PECB ISO-IEC-27001-Lead-Auditor Deutsch Value Pack (Frequently Bought Together)

Szenario 4: SendPay ist ein Finanzunternehmen, das seine Dienstleistungen über ein Netzwerk von Agenten und Finanzinstituten anbietet. Eine ihrer Hauptdienstleistungen ist der weltweite Geldtransfer. SendPay ist als neues Unternehmen bestrebt, seinen Kunden erstklassige Dienstleistungen anzubieten. Da das Unternehmen internationale Transaktionen anbietet, verlangt es von seinen Kunden die Angabe personenbezogener Daten, wie z. B. ihre Identität, den Grund der Transaktionen und andere Details, die für den Abschluss der Transaktion erforderlich sein könnten. Daher hat SendPay Sicherheitsmaßnahmen zum Schutz der Informationen seiner Kunden implementiert, einschließlich der Erkennung, Untersuchung und Reaktion auf eventuell auftretende Bedrohungen der Informationssicherheit. Ihr Engagement, sichere Dienste anzubieten, spiegelte sich auch bei der ISMS-Implementierung wider, in die das Unternehmen viel Zeit und Ressourcen investierte.
Letztes Jahr stellte SendPay seine digitale Plattform vor, die Geldtransaktionen über elektronische Geräte wie Smartphones oder Laptops ermöglicht, ohne dass eine zusätzliche Gebühr anfällt. Über diese Plattform können die Kunden von SendPay von überall und zu jeder Zeit Geld senden und empfangen. Die digitale Plattform half SendPay, die Abläufe des Unternehmens zu vereinfachen und sein Geschäft weiter auszubauen. Zu diesem Zeitpunkt lagerte SendPay seinen Softwarebetrieb aus, daher wurde das Projekt vom Softwareentwicklungsteam des ausgelagerten Unternehmens abgeschlossen.
Dasselbe Team war auch für die Wartung der Technologieinfrastruktur von SendPay verantwortlich.
Vor kurzem beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es fast ein Jahr lang über ein ISMS verfügte. Sie beauftragten eine Zertifizierungsstelle, die ihren Kriterien entsprach. Kurz darauf ernannte die Zertifizierungsstelle ein Team aus vier Prüfern, um das ISMS von SendPay zu prüfen.
Bei der Prüfung wurden unter anderem folgende Situationen beobachtet:
1. Das ausgelagerte Softwareunternehmen hatte den Vertrag mit SendPay fristlos gekündigt. Infolgedessen war SendPay nicht in der Lage, die Dienste sofort wieder intern anzubieten, und der Betrieb war fünf Tage lang unterbrochen. Die Prüfer forderten von den Vertretern von SendPay den Nachweis, dass sie einen Plan haben, den sie im Falle einer Vertragskündigung befolgen sollen. Die Vertreter legten keine dokumentarischen Beweise vor, teilten den Prüfern jedoch während eines Interviews mit, dass das Top-Management von SendPay zwei weitere Softwareentwicklungsunternehmen identifiziert habe, die sofort Dienstleistungen erbringen könnten, wenn ähnliche Situationen erneut auftreten.
2. Es lagen keine Beweise für die Überwachung der an das Softwareentwicklungsunternehmen ausgelagerten Tätigkeiten vor. Die Vertreter von SendPay teilten den Prüfern erneut mit, dass sie regelmäßig mit dem Softwareentwicklungsunternehmen kommunizieren und über mögliche Änderungen angemessen informiert sind.
3. Beim Firewall-Test wurde keine Nichtkonformität festgestellt. Die Prüfer testeten die Firewall-Konfiguration, um das Sicherheitsniveau dieser Dienste zu ermitteln. Zum Testen der Firewall-Richtlinien verwendeten sie einen Paketanalysator, der es ihnen ermöglichte, die gesendeten oder empfangenen Pakete in Echtzeit zu überprüfen.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Basierend auf Szenario 4 forderten die Prüfer Dokumentationsnachweise zum Überwachungsprozess ausgelagerter Betriebe. Was bedeutet das?

• A. Die Prüfer zeigten professionelle Skepsis
• B. Die Prüfer bewerteten die Nachweise auf der Grundlage eines risikobasierten Ansatzes
• C. Die Prüfer haben die Vertraulichkeit ausgelagerter Vorgänge gefährdet

Frage
Während eines ISO/IEC 27001-Zertifizierungsaudits hielt sich der Auditleiter nicht an die etablierten Best Practices für die Durchführung von Audits. Zudem fehlte ihm die notwendige Expertise, um einige der komplexen Bereiche des ISMS zu beurteilen, was zu suboptimalen Ergebnissen führte. Obwohl die Auditergebnisse dennoch dokumentiert wurden, gelten einige Bereiche des Audits als schwach, und das Audit entsprach nicht vollständig den erforderlichen Verfahren.
Welches Verantwortungsniveau stellt dieses Szenario im Falle von unerlaubten Handlungen dar?

• A. Grobe Fahrlässigkeit
• B. Keine Fahrlässigkeit
• C. Einfache Fahrlässigkeit

Szenario 2
Knight ist ein Elektronikunternehmen mit Sitz in Nordkalifornien, USA, das Videospielkonsolen entwickelt.
Knight, mit über 300 Mitarbeitern weltweit, feiert sein fünfjähriges Bestehen mit der Einführung der G-Console, einer Gaming-Konsole der nächsten Generation für den internationalen Markt. Die G-Console gilt als die ultimative Medienmaschine des Jahres 2021 und verspricht Spielern ein unvergleichliches Spielerlebnis. Das Konsolenpaket enthält zwei VR-Headsets, zwei Spiele und weitere Geschenke.
Das Unternehmen hat sich über die Jahre einen hervorragenden Ruf für Integrität, Ehrlichkeit und Respekt gegenüber seinen Kunden erworben. Neben seiner ausgeprägten Kundenorientierung genießt Knight aufgrund seiner hohen Qualität auch in der Spielebranche hohes Ansehen.
Als einer der weltweit führenden Entwickler von Videospielkonsolen ist Knight häufig Zielscheibe von Cyberkriminalität. Daher hat das Unternehmen ein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 implementiert und dessen Geltungsbereich den Mitarbeitern in wöchentlichen Meetings erläutert.
Kürzlich wurde Knight jedoch Opfer eines Sicherheitsvorfalls, bei dem Hacker firmeneigene Informationen veröffentlichten. Das Incident-Response-Team (IRT) leitete daraufhin umgehend eine gründliche Untersuchung des Systems und der genauen Umstände des Vorfalls ein. Zunächst vermutete das IRT, dass Mitarbeiter möglicherweise schwache Passwörter verwendet hatten, wodurch Hacker leicht auf ihre Konten zugreifen konnten. Weitere Untersuchungen ergaben jedoch, dass die Hacker den Datenverkehr des File Transfer Protocol (FTP) abgefangen hatten, das Daten zur Authentifizierung mit Klartextpasswörtern überträgt.
Angesichts dieses Sicherheitsvorfalls und gemäß den Empfehlungen des IRT entschied sich Knight, das FTP-Protokoll durch das Secure Shell (SSH)-Protokoll zu ersetzen. Diese Änderung gewährleistet die Verschlüsselung des gesamten erfassten Datenverkehrs und verbessert die Sicherheit somit erheblich.
Nach der Umsetzung dieser Änderungen führte Knight eine Risikobewertung durch, um zu überprüfen, ob die eingeführten Kontrollmaßnahmen das Risiko ähnlicher Vorfälle minimiert hatten. Basierend auf den Ergebnissen der Risikobewertung wählten sie eine Risikobehandlungsoption zur Behebung des Risikos.
Frage
Was bedeuten die Erkenntnisse des IRT über FTP im Hinblick auf die Informationssicherheit?

• A. Risiko
• B. Bedrohung
• C. Schwachstelle

Szenario 9: UpNet, ein Netzwerkunternehmen, wurde nach ISO/IEC 27001 zertifiziert. Es bietet Netzwerksicherheit, Virtualisierung, Cloud Computing, Netzwerkhardware, Netzwerkverwaltungssoftware und Netzwerktechnologien.
Der Bekanntheitsgrad des Unternehmens ist seit der ISO/IEC 27001-Zertifizierung drastisch gestiegen. Die Zertifizierung bestätigte die Reife des UpNefs-Betriebs und die Einhaltung eines weithin anerkannten und akzeptierten Standards.
Doch nicht alles endete nach der Zertifizierung. UpNet überprüfte und verbesserte kontinuierlich seine Sicherheitskontrollen sowie die allgemeine Wirksamkeit und Effizienz des ISMS durch die Durchführung interner Audits. Das Top-Management war nicht bereit, ein Vollzeitteam interner Prüfer zu beschäftigen, und beschloss daher, die interne Prüffunktion auszulagern. Diese Form der internen Audits gewährleistete Unabhängigkeit, Objektivität und eine beratende Funktion hinsichtlich der kontinuierlichen Verbesserung des ISMS.
Nicht lange nach dem ersten Zertifizierungsaudit gründete das Unternehmen eine neue Abteilung, die auf Daten- und Speicherprodukte spezialisiert war. Sie boten Router und Switches an, die für Rechenzentren und softwarebasierte Netzwerkgeräte wie Netzwerkvirtualisierungs- und Netzwerksicherheits-Appliances optimiert waren. Dies führte zu Änderungen in den Abläufen der anderen Abteilungen, die bereits vom ISMS-Zertifizierungsumfang abgedeckt sind.
Daher. UpNet hat einen Risikobewertungsprozess und ein internes Audit eingeleitet. Nach dem Ergebnis der internen Revision bestätigte das Unternehmen die Wirksamkeit und Effizienz der bestehenden und neuen Prozesse und Kontrollen.
Das Top-Management hat beschlossen, die neue Abteilung in den Zertifizierungsbereich aufzunehmen, da sie den Anforderungen der ISO/IEC 27001 entspricht. UpNet gab bekannt, dass es nach ISO/IEC 27001 zertifiziert ist und der Zertifizierungsumfang das gesamte Unternehmen umfasst.
Ein Jahr nach dem ersten Zertifizierungsaudit führte die Zertifizierungsstelle ein weiteres Audit des UpNefs ISMS durch.
Ziel dieser Prüfung war es, die Erfüllung der festgelegten ISO/IEC 27001-Anforderungen durch das UpNefs ISMS festzustellen und sicherzustellen, dass das ISMS kontinuierlich verbessert wird. Das Auditteam bestätigte, dass das zertifizierte ISMS weiterhin die Anforderungen des Standards erfüllt. Dennoch hatte die neue Abteilung erhebliche Auswirkungen auf die Steuerung des Managementsystems. Darüber hinaus wurden der Zertifizierungsstelle keine Änderungen mitgeteilt. Daher wurde die UpNefs-Zertifizierung ausgesetzt.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
UpNet gab bekannt, dass der Umfang der ISMS-Zertifizierung das gesamte Unternehmen umfasst, sobald sichergestellt ist, dass die neue Abteilung auch die ISO/IEC 27001-Anforderungen erfüllt. Wie würden Sie die in Szenario 9 dargestellte Situation einordnen?

• A. Inakzeptabel. UpNet hätte vor der Ankündigung eine Verlängerungsprüfung beantragen und gewähren sollen
• B. Inakzeptabel, der interne Prüfer hätte das Erweiterungsaudit genehmigen sollen, nicht das Top-Management
• C. Akzeptabel, das interne Audit bestätigte die Wirksamkeit und Effizienz der bestehenden und neuen Prozesse und Kontrollen

Was ist die Standarddefinition von ISMS?

• A. Ein projektbasierter Ansatz zum Erreichen von Geschäftszielen für die Einrichtung, Implementierung, den Betrieb, die Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung der Informationssicherheit einer Organisation
• B. Ein systematischer Ansatz zur Einrichtung, Implementierung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung der Informationssicherheit einer Organisation, um die Geschäftsziele zu erreichen.
• C. Ist ein systematischer Ansatz der Informationssicherheit, um Geschäftsziele für die Implementierung, den Aufbau, die Überprüfung, den Betrieb und die Aufrechterhaltung des Rufs der Organisation zu erreichen.
• D. Ein unternehmensweites Geschäftsziel, um ein Bewusstsein für die Informationssicherheit für die Einrichtung, Implementierung, den Betrieb, die Überwachung, Überprüfung, Wartung und Verbesserung zu erreichen