicis piemērošanas jomu. Ja vietne apstrādā klientu datus, ir savienota ar iekšējām sistēmām vai to uztur pakalpojumu sniedzējs, daudz kas liecina par labu tās iekļaušanai vai vismaz uzskaitei piegādātāju pārvaldībā.
Vai TISAX ir sertifikāts?
ENX Association runā par neatkarīgu pārbaudes pakalpojumu sniedzēju veiktu novērtējumu, kura rezultātus piešķir kā TISAX etiķetes. Saskaņā ar ENX etiķetes ir derīgas trīs gadus un mērķtiecīgi tiek dalītas ar partneriem caur ENX portālu, tās nav publiskas.
Vai pēc PHP2Shell man jāinformē savs auditors?
Vispārēja pienākuma nav. Taču jūsu ISMS būtu jādokumentē, kā novērtējāt un risinājāt ievainojamību. Šos dokumentus nākamajā auditā parasti apskata.
Kura ISO 27001 versija ir aktuāla?
Noteicošais ir izdevums ISO/IEC 27001:2022. Tā A pielikums sakārto pasākumus četrās tēmās: organizatoriskā, personu, fiziskā un tehnoloģiskā.