PECB ISO-IEC-27001-Lead-Auditor Deutsch Value Pack (Frequently Bought Together)

Frage
Welche Aussage zur Beurteilung der Wesentlichkeit ist NICHT korrekt?

• A. Während des Phase-1-Audits identifizieren die Auditoren die wichtigsten Prozesse und legen fest, welche Prozesse beim Vor-Ort-Audit im Fokus stehen sollen.
• B. Während der ersten Kontaktaufnahme wird die Wesentlichkeit berücksichtigt, um die Dauer des Audits auf der Grundlage der dem Unternehmen innewohnenden Risiken zu bestimmen.
• C. Die Abschlussprüfer können die Wesentlichkeit von Prozessen oder Vermögenswerten während der Phase-2-Prüfung beurteilen, dürfen den Prüfungsplan jedoch nicht auf der Grundlage der Ergebnisse anpassen.

Wählen Sie aus den folgenden Optionen ein Wort aus, das den Satz am besten vervollständigt:
Um den Satz mit den Wörtern zu vervollständigen, klicken Sie auf den leeren Abschnitt, den Sie vervollständigen möchten, sodass er rot hervorgehoben wird, und klicken Sie dann in den folgenden Optionen auf den Anwendungstext. Alternativ können Sie die Option per Drag-and-Drop in den entsprechenden leeren Abschnitt ziehen.

Szenario 4
SendPay ist ein Finanzdienstleistungsunternehmen, das sich auf internationale Geldtransfers über ein Netzwerk von Agenten und Institutionen spezialisiert hat. Als junges Unternehmen am Markt strebt SendPay mit seiner gebührenfreien, im letzten Jahr eingeführten digitalen Plattform höchste Servicequalität an. Kunden können damit jederzeit per Smartphone und Laptop Geld senden und empfangen. SendPay lagerte damals die Softwareentwicklung an ein externes Team aus, das auch die technologische Infrastruktur des Unternehmens verwaltete.
Kürzlich beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es bereits seit fast einem Jahr über ein ISMS verfügte.
Im Rahmen der Prüfung konzentrierten sich die Prüfer auf die Überprüfung der ausgelagerten Geschäftstätigkeiten von SendPay und untersuchten insbesondere die Softwareentwicklung und die Wartung der technologischen Infrastruktur, die vom ausgelagerten Unternehmen durchgeführt wurden.
Sie verfolgten einen strukturierten Ansatz, der die Überprüfung und Bewertung der Prozesse von SendPay zur Überwachung der Qualität dieser ausgelagerten Tätigkeiten umfasste. Dies beinhaltete die Überprüfung, ob das Unternehmen seinen vertraglichen Verpflichtungen nachkam, die Sicherstellung angemessener Governance-Verfahren für die Beauftragung von Outsourcing-Unternehmen und die Bewertung der Pläne von SendPay für den Fall einer erwarteten oder unerwarteten Beendigung von Outsourcing-Verträgen.
Die Prüfer merkten jedoch an, dass die Protokolle von SendPay Eventualitäten wie unvorhergesehene Kündigungen von Outsourcing-Verträgen nicht vollständig abdeckten. Darüber hinaus unterstützte ein von SendPay beauftragter technischer Experte die Prüfer und stellte spezifisches Wissen und Fachkompetenz im Zusammenhang mit den geprüften Outsourcing-Prozessen zur Verfügung.
Das Auditteam ermittelte die Anzahl der von den Mitarbeitern absolvierten ISMS-Schulungsstunden, um die Übereinstimmung mit den festgelegten Zielen sicherzustellen. Zudem berechneten sie die durchschnittliche Lösungszeit von Informationssicherheitsvorfällen anhand einer während des Audits entnommenen Stichprobe. Dies lieferte wertvolle Einblicke in die Vorgehensweise von SendPay im Umgang mit Sicherheitsvorfällen. Darüber hinaus bewerteten die Prüfer die Zuverlässigkeit der während des Audits gesammelten Beweise. Sie berücksichtigten verschiedene Faktoren, die die Zuverlässigkeit der Auditbeweise beeinflussen. So lieferten beispielsweise Aufnahmen von Überwachungskameras objektivere Beweise als Fotos. Auch der Zeitpunkt spielte eine entscheidende Rolle für die Zuverlässigkeit; Mechanismen wie die Transaktionsaufzeichnung erhöhten die Glaubwürdigkeit der Beweise.
SendPay nutzt Cloud-basierte Plattformen, um seine Abläufe effizienter und skalierbarer zu gestalten. Aufgrund begrenzter Ressourcen verzichteten die Prüfer jedoch während der Prüfung darauf, SendPay eine Übersicht über seine Cloud-Aktivitäten vorzulegen, und verließen sich stattdessen auf die Angaben von SendPay.
Frage
Ist gemäß Szenario 4 die Einbeziehung aller Beteiligten während der Prüfung der ausgelagerten Geschäftsprozesse akzeptabel?

• A. Nein, sie hätten nur einen Beobachter einbeziehen sollen.
• B. Nein, die Einbeziehung des technischen Experten ist nicht akzeptabel.
• C. Ja, die Einbeziehung aller Parteien wird als akzeptabel angesehen.

Ein externer Prüfer erhielt das Angebot, bei einem Forschungs- und Entwicklungsunternehmen ein ISMS-Audit durchzuführen. Bevor sie es akzeptierten, besprachen sie mit dem internen Prüfer des geprüften Unternehmens, der ihr Freund war, frühere Prüfungsberichte. Ist das akzeptabel?

• A. Nein, der Prüfer sollte die Objektivität wahren, auch wenn er entscheidet, ob er den Prüfungsauftrag annimmt oder nicht
• B. Nein, der externe Auditor sollte die vorherigen Auditberichte des geprüften Unternehmens nur mit der Zertifizierungsstelle besprechen
• C. Ja, der Prüfer kann die vorherigen Prüfungsberichte einsehen und besprechen, bevor er einen Prüfungsauftrag annimmt

Welche zwei der folgenden Aussagen sind richtig?
* Der Vorteil der Zertifizierung eines ISMS besteht darin, das Akkreditierungszertifikat auf der Website anzuzeigen.

• A. Die Vorteile der Implementierung eines ISMS ergeben sich in erster Linie aus einer Reduzierung der Informationssicherheitsrisiken.
• B. Der Zweck eines ISMS besteht darin, einen Risikomanagementprozess zur Wahrung der Informationssicherheit anzuwenden.
• C. Der Zweck eines ISMS besteht darin, das Bewusstsein des Managements für Informationssicherheitsfragen zu demonstrieren.
• D. Der Vorteil der Zertifizierung eines ISMS besteht darin, die Anzahl der Kunden zu erhöhen.
• E. Der Zweck eines ISMS besteht darin, die Einhaltung regulatorischer Anforderungen nachzuweisen.