PECB ISO-IEC-27001-Lead-Auditor 中文 Value Pack (Frequently Bought Together)

為什麼在初次接觸時要考慮重要性？

• A. 確定審核持續時間
• B. 定義最小化偵測風險的流程
• C. 合理保證審核能夠成功完成

場景9：UpNet是一家網路公司，已通過ISO/IEC 27001認證。
自從獲得 ISO/IEC 27001 認證以來，該公司的認可度大幅提高。此認證證實了 UpNefs 營運的成熟性及其符合廣泛認可和接受的標準。
但認證之後一切還沒結束。 UpNet 透過進行內部稽核不斷審查和增強其安全控制以及 ISMS 的整體有效性和效率。高階主管不願意聘請全職內部稽核團隊，因此決定將內部稽核職能外包。這種形式的內部稽核確保了獨立性、客觀性，並且在 ISMS 的持續改進方面發揮諮詢作用。
在初次認證審核後不久，該公司創建了一個專門從事數據和儲存產品的新部門。他們提供針對資料中心和基於軟體的網路設備（例如網路虛擬化和網路安全設備）進行最佳化的路由器和交換器。這導致 ISMS 認證範圍內已涵蓋的其他部門的營運發生變化。
所以。 UpNet 啟動了風險評估流程和內部稽核。根據內部審計結果，公司確認了現有和新流程和控制的有效性和效率。
由於新部門符合 ISO/IEC 27001 要求，最高管理層決定將其納入認證範圍。 UpNet宣布取得ISO/IEC 27001認證，認證範圍涵蓋全公司。
在初次認證審核一年後，認證機構對 UpNefs ISMS 進行了另一次審核。
此次審核旨在確定 UpNefs ISMS 是否符合指定的 ISO/IEC 27001 要求，並確保 ISMS 持續改善。審核小組確認，經過認證的 ISMS 繼續符合標準的要求。儘管如此，新部門對管理體系的治理產生了重大影響。此外，認證機構並未獲悉任何變更。因此，UpNefs認證被暫停。
根據上述場景，回答以下問題：
UpNet宣布ISMS認證範圍涵蓋整個公司，確保新部門也符合ISO/IEC 27001要求。您如何對場景 9 所示的情況進行分類？

• A. 可接受，內部稽核確認了現有和新流程和控制的有效性和效率
• B. 不可接受，UpNet 應在發佈公告之前請求並批准延期審核
• C. 不可接受，延期審核應由內部審核員而非最高管理階層批准

「糾正措施」一詞是什麼意思？選擇一項

• A. 採取措施防止不合格或事件發生
• B. 採取措施消除不合格或事故的原因
• C. 採取措施糾正不合格項或事件
• D. 管理階層針對不合格項所採取的行動

情境 6
Sinvestment是一家提供多種保險方案的保險公司，包括房屋保險、商業保險和人壽保險。該公司最初成立於北加州，現已將業務拓展至歐洲和非洲等其他地區。除了業務成長之外，Sinvestment還致力於遵守其所在行業的相關法律法規，並防止任何資訊安全事件的發生。他們已實施基於ISO標準的資訊安全管理系統(ISMS)。
/IEC 27001，並已申請認證。
認證機構指派了一支審核團隊進行審核。審核團隊與Sinvestment簽署保密協議後，便開始了審核工作。第一階段審核的所有活動均在現場進行，但應Sinvestment的要求，對已存檔資訊的審查工作將以遠端方式進行。
審計團隊首先進行了第一階段審計，審查了所需文件，包括資訊安全管理系統(ISMS)範圍聲明、資訊安全策略和內部審計報告。已記錄資訊的評估主要基於其內容和管理流程。
此外，審計人員還發現，與資訊安全培訓和意識提升專案相關的文件不完整，缺乏關鍵細節。當被問及此事時，Sinvestment 的高階管理人員表示，該公司已為所有員工提供了資訊安全培訓課程。
第二階段審計在第一階段審計三週後進行。審計小組發現，行銷部(未包含在審計範圍內)沒有控制員工存取權限的程序。
由於控制員工存取權限是 ISO/IEC 27001 的要求之一，並且已納入公司的資訊安全政策，因此該問題被納入了審計報告。
問題
針對第一階段審計中缺失的資訊安全訓練和意識程序，Sinvestment 應採取哪些措施？請參閱情境 6。

• A. 執行新的風險評估流程，以了解該問題是否需要修改。
• B. 記錄已發現的問題，並在認證審核完成後予以修正。
• C. 在進行第二階段審核之前，先對文件進行必要的修改，並將更正後的文件提交給審核團隊。

您正在進行 ISMS 審核。審計計劃的下一步是驗證組織的資訊安全風險處理計劃是否已製定並正確實施。您決定採訪 IT 安全經理。
您：能否請您解釋一下組織是如何進行資訊安全風險評估和處理流程的？
IT 安全經理：我們遵循資訊安全風險管理程序，產生風險處理計劃。
旁白：您回顧了第 123 號風險處理計劃，該計劃涉及計劃安裝電子（隱形）圍欄，以提高療養院的物理安全。您發現風險處理計劃已獲得 IT 安全經理的批准。
您：誰要為實體安全風險負責？
IT 安全經理：設施經理負責實體安全風險。 IT部門幫助他們監控警報。授權設施經理批准123號風險處理計畫的預算。
您：123號風險處置預案實施後，還有哪些資訊安全風險殘留？
IT安全經理：據我了解，目前還沒有關於殘留資訊安全風險接受的資訊。
您準備您的審計結果。為場景中合理的發現選擇三個選項。

• A. 不合格（NC）－風險處理實施後，應更新殘餘資訊安全風險的接受資訊。第 6.1.3.f 條
• B. 不合格 (NC) - 組織應提供持續改善 ISMS 所需的資源。第 7.1 條
• C. 不合格 (NC) - IT 安全經理應該意識到並理解他的權限和責任範圍。第7.3條
• D. 有一個改進機會 (OI)，可以對週邊圍欄進行安全檢查
• E. 採用最先進的技術作為持續改進流程的一部分是良好的做法
• F. 不合格 (NC) - 第 123 號風險處理計畫應由風險負責人（在本例中為設施經理）批准。第 6.1.3.f 條
• G. 一旦安裝了電子（隱形）圍欄，就有改進的機會（OI）。
  居民人身安全得到改善
• H. 不合格 (NC) - 最高管理階層必須確保 ISMS 所需的資源可用。第 5.1.c 條