Frage:
Warum sollte die Wesentlichkeit bereits beim Erstkontakt berücksichtigt werden?

• A. Zur Definition der Rollen des Prüfungsteams
• B. Zur Festlegung der Prüfungsziele
• C. Zur Bestimmung der Prüfungsdauer

Szenario 2: Knight ist ein Elektronikunternehmen aus Nordkalifornien, USA, das Videospielkonsolen entwickelt. Knight beschäftigt weltweit mehr als 300 Mitarbeiter. Zum fünften Jahrestag ihrer Gründung haben sie beschlossen, die G-Console auf den Markt zu bringen, eine Videospielkonsole der neuen Generation für weltweite Märkte. Die G-Konsole gilt als die ultimative Medienmaschine des Jahres 2021, die den Spielern das beste Spielerlebnis bietet.
Das Konsolenpaket enthält ein Paar VR-Headsets, zwei
Spiele und andere Geschenke.
Im Laufe der Jahre hat sich das Unternehmen einen guten Ruf erarbeitet, indem es seinen Kunden gegenüber Integrität, Ehrlichkeit und Respekt zeigt. Dieser gute Ruf ist einer der Gründe, warum die meisten leidenschaftlichen Gamer die G-Konsole von Knight anstreben, sobald sie auf den Markt kommt.
Abgesehen davon, dass Knight ein sehr kundenorientiertes Unternehmen ist
Aufgrund der Entwicklungsqualität erlangte es auch in der Spielebranche große Anerkennung. Ihre Preise sind etwas höher, als es die vernünftigen Standards erlauben.
Für die meisten treuen Kunden von Knight stellt dies jedoch kein Problem dar, da die Qualität erstklassig ist.
Als einer der weltweit führenden Entwickler von Videospielkonsolen steht Knight auch häufig im Mittelpunkt böswilliger Aktivitäten. Das Unternehmen verfügt seit über einem Jahr über ein betriebsfähiges ISMS. Der ISMS-Geltungsbereich umfasst alle Abteilungen von Knight mit Ausnahme der Finanz- und Personalabteilungen.
Kürzlich wurden mehrere Dateien von Knight, die geschützte Informationen enthielten, von Hackern durchgesickert. Das Incident Response Team (IRT) von Knight begann sofort mit der Analyse jedes Teils des Systems und der Details des Vorfalls.
Der erste Verdacht des IRT bestand darin, dass die Mitarbeiter von Knight schwache Passwörter verwendeten und daher leicht von Hackern geknackt werden konnten, die sich unbefugten Zugriff auf ihre Konten verschafften. Nach sorgfältiger Untersuchung des Vorfalls stellte das IRT jedoch fest, dass Hacker auf Konten zugegriffen hatten, indem sie den FTP-Verkehr (File Transfer Protocol) erfassten.
FTP ist ein Netzwerkprotokoll zum Übertragen von Dateien zwischen Konten. Zur Authentifizierung werden Klartextkennwörter verwendet.
Aufgrund der Auswirkungen dieses Informationssicherheitsvorfalls und auf Vorschlag des IRT beschloss Knight, das FTP-Protokoll durch das Secure Shell-Protokoll (SSH) zu ersetzen, sodass jeder, der den Datenverkehr erfasst, nur verschlüsselte Daten sehen kann.
Im Anschluss an diese Änderungen führte Knight eine Risikobewertung durch, um sicherzustellen, dass die Implementierung von Kontrollen das Risiko ähnlicher Vorfälle minimiert hatte. Die Ergebnisse des Prozesses wurden vom ISMS-Projektmanager genehmigt, der behauptete, dass das Risikoniveau nach der Implementierung neuer Kontrollen mit den Risikoakzeptanzniveaus des Unternehmens übereinstimmte.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Welche Risikobehandlungsoption hat Knight genutzt, um FTP durch SSH zu ersetzen? Siehe Szenario 2.

• A. Risikovermeidung
• B. Risikomodifikation
• C. Risikoselbstbehalt

Frage:
Welchen Zweck haben Prüfungspläne im Prüfungsprozess?

• A. Zur Erstellung detaillierter Prüfberichte
• B. Alle Elemente des Managementsystems zur Validierung auswählen
• C. Durchführung von Prüfungsverfahren wie Beobachtungen und Befragungen

Szenario 7: Lawsy ist eine führende Anwaltskanzlei mit Niederlassungen in New Jersey und New York City. Über 50 Anwälte bieten ihren Mandanten anspruchsvolle Rechtsdienstleistungen in den Bereichen Wirtschafts- und Handelsrecht, geistiges Eigentum, Bank- und Finanzdienstleistungen an. Sie glauben, dass sie dank ihres Engagements, Best Practices für die Informationssicherheit umzusetzen und über die technologischen Entwicklungen auf dem Laufenden zu bleiben, eine komfortable Marktposition einnehmen.
Lawsy implementiert, bewertet und führt seit zwei Jahren konsequent interne Audits für ein ISMS durch.
Jetzt haben sie die ISO/IEC 27001-Zertifizierung bei ISMA, einer bekannten und vertrauenswürdigen Zertifizierungsstelle, beantragt.
Während des Audits der Stufe 1 überprüfte das Auditteam alle während der Implementierung erstellten ISMS-Dokumente.
Sie überprüften und bewerteten auch die Aufzeichnungen aus Managementbewertungen und internen Audits.
Lawsy legte Nachweise darüber vor, dass bei Bedarf Korrekturmaßnahmen bei Nichtkonformitäten durchgeführt wurden, sodass das Auditteam den internen Prüfer befragte. Das Interview bestätigte die Angemessenheit und Häufigkeit der internen Audits, indem es detaillierte Einblicke in den internen Auditplan und die internen Auditverfahren gab.
Das Auditteam setzte die Überprüfung strategischer Dokumente fort, einschließlich der Informationssicherheitsrichtlinie und der Risikobewertungskriterien. Während der Überprüfung der Informationssicherheitsrichtlinien stellte das Team Inkonsistenzen zwischen den dokumentierten Informationen zur Beschreibung des Governance-Rahmens (dh der Informationssicherheitsrichtlinie) und den Verfahren fest.
Obwohl es den Mitarbeitern erlaubt war, die Laptops außerhalb des Arbeitsplatzes mitzunehmen, verfügte Lawsy nicht über Verfahren für die Verwendung von Laptops in solchen Fällen. Die Richtlinie enthielt lediglich allgemeine Informationen zur Nutzung von Laptops. Das Unternehmen verließ sich auf das Allgemeinwissen der Mitarbeiter, um die Vertraulichkeit und Integrität der auf den Laptops gespeicherten Informationen zu schützen. Dieses Problem wurde im Auditbericht der Stufe 1 dokumentiert.
Nach Abschluss der Prüfung der Stufe 1 erstellte der Leiter des Prüfungsteams den Prüfungsplan, der die Prüfungsziele, den Umfang, die Kriterien und die Verfahren berücksichtigte.
Während der Prüfung der Stufe 2 befragte das Prüfungsteam den Informationssicherheitsmanager, der die Informationssicherheitsrichtlinie entworfen hatte. Er begründete das in Stufe 1 festgestellte Problem damit, dass Lawsy alle drei Monate obligatorische Informationssicherheitsschulungen und Sensibilisierungssitzungen durchführt.
Im Anschluss an das Interview untersuchte das Auditteam 15 Mitarbeiterschulungsaufzeichnungen (von 50) und kam zu dem Schluss, dass Lawsy die Anforderungen von ISO/IEC 27001 in Bezug auf Schulung und Sensibilisierung erfüllt. Um diese Schlussfolgerung zu untermauern, fotokopierten sie die untersuchten Schulungsunterlagen der Mitarbeiter.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Das Auditteam fotokopierte die untersuchten Schulungsunterlagen der Mitarbeiter, um seine Schlussfolgerung zu untermauern. Sollte das Prüfteam eine Genehmigung von Lawsy einholen, bevor es diese Maßnahme ergreift? Siehe Szenario 7.

• A. Nein, das Auditteam hat die Befugnis, Dokumente zu fotokopieren, um die Konformität eines bestimmten Dokuments mit den Auditkriterien zu überprüfen
• B. Ja, das Auditteam kann während des Audits beobachtete Dokumente fotokopieren, wenn die geprüfte Stelle dem zustimmt
• C. Ja. Das Prüfungsteam sollte bei der Überprüfung der Existenz eines Prozesses in allen Fällen die Genehmigung des geprüften Unternehmens einholen, auch beim Anfertigen von Notizen und beim Fotokopieren von Dokumenten

Im Rahmen eines Zertifizierungsaudits durch Dritte ist eine effektive Kommunikation sehr wichtig. Wählen Sie eine Option aus, die die richtige Antwort zur Kommunikation in einem Prüfungskontext enthält.

• A. Es besteht keine Notwendigkeit, eine formelle Kommunikationsvereinbarung zu treffen, da eine geprüfte Stelle jederzeit während der Prüfung mit dem Prüfer kommunizieren kann
• B. Während der Prüfung sollte jeder Prüfer dem geprüften Unternehmen und dem Prüfungskunden regelmäßig etwaige Bedenken mitteilen
• C. Die formellen Kommunikationskanäle zwischen dem Prüfungsteam und der geprüften Stelle können während der Eröffnungsbesprechung festgelegt werden
• D. Während des Audits liegt die Verantwortung für die Kommunikation beim Leiter des Auditteams