PECB ISO-IEC-27001-Lead-Auditor Deutsch echte frage : PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor Deutsch Version)

Sie führen ein ISMS-Audit durch. Der nächste Schritt in Ihrem Auditplan besteht darin, zu überprüfen, ob der Plan zur Behandlung von Informationssicherheitsrisiken der Organisation ordnungsgemäß erstellt und umgesetzt wurde. Sie entscheiden sich für ein Interview mit dem IT-Sicherheitsmanager.
Sie: Können Sie bitte erläutern, wie die Organisation ihren Prozess zur Bewertung und Behandlung von Informationssicherheitsrisiken durchführt?
IT-Sicherheitsmanager: Wir befolgen das Verfahren zum Management von Informationssicherheitsrisiken, das einen Risikobehandlungsplan erstellt.
Erzähler: Sie überprüfen den Risikobehandlungsplan Nr. 123 bezüglich der geplanten Installation eines elektronischen (unsichtbaren) Zauns zur Verbesserung der physischen Sicherheit des Pflegeheims. Sie haben festgestellt, dass der Risikobehandlungsplan vom IT-Sicherheitsmanager genehmigt wurde.
Sie: Wer ist für physische Sicherheitsrisiken verantwortlich?
IT-Sicherheitsmanager: Der Facility Manager ist für das physische Sicherheitsrisiko verantwortlich. Die IT-Abteilung unterstützt sie bei der Überwachung des Alarms. Der Facility Manager ist berechtigt, das Budget für den Risikobehandlungsplan Nr. 123 zu genehmigen.
Sie: Welche verbleibenden Informationssicherheitsrisiken bestehen nach der Umsetzung des Risikobehandlungsplans Nr. 123?
IT-Sicherheitsbeauftragter: Für die Akzeptanz verbleibender Informationssicherheitsrisiken liegen meines Wissens keine Informationen vor.
Sie bereiten Ihre Prüfungsfeststellungen vor. Wählen Sie drei Optionen für Feststellungen aus, die im Szenario gerechtfertigt sind.

• A. Nichtkonformität (NC) – Die Informationen zur Akzeptanz verbleibender Informationssicherheitsrisiken sollten nach Implementierung der Risikobehandlung aktualisiert werden. Ziffer 6.1.3.f
• B. Sobald der elektronische (unsichtbare) Zaun installiert ist, besteht die Möglichkeit einer Verbesserung (OI).
  Die physische Sicherheit der Bewohner wird verbessert
• C. Nichtkonformität (NC) – Der Risikobehandlungsplan Nr. 123 sollte vom Risikoeigentümer, in diesem Fall vom Facility Manager, genehmigt werden. Ziffer 6.1.3.f
• D. Nichtkonformität (NC) – Die Organisation sollte die für die kontinuierliche Verbesserung des ISMS erforderlichen Ressourcen bereitstellen. Klausel 7.1
• E. Es ist eine gute Praxis, im Rahmen des kontinuierlichen Verbesserungsprozesses modernste Technologie einzusetzen
• F. Nichtkonformität (NC) – Der IT-Sicherheitsmanager sollte sich seiner Befugnisse und seines Verantwortungsbereichs bewusst sein und diese verstehen. Klausel 7.3
• G. Es besteht Verbesserungspotenzial (OI) bei der Durchführung von Sicherheitskontrollen am Umzäunungszaun
• H. Nichtkonformität (NC) – Das Top-Management muss sicherstellen, dass die für das ISMS erforderlichen Ressourcen verfügbar sind. Klausel 5.1.c

Der Umfang einer nach ISO/IEC 27001 zertifizierten Organisation besagt, dass sie Redaktions- und Webhosting-Dienste anbietet. Aufgrund einiger Veränderungen in der Organisation wurde der technische Support im Zusammenhang mit den Webhosting-Diensten jedoch ausgelagert. Sollte in diesem Fall eine Änderung des Geltungsbereichs eingeleitet werden?

• A. Nein, da die Organisation bereits für ihre Redaktions- und Webhosting-Dienste zertifiziert ist
• B. Ja, denn jede Änderung in der externen Umgebung führt zu einer Änderung des Geltungsbereichs
• C. Nein, da die Änderung keine Implementierung neuer Sicherheitskontrollen erfordert

Kosten im Zusammenhang mit Nichtkonformitäten und Nichteinhaltung gesetzlicher und vertraglicher Anforderungen werden bei der Definition von Folgendem bewertet:

• A. Materialität
• B. Prüfungsrisiken
• C. Hinreichende Sicherheit

Szenario 4: SendPay ist ein Finanzunternehmen, das seine Dienstleistungen über ein Netzwerk von Agenten und Finanzinstituten anbietet. Eine ihrer Hauptdienstleistungen ist der weltweite Geldtransfer. SendPay ist als neues Unternehmen bestrebt, seinen Kunden erstklassige Dienstleistungen anzubieten. Da das Unternehmen internationale Transaktionen anbietet, verlangt es von seinen Kunden die Angabe personenbezogener Daten, wie z. B. ihre Identität, den Grund der Transaktionen und andere Details, die für den Abschluss der Transaktion erforderlich sein könnten. Daher hat SendPay Sicherheitsmaßnahmen zum Schutz der Informationen seiner Kunden implementiert, einschließlich der Erkennung, Untersuchung und Reaktion auf eventuell auftretende Bedrohungen der Informationssicherheit. Ihr Engagement, sichere Dienste anzubieten, spiegelte sich auch bei der ISMS-Implementierung wider, in die das Unternehmen viel Zeit und Ressourcen investierte.
Letztes Jahr stellte SendPay seine digitale Plattform vor, die Geldtransaktionen über elektronische Geräte wie Smartphones oder Laptops ermöglicht, ohne dass eine zusätzliche Gebühr anfällt. Über diese Plattform können die Kunden von SendPay von überall und zu jeder Zeit Geld senden und empfangen. Die digitale Plattform half SendPay, die Abläufe des Unternehmens zu vereinfachen und sein Geschäft weiter auszubauen. Zu diesem Zeitpunkt lagerte SendPay seinen Softwarebetrieb aus, daher wurde das Projekt vom Softwareentwicklungsteam des ausgelagerten Unternehmens abgeschlossen.
Dasselbe Team war auch für die Wartung der Technologieinfrastruktur von SendPay verantwortlich.
Vor kurzem beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es fast ein Jahr lang über ein ISMS verfügte. Sie beauftragten eine Zertifizierungsstelle, die ihren Kriterien entsprach. Kurz darauf ernannte die Zertifizierungsstelle ein Team aus vier Prüfern, um das ISMS von SendPay zu prüfen.
Bei der Prüfung wurden unter anderem folgende Situationen beobachtet:
1. Das ausgelagerte Softwareunternehmen hatte den Vertrag mit SendPay fristlos gekündigt. Infolgedessen war SendPay nicht in der Lage, die Dienste sofort wieder intern anzubieten, und der Betrieb war fünf Tage lang unterbrochen. Die Prüfer forderten von den Vertretern von SendPay den Nachweis, dass sie einen Plan haben, den sie im Falle einer Vertragskündigung befolgen sollen. Die Vertreter legten keine dokumentarischen Beweise vor, teilten den Prüfern jedoch während eines Interviews mit, dass das Top-Management von SendPay zwei weitere Softwareentwicklungsunternehmen identifiziert habe, die sofort Dienstleistungen erbringen könnten, wenn ähnliche Situationen erneut auftreten.
2. Es lagen keine Beweise für die Überwachung der an das Softwareentwicklungsunternehmen ausgelagerten Tätigkeiten vor. Die Vertreter von SendPay teilten den Prüfern erneut mit, dass sie regelmäßig mit dem Softwareentwicklungsunternehmen kommunizieren und über mögliche Änderungen angemessen informiert sind.
3. Beim Firewall-Test wurde keine Nichtkonformität festgestellt. Die Prüfer testeten die Firewall-Konfiguration, um das Sicherheitsniveau dieser Dienste zu ermitteln. Zum Testen der Firewall-Richtlinien verwendeten sie einen Paketanalysator, der es ihnen ermöglichte, die gesendeten oder empfangenen Pakete in Echtzeit zu überprüfen.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Basierend auf Szenario 4 forderten die Prüfer Dokumentationsnachweise zum Überwachungsprozess ausgelagerter Betriebe. Was bedeutet das?

• A. Die Prüfer bewerteten die Nachweise auf der Grundlage eines risikobasierten Ansatzes
• B. Die Prüfer zeigten professionelle Skepsis
• C. Die Prüfer haben die Vertraulichkeit ausgelagerter Vorgänge gefährdet

Als Leiter des Auditteams für das Informationssicherheitsmanagementsystem führen Sie im Auftrag eines Online-Händlers ein Second-Party-Audit eines internationalen Logistikunternehmens durch.
Während des Audits meldet eines Ihrer Teammitglieder eine Nichtkonformität in Bezug auf Kontrolle 5.18 (Zugriffsrechte) von Anhang A von ISO/IEC 27001:2022.
Sie fand Beweise dafür, dass das Entfernen der Serverzugriffsprotokolle von 20 Personen, die in den letzten drei Monaten das Unternehmen verlassen hatten, bis zu einer Woche dauerte, während die Richtlinien vorsahen, den Zugriff innerhalb von 24 Stunden nach ihrem Verlassen zu entfernen.
Als das geprüfte Unternehmen gefragt wurde, warum es zu einer Verzögerung bei der Sperrung des Zugriffs gekommen sei, antwortete es: „Aufgrund von COVID-19 war in diesem Zeitraum niemand in der IT-Abteilung verfügbar.“
Sobald ein IT-Beauftragter verfügbar wurde, wurden die Rechte entzogen.
Sie stellen fest, dass sie beabsichtigt, einen geringfügigen Verstoß gegen die Zugriffsrechtekontrolle (5.18) zu melden. Wie sollten Sie darauf reagieren?

• A. Stimmen Sie der Meldung einer geringfügigen Nichtkonformität zu, jedoch im Widerspruch zu Kontrolle 5.15, nicht 5.18.
• B. Ich bin mit der Meldung einer geringfügigen Konformität nicht einverstanden, da zum frühestmöglichen Zeitpunkt geeignete Maßnahmen ergriffen wurden. Ergreifen Sie keine weiteren Maßnahmen.
• C. Es ist erforderlich, dass zusätzliche Auditnachweise eingeholt werden, bevor festgestellt wird, ob eine Nichtkonformität angemessen ist.
• D. Stimmen Sie der Erhöhung der geringfügigen Nichtkonformität gegenüber 5.18 zu.
• E. Ich bin mit der Erhöhung der geringfügigen Nichtkonformität nicht einverstanden. Es liegen genügend Beweise vor, die eine Eskalation zu einer schwerwiegenden Nichtkonformität rechtfertigen.
• F. Ich bin mit der Meldung der geringfügigen Nichtkonformität nicht einverstanden, da zum frühestmöglichen Zeitpunkt geeignete Maßnahmen ergriffen wurden. Eröffnen Sie stattdessen eine Chance zur Verbesserung.