PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor Deutsch Version) - ISO-IEC-27001-Lead-Auditor Deutsch Exam Practice Test

Szenario 2:
Clinic, gegründet in den 1990er-Jahren, ist ein Medizintechnikunternehmen, das sich auf die Behandlung von Herzerkrankungen und komplexe chirurgische Eingriffe spezialisiert hat. Das in Europa ansässige Unternehmen betreut sowohl Patienten als auch medizinisches Fachpersonal. Clinic erfasst Patientendaten, um Behandlungen individuell anzupassen, Behandlungsergebnisse zu überwachen und die Gerätefunktionalität zu verbessern. Zur Erhöhung der Datensicherheit und zum Aufbau von Vertrauen implementiert Clinic ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001. Diese Initiative unterstreicht das Engagement von Clinic für den sicheren Umgang mit sensiblen Patientendaten und firmeneigenen Technologien.
Die Klinik legte den Geltungsbereich ihres Informationssicherheitsmanagementsystems (ISMS) ausschließlich unter Berücksichtigung interner Belange, Schnittstellen, Abhängigkeiten zwischen internen und ausgelagerten Aktivitäten sowie der Erwartungen der beteiligten Parteien fest. Dieser Geltungsbereich wurde sorgfältig dokumentiert und öffentlich zugänglich gemacht. Bei der Definition ihres ISMS konzentrierte sich die Klinik insbesondere auf Schlüsselprozesse in kritischen Abteilungen wie Forschung und Entwicklung, Patientendatenmanagement und Kundensupport.
Trotz anfänglicher Herausforderungen hielt die Klinik an der Implementierung ihres ISMS fest und passte die Sicherheitsmaßnahmen an ihre spezifischen Bedürfnisse an. Das Projektteam schloss bestimmte Kontrollen aus Anhang A der ISO/IEC 27001 aus und integrierte stattdessen zusätzliche branchenspezifische Kontrollen zur Erhöhung der Sicherheit. Das Team bewertete die Anwendbarkeit dieser Kontrollen anhand interner und externer Faktoren und erstellte schließlich eine umfassende Anwendbarkeitserklärung (Statement of Applicability, SoA), die die Gründe für die Auswahl und Implementierung der Kontrollen detailliert darlegt.
Im Zuge der Zertifizierungsvorbereitungen wandte Brian, der zum Teamleiter ernannt wurde, eine eigenständige Risikobewertungsmethodik an, um die strategischen Herausforderungen und Sicherheitspraktiken des Unternehmens zu identifizieren und zu bewerten. Dieser proaktive Ansatz stellte sicher, dass die Risikobewertung der Klinik mit ihren Zielen und ihrer Mission übereinstimmte.
Frage:
Wurde der Umfang des ISMS der Klinik gemäß Szenario 2 korrekt bestimmt?

Szenario 2
Knight ist ein Elektronikunternehmen mit Sitz in Nordkalifornien, USA, das Videospielkonsolen entwickelt.
Knight, mit über 300 Mitarbeitern weltweit, feiert sein fünfjähriges Bestehen mit der Einführung der G-Console, einer Gaming-Konsole der nächsten Generation für den internationalen Markt. Die G-Console gilt als die ultimative Medienmaschine des Jahres 2021 und verspricht Spielern ein unvergleichliches Spielerlebnis. Das Konsolenpaket enthält zwei VR-Headsets, zwei Spiele und weitere Geschenke.
Das Unternehmen hat sich über die Jahre einen hervorragenden Ruf für Integrität, Ehrlichkeit und Respekt gegenüber seinen Kunden erworben. Neben seiner ausgeprägten Kundenorientierung genießt Knight aufgrund seiner hohen Qualität auch in der Spielebranche hohes Ansehen.
Als einer der weltweit führenden Entwickler von Videospielkonsolen ist Knight häufig Zielscheibe von Cyberkriminalität. Daher hat das Unternehmen ein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 implementiert und dessen Geltungsbereich den Mitarbeitern in wöchentlichen Meetings erläutert.
Kürzlich wurde Knight jedoch Opfer eines Sicherheitsvorfalls, bei dem Hacker firmeneigene Informationen veröffentlichten. Das Incident-Response-Team (IRT) leitete daraufhin umgehend eine gründliche Untersuchung des Systems und der genauen Umstände des Vorfalls ein. Zunächst vermutete das IRT, dass Mitarbeiter möglicherweise schwache Passwörter verwendet hatten, wodurch Hacker leicht auf ihre Konten zugreifen konnten. Weitere Untersuchungen ergaben jedoch, dass die Hacker den Datenverkehr des File Transfer Protocol (FTP) abgefangen hatten, das Daten zur Authentifizierung mit Klartextpasswörtern überträgt.
Angesichts dieses Sicherheitsvorfalls und gemäß den Empfehlungen des IRT entschied sich Knight, das FTP-Protokoll durch das Secure Shell (SSH)-Protokoll zu ersetzen. Diese Änderung gewährleistet die Verschlüsselung des gesamten erfassten Datenverkehrs und verbessert die Sicherheit somit erheblich.
Nach der Umsetzung dieser Änderungen führte Knight eine Risikobewertung durch, um zu überprüfen, ob die eingeführten Kontrollmaßnahmen das Risiko ähnlicher Vorfälle minimiert hatten. Basierend auf den Ergebnissen der Risikobewertung wählten sie eine Risikobehandlungsoption zur Behebung des Risikos.
Frage
Gemäß Szenario 2 basierte die Risikobehandlungsoption auf den Ergebnissen der Risikobewertung. Ist dies akzeptabel?

Ziele, Kriterien und Umfang sind entscheidende Merkmale eines externen ISMS-Audits. Welche zwei Aspekte zählen zu den Auditzielen?
* Kundenprozesse und -funktionen bewerten

Das Rechenzentrum, in dem Sie arbeiten, strebt derzeit eine ISO/IEC27001:2022-Zertifizierung an. Zur Vorbereitung Ihres ersten Zertifizierungsbesuchs wurden mehrere interne Audits von einem Kollegen durchgeführt, der in einem anderen Rechenzentrum Ihrer Gruppe arbeitet. Sie haben sich Anfang des Jahres ihr eigenes ISO/IEC 27001:2022-Zertifikat gesichert.
Sie haben sich gerade als interner ISMS-Auditor qualifiziert und Ihr Vorgesetzter hat Sie gebeten, den Auditprozess und die Auditergebnisse als letzte Kontrolle zu überprüfen, bevor die externe Zertifizierungsstelle eintrifft.
Welche vier der folgenden Punkte würden Ihnen Bedenken hinsichtlich der Konformität mit den Anforderungen der ISO/IEC 27001:2022 bereiten?

Was versteht man unter dem Begriff „Korrekturmaßnahme“? Wähle eins

Welches ist ein Beispiel für einen qualitativen Beweis?

Eine Marketingagentur hat im Rahmen der ISMS-Implementierung einen eigenen Risikobewertungsansatz entwickelt. Ist das akzeptabel?

Szenario 3: Rebuildy ist ein Bauunternehmen mit Sitz in Bangkok, Thailand, das sich auf die Planung, den Bau und die Instandhaltung von Wohngebäuden spezialisiert hat. Um die Sicherheit sensibler Projektdaten und Kundeninformationen zu gewährleisten, entschied sich Rebuildy für die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) gemäß ISO/IEC 27001. Dies umfasste ein umfassendes Verständnis der Informationssicherheitsrisiken, einen definierten Ansatz zur kontinuierlichen Verbesserung und robuste Geschäftslösungen.
Die Ergebnisse der ISMS-Implementierung werden im Folgenden dargestellt.
Informationssicherheit wird durch die Anwendung einer Reihe von Sicherheitskontrollen und die Festlegung von Richtlinien, Prozessen und Verfahren erreicht.
Die Sicherheitsmaßnahmen werden auf Basis einer Risikobewertung umgesetzt und zielen darauf ab, Risiken zu eliminieren oder auf ein akzeptables Niveau zu reduzieren.
*Alle Prozesse gewährleisten die kontinuierliche Verbesserung des ISMS auf Basis des Plan-Do-Check-Act (PDCA)-Modells.
Die Informationssicherheitsrichtlinie ist Teil eines Sicherheitshandbuchs, das auf Basis bewährter Sicherheitspraktiken erstellt wurde. Daher handelt es sich nicht um ein eigenständiges Dokument.
*Die Aufgaben und Verantwortlichkeiten im Bereich Informationssicherheit sind in jeder Stellenbeschreibung klar aufgeführt.
*Management-Reviews des ISMS werden in geplanten Abständen durchgeführt.
Rebuildy beantragte die Zertifizierung nach zwei Zwischenbewertungen des Managements und einem jährlichen internen Audit. Vor dem Zertifizierungsaudit wandte sich ein ehemaliger Mitarbeiter von Rebuildy an ein Mitglied des Auditteams und teilte mit, dass Rebuildy mehrere Sicherheitsprobleme habe, die das Unternehmen zu vertuschen versuche. Der ehemalige Mitarbeiter legte dem Auditteammitglied die dokumentierten Beweise vor. Electra, ein wichtiger Kunde von Rebuildy, reichte ebenfalls Beweise zu denselben Problemen ein, und der Auditor entschied, diese Beweise anstelle derer des ehemaligen Mitarbeiters zu verwenden. Das Auditteammitglied blieb bis zum Abschluss des Audits mit Electra in Kontakt und besprach die festgestellten Abweichungen. Electra lieferte weitere Beweise zur Untermauerung dieser Feststellungen.
Zu Beginn des Audits befragte das Auditteam die Geschäftsleitung des Unternehmens. Dabei wurde unter anderem das Engagement der Geschäftsleitung für die Implementierung des Informationssicherheitsmanagementsystems (ISMS) erörtert. Die in diesen Gesprächen gewonnenen Erkenntnisse wurden schriftlich dokumentiert und dienten der Feststellung der Konformität von Rebuildy mit verschiedenen Abschnitten der ISO/IEC 27001. Die von Electra erhaltenen Dokumente wurden dem Auditbericht zusammen mit dem Bericht über die festgestellten Abweichungen beigefügt. Unter anderem wurden folgende Abweichungen festgestellt:
Im Finanzberichtssystem des Unternehmens wurde ein Fall von fehlerhaften Benutzerzugriffskontrolleinstellungen festgestellt.
Es wurde keine eigenständige Informationssicherheitsrichtlinie erstellt. Stattdessen verwendet das Unternehmen ein Sicherheitshandbuch, das auf Basis bewährter Sicherheitspraktiken erstellt wurde.
Nach Erhalt der Unterlagen vom Prüfungsteam traf sich der Teamleiter mit der Geschäftsleitung von Rebuildy, um die Prüfungsergebnisse zu präsentieren. Das Prüfungsteam berichtete über Mängel im Finanzberichtssystem und das Fehlen einer eigenständigen Informationssicherheitsrichtlinie. Die Geschäftsleitung zeigte sich unzufrieden mit den Ergebnissen und warf dem Teamleiter unprofessionelles Verhalten vor, was implizierte, dass sie möglicherweise einen Wechsel fordern würde. Unter Druck geraten, entschied sich der Teamleiter zur Zusammenarbeit mit der Geschäftsleitung, um die Bedeutung der festgestellten Abweichungen herunterzuspielen. Infolgedessen passte er den Bericht an, um ein positiveres Bild zu zeichnen und so das wahre Ausmaß der Compliance-Probleme bei Rebuildy zu verschleiern.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Hat das Prüfungsteam in Bezug auf die Situation mit dem Finanzberichtssystem die bewährten Prüfungspraktiken eingehalten?

Sie führen ein ISMS-Erstzertifizierungsaudit in einem Pflegeheim durch, das Gesundheitsdienstleistungen anbietet. Der nächste Schritt in Ihrem Auditplan ist die Durchführung der Abschlussbesprechung. Während der Abschlussbesprechung des Auditteams erklären Sie sich als Auditteamleiter damit einverstanden, zwei geringfügige Nichtkonformitäten und 1 Verbesserungsmöglichkeit wie folgt zu melden:

Wählen Sie eine Option der Empfehlung an den Auditprogrammmanager aus, die Sie dem geprüften Unternehmen in der Abschlussbesprechung mitteilen möchten.

Bitte identifizieren Sie im Rahmen eines Managementsystem-Audits den Ablauf eines typischen Prozesses zur Sammlung und Überprüfung von Informationen. Der erste wurde für Sie erledigt.