Infralink ist ein mittelständisches IT-Beratungsunternehmen mit Hauptsitz in Dublin, Irland. Es ist spezialisiert auf sichere Cloud-Infrastruktur, Softwareintegration und Datenanalyse und betreut einen vielfältigen Kundenstamm aus den Bereichen Gesundheitswesen, Finanzdienstleistungen und Recht, darunter Krankenhäuser, Versicherungen und Anwaltskanzleien. Zum Schutz sensibler Kundendaten und zur Sicherstellung der Geschäftskontinuität hat Infralink ein Informationssicherheits-Managementsystem (ISMS) gemäß den Anforderungen der ISO/IEC 27001 implementiert.
Bei der Entwicklung seiner Sicherheitsarchitektur setzte das Unternehmen auf Dienste zur zentralen Benutzeridentifizierung und abteilungsübergreifenden, gemeinsamen Authentifizierung. Diese Dienste regelten auch die Erstellung und Verwaltung von Zugangsdaten innerhalb des Unternehmens. Darüber hinaus implementierte Infralink Lösungen zum Schutz sensibler Daten während der Übertragung und im Ruhezustand, um Vertraulichkeit und Integrität in allen Systemen zu gewährleisten.
Zur Vorbereitung der Implementierung von Informationssicherheitsmaßnahmen stellte das Unternehmen die Verfügbarkeit der notwendigen Ressourcen, die Kompetenz des Personals und eine strukturierte Planung sicher. Es führte eine Kosten-Nutzen-Analyse durch, legte Implementierungsphasen fest und erstellte Dokumentationen sowie Checklisten für jede Phase. Die angestrebten Ergebnisse wurden klar definiert, um die Sicherheitsmaßnahmen mit den Geschäftszielen in Einklang zu bringen.
Infralink begann mit der Implementierung mehrerer Kontrollen aus Anhang A der ISO/IEC 27001. Dazu gehörten die Regelung des physischen und logischen Zugriffs auf Informationen und Assets gemäß den Geschäfts- und Informationssicherheitsanforderungen, das Management des Identitätslebenszyklus sowie die Einrichtung von Verfahren zur Erteilung, Überprüfung, Änderung und zum Entzug von Zugriffsrechten. Kontrollen im Zusammenhang mit der sicheren Zuweisung und Verwaltung von Authentifizierungsinformationen sowie die Einrichtung von Regeln oder Vereinbarungen für die sichere Datenübertragung wurden jedoch noch nicht implementiert. Im Rahmen der Dokumentation stellte das Unternehmen sicher, dass alle ISMS-bezogenen Dokumente die Rückverfolgbarkeit durch Titel, Erstellungs- oder Aktualisierungsdatum, Autorennamen und eindeutige Referenznummern gewährleisten. Beantworten Sie vor dem Hintergrund des oben beschriebenen Szenarios die folgende Frage.
Welche Sicherheitsdienste implementierte Infralink im Rahmen seiner Sicherheitsarchitektur?

• A. Zugriffskontroll- und kryptografische Dienste
• B. Grenzkontroll- und Auditüberwachungsdienste
• C. Integritätsdienste

Welche Sicherheitskontrollen müssen implementiert werden, um ISO/IEC 27001 zu erfüllen?

• A. Die im Risikobehandlungsplan enthaltenen
• B. Die in Anhang A der ISO/IEC 27001 aufgeführten, ohne Ausnahme
• C. Nur von der Organisation entworfene

Szenario 8: SunDee ist ein amerikanisches Biopharmaunternehmen mit Hauptsitz in Kalifornien, USA. Es ist auf die Entwicklung neuartiger Humantherapeutika spezialisiert, mit Schwerpunkt auf Herz-Kreislauf-Erkrankungen, Onkologie, Knochengesundheit und Entzündungen. Das Unternehmen verfügt seit zwei Jahren über ein Informationssicherheits-Managementsystem (ISMS) auf Grundlage von SO/IEC 27001. Allerdings wurden Leistung und Effektivität des ISMS nicht überwacht oder gemessen und es wurden keine regelmäßigen Managementbewertungen durchgeführt. Kurz vor dem Rezertifizierungsaudit entschied sich das Unternehmen für ein internes Audit. Außerdem wurden die meisten Mitarbeiter gebeten, die schriftlichen Einzelberichte der letzten zwei Jahre für ihre Abteilungen zusammenzustellen. Dadurch verfügte die Produktionsabteilung nicht über die optimale Belegschaft, was den Lagerbestand des Unternehmens schmälerte.
Tessa war SunDees interne Auditorin. Mit mehreren Berichten von 50 verschiedenen Mitarbeitern dauerte der interne Auditprozess viel länger als geplant, war sehr inkonsistent und enthielt keinerlei qualitative Maßnahmen. Tessa kam zu dem Schluss, dass SunDee die Leistung des ISMS angemessen bewerten müsse. Sie definierte SunDees Nachlässigkeit bei der ISMS-Leistungsbewertung als schwerwiegende Nichtkonformität und verfasste einen Nichtkonformitätsbericht mit einer Beschreibung der Nichtkonformität, den Auditergebnissen und Empfehlungen. Darüber hinaus erstellte Tessa einen neuen Plan zur Lösung dieser Probleme und stellte ihn der Geschäftsleitung vor. Erfüllt SunDee basierend auf Szenario 8 die Anforderungen der ISO/IEC 27001 hinsichtlich des Überwachungs- und Messprozesses?

• A. Nein, denn obwohl der Standard nicht vorgibt, wann ein solcher Prozess durchgeführt werden sollte, muss das Unternehmen über einen Überwachungs- und Messprozess verfügen
• B. Ja, da der Standard nicht angibt, wann die Überwachungs- und Messphase durchgeführt werden soll
• C. Ja, da der Standard vorschreibt, dass die Überwachungs- und Messphase alle zwei Jahre durchgeführt wird

Was ist der Zweck einer internen Revisionscharta?

• A. Um darzulegen, wie die Organisation von internen Audits profitiert, insbesondere bei der Erreichung ihrer Ziele
• B. Um die Bewertung der gesammelten Prüfungsnachweise anhand vordefinierter Prüfungskriterien darzustellen
• C. Um die Auditergebnisse unter Berücksichtigung der Auditziele und aller Feststellungen darzustellen

Die von einer Organisation verwendete Anwendung verfügt über eine komplizierte Benutzeroberfläche. Was stellt die komplizierte Benutzeroberfläche in diesem Fall dar?

• A. Eine extrinsische Schwachstelle, da es sich um einen externen Faktor handelt, der sich auf das Vermögen auswirkt
• B. Eine Art von Bedrohung, da es zu einem unerwünschten Vorfall führen kann
• C. Eine intrinsische Schwachstelle, da sie ein Merkmal des Vermögenswerts ist