Sie fragen den IT-Manager, warum die Organisation die mobile App weiterhin nutzt, obwohl die Tests zur Verschlüsselung und Pseudonymisierung personenbezogener Daten fehlgeschlagen sind. Außerdem fragen Sie, ob der Service Manager berechtigt ist, den Test zu genehmigen.
Der IT-Manager erklärt, dass die Testergebnisse gemäß dem Verfahren zur Software-Sicherheitsverwaltung von ihm genehmigt werden müssen. Die Verschlüsselungs- und Pseudonymisierungsfunktionen schlugen fehl, da sie die System- und Serviceleistung erheblich beeinträchtigten. Um dies auszugleichen, werden zusätzliche Ressourcen in Höhe von 150 % benötigt. Der Service-Manager stimmte zu, dass die Zugriffskontrolle ausreichend und akzeptabel sei. Daher unterzeichnete er die Genehmigung.
Sie bereiten die Prüfungsergebnisse vor. Wählen Sie die richtige Option.
Es liegt eine Abweichung vor. Die Organisation und der Entwickler führen keine Abnahmetests durch.
(Bezieht sich auf Klausel 8.1, Kontrolle A.8.29)

• A. Es liegt keine Abweichung vor. Der Serviceleiter trifft die richtige Entscheidung, den Service fortzusetzen.
  (Bezieht sich auf Klausel 8.1, Kontrolle A.8.30)
• B. Es liegt eine Nichtkonformität (NC) vor. Die Organisation und der Entwickler führen Sicherheitstests durch, die fehlschlagen.
  (Bezieht sich auf Klausel 8.1, Kontrolle A.8.29)
• C. Es liegt eine Nichtkonformität (NC) vor. Der Service Manager hält sich nicht an das Verfahren zur Verwaltung der Softwaresicherheit. (Betrifft Abschnitt 8.1, Kontrolle A.8.30)

Szenario 5: Data Grid Inc. ist ein bekanntes Unternehmen, das Sicherheitsdienste für die gesamte Informationstechnologie-Infrastruktur bereitstellt. Es bietet Cybersicherheitssoftware, einschließlich Endpunktsicherheit, Firewalls und Antivirensoftware. Seit zwei Jahrzehnten unterstützt Data Grid Inc. verschiedene Unternehmen bei der Sicherung ihrer Netzwerke durch fortschrittliche Produkte und Dienstleistungen. Nachdem sich Data Grid Inc. im Bereich der Informations- und Netzwerksicherheit einen guten Ruf erworben hat, hat sich das Unternehmen für die ISO/IEC 27001-Zertifizierung entschieden, um seine internen Vermögenswerte und Kundenressourcen besser zu schützen und sich einen Wettbewerbsvorteil zu verschaffen.
Data Grid Inc. ernannte das Prüfungsteam, das sich auf die Bedingungen des Prüfungsmandats einigte. Darüber hinaus definierte Data Grid Inc. den Prüfungsumfang, spezifizierte die Prüfungskriterien und schlug vor, die Prüfung innerhalb von fünf Tagen abzuschließen. Das Auditteam lehnte den Vorschlag von Data Grid Inc. ab, das Audit innerhalb von fünf Tagen durchzuführen, da das Unternehmen über eine große Anzahl von Mitarbeitern und komplexe Prozesse verfügt. Data Grid Inc. bestand darauf, dass das Audit innerhalb von fünf Tagen abgeschlossen werden solle, sodass beide Parteien sich darauf einigten, das Audit innerhalb der festgelegten Dauer durchzuführen. Das Prüfungsteam verfolgte einen risikobasierten Prüfungsansatz.
Um einen Überblick über die wesentlichen Geschäftsprozesse und -kontrollen zu erhalten, griff das Audit-Team auf Prozessbeschreibungen und Organigramme zu. Eine tiefergehende Analyse der IT-Risiken und -Kontrollen war ihnen nicht möglich, da ihr Zugriff auf die IT-Infrastruktur und Anwendungen eingeschränkt war. Das Auditteam stellte jedoch fest, dass das Risiko, dass ein erheblicher Fehler im ISMS von Data Grid Inc. auftreten könnte, gering sei, da die meisten Prozesse des Unternehmens automatisiert seien. Daher bewerteten sie, ob das ISMS insgesamt den Standardanforderungen entspricht, indem sie den Vertretern von Data Grid Inc. die folgenden Fragen stellten:
*Wie werden Verantwortlichkeiten für die IT und IT-Kontrollen definiert und zugewiesen?
*Wie beurteilt Data Grid Inc., ob die Kontrollen die gewünschten Ergebnisse erzielt haben?
*Welche Kontrollen verfügt Data Grid Inc., um die Betriebsumgebung und Daten vor bösartiger Software zu schützen?
*Sind Firewall-bezogene Kontrollen implementiert?
Die Vertreter von Data Grid Inc. lieferten ausreichende und geeignete Beweise, um alle diese Fragen zu beantworten.
Der Leiter des Prüfungsteams entwarf die Prüfungsschlussfolgerungen und berichtete sie an das Top-Management von Data Grid Inc.
Obwohl Data Grid Inc. von den Auditoren zur Zertifizierung empfohlen wurde, kam es zu Missverständnissen zwischen Data Grid Inc. und der Zertifizierungsstelle hinsichtlich der Auditziele. Data Grid Inc. gab an, dass das Auditteam diese Informationen nicht bereitgestellt habe, obwohl die Auditziele die Identifizierung von Bereichen mit potenziellen Verbesserungen beinhalteten.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Welche Art von Prüfungsrisiko wurde vom Prüfungsteam als „gering*“ definiert? Siehe Szenario 5.

• A. Erkennung
• B. Kontrolle
• C. Inhärent

Sie führen ein ISMS-Audit in einem Pflegeheim durch, das Gesundheitsdienstleistungen anbietet. Der nächste Schritt in Ihrem Auditplan besteht darin, die Informationssicherheit des Business Continuity Management-Prozesses zu überprüfen. Während des Audits haben Sie erfahren, dass die Organisation einen der Business-Continuity-Pläne (BCPs) aktiviert hat, um sicherzustellen, dass der Pflegedienst während der jüngsten Pandemie weitergeführt wird. Sie bitten den Service Manager, zu erklären, wie die Organisation die Informationssicherheit während des Geschäftskontinuitätsmanagementprozesses verwaltet.
Der Serviceleiter stellt den Pflegekontinuitätsplan für eine Pandemie vor und fasst den Ablauf wie folgt zusammen:
Stoppen Sie die Aufnahme neuer Bewohner.
70 % des Verwaltungspersonals und 30 % des medizinischen Personals werden von zu Hause aus arbeiten.
Regelmäßige Selbsttests des Personals inklusive Vorlage eines negativen Testberichts 1 Tag VOR Ankunft im Büro.
Installieren Sie die mobile Gesundheits-App von ABC, verfolgen Sie ihren Fußabdruck und präsentieren Sie einen GRÜNEN Gesundheitsstatus-QR-Code zur Überprüfung vor Ort.
Sie fragen den Serviceleiter, wie Sie verhindern können, dass nicht relevante Familienangehörige oder Interessenten auf die persönlichen Daten der Bewohner zugreifen, wenn die Mitarbeiter von zu Hause aus arbeiten. Der Service Manager kann nicht antworten und schlägt vor, dass der Sicherheitsmanager dabei helfen sollte.
Sie möchten andere Bereiche weiter untersuchen, um mehr Prüfnachweise zu sammeln. Wählen Sie drei Optionen aus, die in Ihrem Prüfpfad enthalten sein sollen.

• A. Sammeln Sie weitere Beweise darüber, wie und wann das Business Continuity Wan getestet wurde. (Relevant für Kontrolle A.5.29)
• B. Sammeln Sie weitere Nachweise darüber, wie die Organisation sicherstellt, dass nur Mitarbeiter mit einem negativen Testergebnis die Organisation betreten können (relevant für Kontrolle A.7.2).
• C. Sammeln Sie weitere Belege darüber, wie die Organisation eine Geschäftsrisikobewertung durchführt, um zu bewerten, wie schnell die bestehenden Bewohner aus dem Pflegeheim entlassen werden können. (Bezogen auf Abschnitt 6)
• D. Sammeln Sie weitere Belege darüber, welche Ressourcen die Organisation zur Unterstützung der von zu Hause aus arbeitenden Mitarbeiter bereitstellt. (Bezogen auf Abschnitt 7.1)
• E. Sammeln Sie mehr Beweise, indem Sie mehr Mitarbeiter zu ihrer Einstellung zur Arbeit von zu Hause aus befragen. (Bezogen auf Abschnitt 4.2)
• F. Sammeln Sie weitere Belege darüber, wie die Organisation die Informationssicherheit auf mobilen Geräten und während der Telearbeit verwaltet (relevant für Kontrolle A.6.7).

Sie sind ein erfahrener Leiter eines ISMS-Prüfungsteams und geben einem Prüfer in der Ausbildung Anweisungen. Ihr Verständnis von Risikoprozessen ist unklar und Sie werden gebeten, ihnen ein Beispiel für jeden der unten aufgeführten Prozesse zur Verfügung zu stellen.
Ordnen Sie jede der bereitgestellten Beschreibungen einem der folgenden Risikomanagementprozesse zu.
Um die Tabelle zu vervollständigen, klicken Sie auf den leeren Abschnitt, den Sie vervollständigen möchten, sodass er rot hervorgehoben wird, und klicken Sie dann auf den entsprechenden Text in den folgenden Optionen. Alternativ können Sie jede Option auch per Drag-and-Drop in den entsprechenden leeren Abschnitt ziehen.