Īsi sakot: VdS 10000 ir VdS Schadenverhütung (Vācijas apdrošināšanas nozares zaudējumu novēršanas institūta) vadlīnija informācijas drošībai maziem un vidējiem uzņēmumiem. Saskaņā ar VdS tā balstās uz ISO 27001 un BSI (Vācijas Federālā informācijas drošības biroja) pamatdrošību, taču ir ievērojami vienkāršāka un pielāgota vidējiem uzņēmumiem. Vietnēm un tīmekļa serveriem galvenokārt svarīgi ir inventārs, ievainojamību risināšana, attālinātās piekļuves ar vairākfaktoru pieteikšanos, datu rezerves kopēšana un rīcība drošības incidentu gadījumā.
Kāpēc VdS 10000 ir interesanta vidējiem uzņēmumiem
Daudzi uzņēmumi zina, ka informācijas drošībai būtu jāpieiet strukturētāk, taču baidās no ISO 27001 darbietilpības. Tieši tam ir paredzēta VdS 10000. VdS to raksturo kā nozarēm neitrālu pasākumu katalogu, kas mazus un vidējus uzņēmumus, kā arī pašvaldības nedrīkst pārslogot ne organizatoriski, ne finansiāli.
Divi VdS dati palīdz ieviest skaidrību. Darbietilpība esot aptuveni 20 procenti salīdzinājumā ar ISO 27001. Un BSI VdS 10000 prasības vērtējot kā IT-Grundschutz pamataizsardzības (Basis-Absicherung) apakškopu. Vadlīnija tātad nav lielo standartu aizstājējs, bet reālistiska ieeja, kas saskaņā ar VdS ir augšupsaderīga.
Apdrošinātājiem VdS 10000 ir īpaša nozīme, jo VdS ir cieši saistīts ar apdrošināšanas nozari. VdS uzsver, ka sertifikācija var radīt uzticību apdrošinātājiem un palīdzēt nodot atlikušo risku. Ko tas konkrēti nozīmē jūsu polisei, noskaidrojiet ar apdrošinātāju vai brokeri; norādes par zaudējumu gadījumu ir sadaļā Kiberapdrošināšana: kas svarīgi zaudējumu gadījumā.
Kas jauns VdS 10000 2025. gada redakcijā
VdS vadlīniju pārstrādāja 2025. gadā. Saskaņā ar VdS pievienoti vai mainīti, cita starpā, šādi punkti:
- Skaidrāka valoda, lai prasības saprastu arī iesācēji.
- Saistošas atbildības: informācijas drošības atbildīgie un attiecīgā komanda jāieceļ oficiāli.
- Vairākfaktoru autentifikācija attālinātajām piekļuvēm kļūst par pienākumu.
- Datu rezerves kopēšana pēc vairāku paaudžu principa, dažādās vietās un uz dažādiem datu nesējiem.
- Pārstrādāta riska pārvaldība ar prasībām par vērtēšanas kritērijiem un robežām, no kurām risks tiek pieņemts.
- Kopīga nodaļa „Drošības incidenti”, kas apvieno agrākās nodaļas par traucējumiem, atteicēm un incidentiem.
- Fiziskās piekļuves, piemēram, atslēgas un transponderi, tiek regulētas arī personāla procesos.
Jaunais izdevums turklāt ņem vērā vadlīniju VdS 10100, kas apraksta NIS2 prasības. VdS uzskata VdS 10000 par pamatu, uz kura tās vēlāk var papildināt.
VdS 10000 un tīmekļa serveris: kas konkrēti jādara
Vadlīnija nerunā par PHP vai atsevišķiem tīmekļa serveriem. Tomēr tās prasības var tieši attiecināt uz tīmekļa infrastruktūru. Turpmākā tabula rāda, kā tas var izskatīties. Tā ir tulkošanas palīgs, nevis oficiāls skaidrojums.
| Prasību joma | Nozīme vietnei un tīmekļa serverim | Piemērs no PHP2Shell situācijas |
|---|---|---|
| Pārskats par IT sistēmām un riskiem | Vietnes, veikali, portāli un to serveri ir uzskaitīti un novērtēti | Uzreiz zināt, kuras sistēmas izmanto PHP un kādā versijā |
| Ievainojamības un atjauninājumi | Drošības atjauninājumi tiek uzstādīti savlaicīgi un dokumentēti | Ielāps uz 8.5.12, 8.4.27, 8.3.36 vai 8.2.35, visu darbinieku (worker) pārstartēšana |
| Attālinātās piekļuves ar vairākfaktoru pieteikšanos | SSH, hostinga panelis un CMS administrators ir papildus nodrošināti | Nozagtas paroles vienas pašas neatver administratora piekļuvi |
| Datu rezerves kopēšana | Vairākas paaudzes, atsevišķas vietas un datu nesēji | Pāreja uz rezerves kopiju pirms 2026. gada 17. oktobra, ja nepieciešams |
| Drošības incidenti | Ziņošanas ceļš, novērtējums, dokumentēšana | Aizdomas par webshell tiek ziņotas un pārbaudītas, nevis klusi dzēstas |
| Pakalpojumu sniedzēji | Hostinga pakalpojumu sniedzējs un aģentūra ir saistīti līgumiski | Hostinga pakalpojumu sniedzēja rakstveida ielāpa apstiprinājums |
Rezerves kopēšanai vērts apskatīt Rezerves kopijas pēc 3-2-1 noteikuma, attālinātajām piekļuvēm Divfaktoru pieteikšanās administratora piekļuvēm. Abi labi sakrīt ar 2025. gada redakcijas jaunajiem pienākumiem.
Kā reālistiski rīkojas MVU?
VdS 10000 var izmantot kā ceļvedi arī bez sertifikācijas mērķa. Pragmatisks ceļš sākas ar inventāru, jo bez pārskata nevienu citu prasību nevar kārtīgi izpildīt. Pēc tam seko punkti ar vislielāko iedarbību uz pūlēm: vairākfaktoru pieteikšanās, funkcionējošas rezerves kopijas ar atjaunošanas testu un skaidrs ziņošanas ceļš aizdomu gadījumā.
Tikai tad, kad šie pamati ir sakārtoti, ir vērts pievērsties formālajai pusei ar vadlīnijām, iecelto atbildīgo un riska novērtējumu. Kas vēlāk tiecas uz sertifikāciju, procedūru atradīs VdS dokumentos; pašu pārbaudi veic sertifikācijas iestāde, nevis pakalpojumu sniedzējs, kāds esam mēs.
Biežs klupšanas akmens vidējos uzņēmumos ir jautājums, kurš uzņemas informācijas drošības atbildīgā lomu. 2025. gada redakcija prasa oficiālu iecelšanu. Mazos uzņēmumos uzdevums bieži nonāk pie IT vadītāja vai pašas vadības. Tas ir iespējams, kamēr laiks un pilnvaras ir reālistiski nosprausti. Svarīgi, lai šī persona redz arī vietnes, ko apkalpo mārketings vai aģentūra. Tieši tās pirmajā uzskaitē viegli izkrīt no režģa, jo darbojas nevis paša datu centrā. Palīdz vienkāršs noteikums: katram domēnam, kas pieder uzņēmumam, ir atbildīga persona un ieraksts inventārā.
Tīmekļa serverim tas nozīmē: nostiprināšana un ielāpu disciplīna nav papildu vingrinājums līdzās vadlīnijai, bet tieši tas, ko tā ikdienā prasa. Kas tam pieder, apraksta PHP tīmekļa serveru nostiprināšana. Salīdzinājumu ar lielajiem standartiem sniedz raksts ISO 27001 un TISAX: kas skar tīmekļa serverus.
Kā PHP SOS palīdz konkrēti?
- Mēs kopā ar jums izveidojam jūsu vietņu, serveru un PHP versiju inventāru un atzīmējam kritiskās sistēmas.
- Mēs īstenojam tehniskās prasības tīmekļa serverī: atjauninājumi ar apliecinājumu, vairākfaktoru pieteikšanās attālinātajām piekļuvēm, nostiprināšana un rezerves kopiju pārbaude.
- Mēs to dokumentējam tā, lai jūsu informācijas drošības atbildīgie to varētu pārņemt VdS dokumentos.
- Mēs nesolām sertifikāciju. Vai prasības ir izpildītas, vērtē pārbaudes iestāde.
Secinājums
VdS 10000 ir nopietni uztverams, bet izpildāms ietvars vidējiem uzņēmumiem. 2025. gada redakcija asina tieši tos punktus, kas svarīgi arī pēc PHP2Shell: atbildīgie, vairākfaktoru pieteikšanās, labas rezerves kopijas un sakārtota rīcība ar incidentiem. Kas sāk ar tīmekļa serveri, tas ātri redz progresu un iegūst stabilu pamatu vairākam.
Biežāk uzdotie jautājumi
Kam paredzēta VdS 10000?
Saskaņā ar VdS maziem un vidējiem uzņēmumiem, kā arī pašvaldībām un pašvaldību uzņēmumiem. Tā ir neitrāla attiecībā pret nozarēm un nedrīkst ne organizatoriski, ne finansiāli pārslogot. Saskaņā ar VdS to var piemērot arī lielākas organizācijas.
Kāda ir atšķirība starp VdS 10000 un ISO 27001?
VdS 10000 saskaņā ar VdS balstās uz ISO 27001 un BSI pamatdrošību (Grundschutz), taču ir pielāgota MVU un ievērojami vienkāršāka. VdS aplēš darbietilpību aptuveni 20 procentu apmērā salīdzinājumā ar ISO 27001 un raksturo vadlīniju kā augšupsaderīgu, tātad kā iespējamu ieeju ISO 27000 sērijā.
Vai VdS 10000 palīdz NIS2 gadījumā?
VdS jauno redakciju 2025 raksturo kā pamatu, uz kura vēlāk var papildināt NIS2 prasības. Tam ir sava vadlīnija VdS 10100. Vai jūsu uzņēmumam piemērojams NIS2 un kas tad ir spēkā, lūdzu, noskaidrojiet atsevišķi.
Vai ir redakcija ražošanas iekārtām?
Jā. Industriālām automatizācijas sistēmām VdS publicē ceļvedi VdS 10020, kas VdS 10000 interpretē šai jomai.