Ordnen Sie jedem Teilnehmer eines Second-Party-Audits die richtige Verantwortung zu:

Szenario 3
NightCore, ein multinationales Technologieunternehmen mit Hauptsitz in den USA, ist spezialisiert auf E-Commerce, Cloud Computing, digitales Streaming und künstliche Intelligenz (KI). Nachdem NightCore über ein Jahr lang ein Informationssicherheits-Managementsystem (ISMS) implementiert hatte, beauftragte das Unternehmen eine Zertifizierungsstelle mit der Durchführung eines Audits zur Erlangung der ISO/IEC 27001-Zertifizierung.
Die Zertifizierungsstelle stellte ein fünfköpfiges Auditorenteam unter der Leitung von Jack zusammen. Jack ist bekannt für seine umfassende Erfahrung in der Prüfung von Risikomanagement, Informationssicherheitskontrollen und Vorfallmanagement.
Seine Kompetenzen entsprechen den Anforderungen der Prüfungsgrundsätze und -prozesse, sodass er den Prüfungsgegenstand effektiv erfassen und die relevanten Kriterien sachgerecht anwenden kann. Jack verfügt zudem über ein fundiertes Verständnis der Organisationsstruktur, des Zwecks und der Managementpraktiken von NightCore sowie der für deren Aktivitäten geltenden gesetzlichen und behördlichen Bestimmungen.
Die vom Prüfungsteam durchgeführte Prüfung folgte einer rationalen Methode, um systematisch zu verlässlichen und reproduzierbaren Schlussfolgerungen zu gelangen. Das Prüfungsteam erkannte an, dass nur Informationen, die sich zumindest teilweise verifizieren lassen, als gültige Nachweise gelten sollten. In seltenen Fällen, in denen die Verifizierung bestimmter Informationen Schwierigkeiten bereitete und deren Verifizierbarkeit gering war, beurteilten die Prüfer nach ihrem fachlichen Ermessen die Zuverlässigkeit und legten fest, inwieweit diese Nachweise als verlässlich gelten konnten.
Im Rahmen des Audits dokumentierten die Prüfer ihre Beobachtungen und Inspektionsnotizen zur operativen Planung und Steuerung des ISMS-Betriebs von NightCore. Sie erfassten außerdem ihre Beobachtungen zum Informationsbestand und den zugehörigen Assets von NightCore. Darüber hinaus überprüften die Prüfer die Konfiguration der zur Sicherung der Netzwerkverbindungen implementierten Firewalls.
Als das Audit sich dem Ende näherte, wurde NightCores Engagement für höchste Informationssicherheit deutlich. Mit der ISO/IEC 27001-Zertifizierung in greifbarer Nähe ist NightCore bestens gerüstet, diese zu erlangen und seinen Ruf in der Technologiebranche weiter zu stärken.
Frage
Welcher Art von Prüfung wurde NightCore unterzogen?

• A. Zweiter Teilnehmer
• B. Drittanbieter
• C. Erste Partei

Welche vier der folgenden Aussagen zu Prüfungsberichten sind wahr?

• A. Prüfungsberichte sollten vom Leiter des Prüfungsteams unter Einbeziehung des Prüfungsteams erstellt werden
• B. Auditberichte sollten immer vom Kunden überprüft, datiert und als „akzeptiert“ unterzeichnet werden.
• C. Prüfberichte sollten innerhalb eines vereinbarten Zeitrahmens erstellt werden
• D. Auditberichte sollten den Auditplan enthalten oder sich darauf beziehen
• E. Auditberichte, die nicht mehr benötigt werden, können als Teil des allgemeinen Abfalls der Organisation vernichtet werden
• F. Prüfberichte sollten zuerst an das Top-Management der Organisation gesendet werden, da ihr Inhalt peinlich sein könnte
• G. Auditberichte sollten nur Nichtkonformität belegen
• H. Prüfberichte sollten als für die allgemeine Verbreitung geeignet angesehen werden, es sei denn, sie sind ausdrücklich als vertraulich gekennzeichnet

Welche drei der folgenden Möglichkeiten sind von Vorteil bei der Verwendung eines Stichprobenplans für das Audit?

• A. Gibt Vertrauen in die Prüfergebnisse
• B. Bietet ein angemessenes Verständnis des ISMS
• C. Setzt den Prüfplan effizient um
• D. Schlüsselthemen werden übersehen
• E. Setzt die Instinkte des Prüfers außer Kraft
• F. Verwendung des Plans für aufeinanderfolgende Audits