PECB ISO-IEC-27001-Lead-Implementer Deutsch Value Pack (Frequently Bought Together)

Szenario 9: OpenTech bietet IT- und Kommunikationsdienstleistungen an. Das Unternehmen unterstützt Datenkommunikationsunternehmen und Netzwerkbetreiber beim Übergang zu Multi-Service-Anbietern. Im Rahmen einer internen Prüfung stellte der interne Revisor Tim Abweichungen in den Überwachungsverfahren fest. Er identifizierte und bewertete mehrere Systemschwachstellen.
Tim stellte fest, dass Benutzerkennungen für Systeme und Dienste, die sensible Informationen verarbeiten, wiederverwendet wurden und die Zugriffskontrollrichtlinie nicht eingehalten wurde. Nach der Analyse der Ursachen dieser Abweichung erstellte der ISMS-Projektmanager eine Liste möglicher Maßnahmen zur Behebung des Problems. Anschließend analysierte er die Liste und wählte die Aktivitäten aus, die die Beseitigung der Ursache und die Verhinderung einer ähnlichen Situation in Zukunft ermöglichen würden. Diese Aktivitäten wurden in einen Aktionsplan aufgenommen. Der von der Geschäftsleitung genehmigte Aktionsplan lautete wie folgt:
Es wird eine neue Version der Zugriffskontrollrichtlinie erstellt und neue Beschränkungen werden eingeführt, um sicherzustellen, dass der Netzwerkzugriff von der Abteilung für Informations- und Kommunikationstechnologie (IKT) effektiv verwaltet und überwacht wird. Der genehmigte Aktionsplan wurde umgesetzt und alle im Plan beschriebenen Maßnahmen wurden dokumentiert.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
OpenTech hat beschlossen, eine neue Version seiner Zugriffskontrollrichtlinie einzuführen. Was sollte das Unternehmen bei solchen Änderungen tun?

• A. Aktualisieren Sie die Informationssicherheitsziele
• B. Identifizieren Sie die zu überwachenden Änderungsfaktoren.
• C. Die Änderungen in den Gültigkeitsbereich aufnehmen

Ein produzierendes Unternehmen sah sich aufgrund potenzieller Lieferkettenunterbrechungen mit dem Risiko von Produktionsverzögerungen konfrontiert. Nach Abschätzung der potenziellen Auswirkungen entschied sich das Unternehmen, das Risiko zu akzeptieren, da die Unterbrechung den Betrieb voraussichtlich nicht wesentlich beeinträchtigen würde. Welche Risikobehandlungsoption wählte das Unternehmen in diesem Fall?

• A. Risikorückbehalt
• B. Risikovermeidung
• C. Risikoabwehr

Szenario 10: NetworkFuse entwickelt, produziert und vertreibt Netzwerkhardware. Das Unternehmen verfügt seit etwa zwei Jahren über ein betriebliches Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 und ein Qualitätsmanagementsystem (QMS) nach ISO 9001. Kürzlich hat das Unternehmen ein kombiniertes Zertifizierungsaudit beantragt, um die Zertifizierung nach ISO/IEC 27001 und ISO 9001 zu erhalten.
Nach der Auswahl der Zertifizierungsstelle bereitete NetworkFuse die Mitarbeiter auf das Audit vor. Das Unternehmen entschied sich, vor dem Audit keine Selbstevaluierung durchzuführen, da dies nach Ansicht der Unternehmensleitung nicht notwendig war. Darüber hinaus stellte es die Verfügbarkeit dokumentierter Informationen sicher, darunter interne Auditberichte und Managementbewertungen, eingesetzte Technologien und der allgemeine Betrieb des ISMS und des QMS. Das Unternehmen verlangte jedoch von der Zertifizierungsstelle, dass die Dokumentation nicht außerhalb des Unternehmens durchgeführt werden könne. Das Audit wurde jedoch nicht innerhalb der vorgesehenen Tage durchgeführt, da NetworkFuse den zugewiesenen Leiter des Auditteams ablehnte und dessen Ersatz anforderte. Das Unternehmen behauptete, dass derselbe Leiter des Auditteams eine Empfehlung zur Zertifizierung an seinen Hauptkonkurrenten ausgesprochen habe, was für die Unternehmensleitung einen potenziellen Interessenkonflikt darstellte. Der Antrag wurde von der Zertifizierungsstelle abgelehnt. Basierend auf Szenario 10. NetworkFuse hat vor dem Audit keine Selbstevaluierung des ISMS durchgeführt. Ist dies konform mit ISO/IEC 27001?

• A. Ja, der Standard erfordert keine Selbstbewertung vor dem Audit, aber es ist eine gute Praxis, dieser zu folgen
• B. Nein, der Auditierte muss die Anforderungen der Abschnitte 4 bis 10 vor der Durchführung eines Zertifizierungsaudits überprüfen.
• C. Ja, der Standard besagt, dass sich das zu auditierende Unternehmen bei der Vorbereitung des Zertifizierungsaudits ausschließlich auf interne Audit- und Management-Review-Berichte stützen darf.

Szenario 9: OpenTech bietet IT- und Kommunikationsdienste an. Es unterstützt Datenkommunikationsunternehmen und Netzwerkbetreiber dabei, Multi-Service-Anbieter zu werden. Bei einem internen Audit hat der interne Prüfer Tim Abweichungen im Zusammenhang mit den Überwachungsverfahren festgestellt. Er hat mehrere Schwachstellen des Systems identifiziert und bewertet.
Tim stellte fest, dass Benutzerkennungen für Systeme und Dienste, die vertrauliche Informationen verarbeiten, wiederverwendet wurden und die Zugriffskontrollrichtlinien nicht eingehalten wurden. Nach der Analyse der Ursachen dieser Nichtkonformität erstellte der ISMS-Projektmanager eine Liste möglicher Maßnahmen zur Behebung der Nichtkonformität. Anschließend analysierte der ISMS-Projektmanager die Liste und wählte die Aktivitäten aus, die die Beseitigung der Grundursache und die Vermeidung ähnlicher Situationen in der Zukunft ermöglichen würden. Diese Aktivitäten wurden in einen Aktionsplan aufgenommen. Der von der Geschäftsleitung genehmigte Aktionsplan lautete wie folgt:
Es wird eine neue Version der Zugriffskontrollrichtlinie eingeführt und es werden neue Beschränkungen geschaffen, um sicherzustellen, dass der Netzwerkzugriff von der Abteilung für Informations- und Kommunikationstechnologie (IKT) effektiv verwaltet und überwacht wird. Der genehmigte Aktionsplan wurde umgesetzt und alle im Plan beschriebenen Maßnahmen wurden dokumentiert.
Hat der ISMS-Projektmanager den Korrekturmaßnahmenprozess basierend auf Szenario 9 angemessen abgeschlossen?

• A. Ja, der Korrekturmaßnahmenprozess sollte die Identifizierung der Nichtkonformität, die Situationsanalyse und die Umsetzung von Korrekturmaßnahmen umfassen
• B. Nein, der Korrekturmaßnahmenprozess sollte auch die Überprüfung der Umsetzung der ausgewählten Maßnahmen beinhalten
• C. Nein, die Korrekturmaßnahme hat die Grundursache der Nichtkonformität nicht behoben.

Szenario 1: HealthGenic ist eine Kinderklinik, die mithilfe einer webbasierten medizinischen Software die Gesundheit und das Wachstum von Kindern vom Säuglingsalter bis ins frühe Erwachsenenalter überwacht. Die Software wird auch zur Terminvereinbarung, zur Erstellung individueller medizinischer Berichte, zur Speicherung von Patientendaten und der Krankengeschichte sowie zur Kommunikation mit allen Beteiligten, einschließlich Eltern, anderen Ärzten und dem medizinischen Laborpersonal, verwendet.
Im letzten Monat kam es bei HealthGenic aufgrund der steigenden Zahl von Benutzern, die auf die Software zugriffen, zu mehreren Dienstunterbrechungen. Ein weiteres Problem, mit dem das Unternehmen bei der Verwendung der Software konfrontiert war, war die komplizierte Benutzeroberfläche, deren Verwendung für ungeschultes Personal eine Herausforderung darstellte.
Die Geschäftsleitung von HealthGenic informierte umgehend das Unternehmen, das die Software entwickelt hatte, über das Problem. Das Softwareunternehmen behob das Problem, veränderte dabei jedoch einige Dateien mit vertraulichen Patienteninformationen. Die Änderungen führten zu unvollständigen und fehlerhaften medizinischen Berichten und verletzten – was noch schlimmer war – die Privatsphäre der Patienten.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Gemäß Szenario 1. Um (1)____________________________ zu erkennen, hätte Antiques (2) implementieren sollen.

• A. (1) Patches. (2) eine Zugriffskontrollsoftware
• B. (1) Technische Schwachstellen. (2) Netzwerkeinbrüche
• C. (1) Eindringlinge in Netzwerke. (?) ein Intrusion Detection System