PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor Deutsch Version): ISO-IEC-27001-Lead-Auditor Deutsch Exam Premium File as PDF & Test Engine

Wählen Sie die Wörter aus, die den Satz am besten vervollständigen:

Als Leiter des ISMS-Auditteams führen Sie im Auftrag eines Online-Händlers ein Second-Party-Audit bei einem internationalen Logistikunternehmen durch. Während des Audits meldet ein Teammitglied eine Abweichung bezüglich Kontrollpunkt 5.18 (Zugriffsrechte) aus Anhang A der ISO/IEC 27001:2022. Die Kontrollmaßnahme wurde in der Anwendbarkeitserklärung begründet. Das Teammitglied fand Hinweise darauf, dass die Entfernung der Serverzugriffsprotokolle von 20 Mitarbeitern, die das Unternehmen in den letzten drei Monaten verlassen haben, bis zu einer Woche dauerte, während die Richtlinie die Entfernung des Zugriffs innerhalb von 24 Stunden nach deren Ausscheiden vorschreibt.
Wählen Sie die drei am besten geeigneten Maßnahmen aus, die der Geprüfte ergriffen hat, um mit dieser Situation umzugehen.

• A. Untersuchen Sie, ob die Verzögerungen bei der Entfernung von Zugriffsprotokollen zu Sicherheitslücken geführt haben.
• B. Verlängern Sie die erforderliche Entfernungsfrist von 24 Stunden auf 7 Tage
• C. Mehr IT-Personal einstellen, um sicherzustellen, dass der vorgegebene Zeitrahmen eingehalten werden kann.
• D. Ändern Sie den Prozess, um sicherzustellen, dass die Zugriffsprotokolle für ausscheidende Mitarbeiter entfernt werden, bevor diese das Gelände verlassen.
• E. Überwachen Sie den laufenden Prozess der Entfernung von Zugriffsprotokollen für ausscheidende Mitarbeiter, um festzustellen, ob er den Anforderungen entspricht.
• F. Sicherstellen, dass die Entfernung der Serverzugriffsprotokolle von ausscheidenden Mitarbeitern aus leitenden Positionen Priorität hat.
• G. Überprüfen Sie den Prozess der Sicherheitsrisikobewertung, um den Zeitrahmen für die Entfernung der Zugriffsrechte ausscheidender Mitarbeiter neu zu bewerten.
• H. Rügen Sie das IT-Team, weil es die Zugriffsprotokolle nicht innerhalb der vorgegebenen Frist entfernt hat.

Welche zwei der folgenden Formulierungen treffen auf „Plan“ im Zusammenhang mit dem PDCA-Zyklus (Planen-Durchführen-Überprüfen-Anpassen) eines Geschäftsprozesses zu?
* Aufbewahrung der Dokumentation

• A. Organisation von Veränderungen
• B. Ziele setzen
• C. Bereitstellung von IKT-Ressourcen
• D. Beibehaltung der Dokumentation
• E. Schulungspersonal

Szenario 5
CyberShielding Systems Inc. bietet Sicherheitsdienstleistungen für die gesamte IT-Infrastruktur. Das Unternehmen stellt Cybersicherheitssoftware bereit, darunter Endpoint-Sicherheit, Firewalls und Antivirensoftware. Seit zwei Jahrzehnten unterstützt CyberShielding Systems Inc. diverse Unternehmen bei der Absicherung ihrer Netzwerke mit fortschrittlichen Produkten und Dienstleistungen. Aufgrund seines guten Rufs im Bereich Informations- und Netzwerksicherheit entschied sich CyberShielding Systems Inc. für die Implementierung eines Sicherheitsinformationsmanagementsystems (ISMS) gemäß ISO/IEC 27001 und die Zertifizierung, um die eigenen und die Kundendaten noch besser zu schützen und sich Wettbewerbsvorteile zu sichern.
Die Zertifizierungsstelle leitete den Prozess ein, indem sie das Auditteam für die ISO-Zertifizierung von CyberShielding Systems Inc. auswählte.
Die Zertifizierungsstelle hatte dem Unternehmen die Namen und Hintergrundinformationen aller Auditoren mitgeteilt. Bei der Überprüfung stellte CyberShielding Systems Inc. jedoch fest, dass einer der Auditoren nicht über die erforderliche Sicherheitsfreigabe verfügte. Daraufhin erhob das Unternehmen Einspruch gegen die Bestellung dieses Auditors. Die Zertifizierungsstelle reagierte auf den Einspruch von CyberShielding Systems Inc. und ersetzte den Auditor.
Im Rahmen des Auditprozesses wurde der Ansatz von CyberShielding Systems Inc. zur Risiko- und Chancenermittlung als eigenständige Aktivität bewertet. Dies umfasste die Prüfung der Methoden des Unternehmens zur Identifizierung und zum Management von Risiken und Chancen. Zu den Kernzielen des Auditteams gehörte die Sicherstellung der Wirksamkeit der Mechanismen von CyberShielding Systems Inc. zur Risiko- und Chancenidentifizierung sowie die Überprüfung der Strategien des Unternehmens zur Bewältigung dieser ermittelten Risiken und Chancen. Dabei identifizierte das Auditteam auch ein Risiko aufgrund mangelnder Aufsicht im Überprüfungsprozess der Firewall-Konfiguration. Änderungen wurden ohne ordnungsgemäße Genehmigung implementiert, wodurch das Unternehmen potenziell Sicherheitslücken ausgesetzt war. Dieser Befund unterstrich die Notwendigkeit stärkerer interner Kontrollen, um solche Probleme zu vermeiden.
Das Auditteam verschaffte sich Zugang zu Prozessbeschreibungen und Organigrammen, um die wichtigsten Geschäftsprozesse und Kontrollen zu verstehen. Aufgrund von Einschränkungen durch Drittanbieter konnte das Team die IT-Risiken und -Kontrollen nur begrenzt analysieren. Dennoch stellte das Auditteam fest, dass das Risiko eines schwerwiegenden Fehlers im ISMS von CyberShielding gering sei, da die meisten Unternehmensprozesse automatisiert seien. Daher beurteilte das Team die Konformität des ISMS insgesamt mit den Standardanforderungen, indem es Vertreter von CyberShielding zu IT-Verantwortlichkeiten, Wirksamkeit der Kontrollen und Maßnahmen gegen Malware befragte. Die Vertreter von CyberShielding legten ausreichende und geeignete Nachweise vor, um alle Fragen zu beantworten.
Trotz der vor dem Audit unterzeichneten Vereinbarung, in der Umfang, Kriterien und Ziele des Audits festgelegt waren, konzentrierte sich das Audit in erster Linie auf die Beurteilung der Übereinstimmung mit den festgelegten Kriterien und die Sicherstellung der Einhaltung gesetzlicher und behördlicher Vorgaben.
Frage
Wurde die Risiko- und Chancenanalyse von CyberShielding Systems Inc. durch das Auditteam gemäß den geltenden Prüfungsstandards durchgeführt? Siehe Szenario 5.

• A. Nein, die Durchführung von Einzelbewertungen wird nicht empfohlen; sie sollte implizit während der gesamten Prüfung eines Managementsystems erfolgen.
• B. Nein, es sei denn, CyberShielding Systems Inc. hat ausdrücklich eine unabhängige Bewertung angefordert.
• C. Ja, die Durchführung der Beurteilung in Eigenregie ist eine empfohlene Vorgehensweise.