CEO schickt eine Mail mit seinen Ansichten zum Status des Unternehmens und der zukünftigen Strategie des Unternehmens sowie der Vision des CEO und des Anteils des Mitarbeiters daran. Die Post sollte klassifiziert werden als

• A. Interne Post
• B. Eingeschränkte E-Mail
• C. Vertrauliche Post
• D. Öffentliche Post

Sie sind ein erfahrener Audit-Teamleiter, der einen Auditor in der Schulung leitet.
Ihr Team führt derzeit ein Überwachungsaudit durch Dritte bei einer Organisation durch, die Daten im Auftrag externer Kunden speichert. Der Auditor in der Schulung wurde damit beauftragt, die in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) aufgeführten und am Standort implementierten ORGANISATORISCHEN Kontrollen zu überprüfen.
Wählen Sie aus den folgenden vier Kontrollen aus, die der Auditor in der Schulung Ihrer Meinung nach überprüfen sollte.

• A. Zugang zur und von der Laderampe
• B. Der Betrieb der CCTV- und Türkontrollsysteme am Standort
• C. Wie Strom- und Datenkabel in das Gebäude gelangen
• D. Wie die Informationssicherheit in Lieferantenvereinbarungen geregelt wurde
• E. Die Entwicklung und Pflege eines Informationsressourceninventars
• F. Vertraulichkeits- und Geheimhaltungsvereinbarungen
• G. Die Geschäftskontinuitätsvereinbarungen der Organisation
• H. Regeln für die Übermittlung von Informationen innerhalb der Organisation und an andere Organisationen

Im Folgenden finden Sie die Richtlinien zum Schutz Ihres Passworts, mit Ausnahme von:

• A. Verwenden Sie nicht dasselbe Passwort für den Sicherheitszugriff auf verschiedene Unternehmenssysteme
• B. Ändern Sie ein temporäres Passwort bei der ersten Anmeldung
• C. Passwörter mit niemandem teilen
• D. Verwenden Sie zum einfachen Abrufen dasselbe Passwort für Firmen- und Privatkonten

Eine Eigenschaft von Informationen, die das Auftreten eines behaupteten Ereignisses nachweisen kann.

• A. Zugänglichkeit
• B. Verfügbarkeit
• C. Integrität
• D. Elektronische Kettenbriefe

Szenario 6: Cyber ​​ACrypt ist ein Cybersicherheitsunternehmen, das Endpunktschutz durch Malware-Abwehr, Gerätesicherheit, Asset-Lifecycle-Management und Geräteverschlüsselung anbietet. Um sein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 zu validieren und sein Engagement für höchste Cybersicherheitsstandards zu demonstrieren, unterzog sich das Unternehmen einem sorgfältigen Auditprozess unter der Leitung von John, dem beauftragten Audit-Teamleiter.
Nach Annahme des Prüfungsauftrags organisierte John umgehend ein Treffen, um den Prüfungsplan und die Teamrollen zu erläutern. Diese Phase war entscheidend, um das Team auf die Ziele und den Umfang der Prüfung auszurichten. Die erste Präsentation vor den Mitarbeitern von Cyber ​​ACrypt offenbarte jedoch eine erhebliche Lücke im Verständnis des Prüfungsumfangs und der Prüfungsziele, was auf potenzielle Herausforderungen hinsichtlich der Vorbereitung innerhalb des Unternehmens hindeutete. Mit Beginn der Phase-1-Prüfung bereitete sich das Team auf die Aktivitäten vor Ort vor. Sie überprüften die dokumentierten Informationen von Cyber ​​ACrypt, einschließlich der Informationssicherheitsrichtlinie und der betrieblichen Verfahren, und stellten sicher, dass jedes Dokument den Standards entsprach und in Bezug auf Format, Autor, Erstellungsdatum, Versionsnummer und Genehmigungsdatum standardisiert war. Darüber hinaus stellte das Auditteam sicher, dass jedes Dokument die in der jeweiligen Klausel der Norm geforderten Informationen enthielt. Diese Phase ergab, dass ein detailliertes Audit der Dokumentation zur Aufgabenausführung nicht erforderlich war, wodurch der Prozess optimiert und die Bemühungen des Teams auf kritische Bereiche konzentriert wurden. Während der Vor-Ort-Aktivitäten bewertete das Team die Managementverantwortung für die Richtlinien von Cyber ​​ACrypt. Diese gründliche Prüfung zielte darauf ab, kontinuierliche Verbesserungen und die Einhaltung der ISMS-Anforderungen sicherzustellen. Anschließend dokumentierte das Auditteam in der Dokumentation der Ergebnisse der ersten Phase seine Feststellungen sorgfältig und unterstrich seine Schlussfolgerungen hinsichtlich der Erfüllung der Ziele der ersten Phase. Diese Dokumentation war für das Auditteam und Cyber ​​ACrypt unerlässlich, um die vorläufigen Auditergebnisse und die Handlungsfelder zu verstehen.
Das Auditteam beschloss außerdem, Interviews mit wichtigen Interessengruppen zu führen. Diese Entscheidung wurde durch das Ziel motiviert, aussagekräftige Auditnachweise zu sammeln, um die Konformität des Managementsystems mit der ISO zu bestätigen.
Die Anforderungen der IEC 27001 wurden erfüllt. Der Austausch mit Interessengruppen auf verschiedenen Ebenen von Cyber ​​ACrypt lieferte dem Auditteam wertvolle Einblicke und ein Verständnis für die Implementierung und Wirksamkeit des ISMS.
Der Prüfbericht der ersten Phase deckte gravierende Mängel auf. Die Anwendbarkeitserklärung (SoA) und die ISMS-Richtlinie wiesen in mehreren Punkten Defizite auf, darunter eine unzureichende Risikobewertung, ungenügende Zugriffskontrollen und fehlende regelmäßige Richtlinienüberprüfungen. Dies veranlasste Cyber ​​ACrypt zu sofortigen Maßnahmen, um diese Mängel zu beheben. Die prompte Reaktion und die vorgenommenen Anpassungen der strategischen Dokumente zeugten von einem starken Engagement für die Einhaltung der Vorschriften.
Die technische Expertise, die zur Schließung der Wissenslücken des Audit-Teams im Bereich Cybersicherheit hinzugezogen wurde, spielte eine entscheidende Rolle bei der Identifizierung von Schwächen in der Risikobewertungsmethodik und der Überprüfung der Netzwerkarchitektur. Dies umfasste die Bewertung von Firewalls, Intrusion-Detection- und -Prevention-Systemen sowie anderer Netzwerksicherheitsmaßnahmen. Außerdem wurde geprüft, wie Cyber ​​ACrypt externe und interne Bedrohungen erkennt, darauf reagiert und sich davon erholt. Unter Johns Leitung übermittelte der technische Experte die Ergebnisse des Audits an die Vertreter von Cyber ​​ACrypt. Das Audit-Team stellte jedoch fest, dass die Objektivität des Experten möglicherweise durch den Erhalt von Beratungsgebühren vom Auditierten beeinträchtigt war. Angesichts des Verhaltens des technischen Experten während des Audits beschloss der Leiter des Audit-Teams, diesen Sachverhalt mit der Zertifizierungsstelle zu besprechen.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Wurde das Ziel der Interviews während der Phase-1-Prüfung gemäß Szenario 6 vom Prüfungsteam entsprechend festgelegt?

• A. Nein, das Ziel der Interviews war nicht auf die wichtigsten Leistungsindikatoren (KPIs) des Managementsystems abgestimmt, was die Effektivität des Audits beeinträchtigte.
• B. Nein, Ziel der Interviews ist es, ein angemessenes Verständnis der Herausforderungen sicherzustellen, denen sich der Auditierte gegenübersieht.
• C. Ja, Ziel der Interviews ist es, Auditnachweise zu sammeln, um die Konformität des Managementsystems mit den Anforderungen der ISO/IEC 27001 zu bestätigen.