PECB ISO-IEC-27001-Lead-Auditor Deutsch Value Pack (Frequently Bought Together)

Ein externer Prüfer erhielt das Angebot, bei einem Forschungs- und Entwicklungsunternehmen ein ISMS-Audit durchzuführen. Bevor sie es akzeptierten, besprachen sie mit dem internen Prüfer des geprüften Unternehmens, der ihr Freund war, frühere Prüfungsberichte. Ist das akzeptabel?

• A. Ja, der Prüfer kann die vorherigen Prüfungsberichte einsehen und besprechen, bevor er einen Prüfungsauftrag annimmt
• B. Nein, der Prüfer sollte die Objektivität wahren, auch wenn er entscheidet, ob er den Prüfungsauftrag annimmt oder nicht
• C. Nein, der externe Auditor sollte die vorherigen Auditberichte des geprüften Unternehmens nur mit der Zertifizierungsstelle besprechen

Frage:
Ein Unternehmen prüft die Wesentlichkeit verschiedener Prozesse innerhalb seines Informationssicherheitsmanagementsystems (ISMS). Dabei werden die direkten Kosten für Personal, Dienstleistungen Dritter und allgemeine Gebühren bewertet. Welchen Wesentlichkeitsfaktor berücksichtigt das Unternehmen primär?

• A. Betriebskosten
• B. Potenzielle Kosten von Fehlern oder Abweichungen
• C. Kosten des Prozesses

Das Rechenzentrum, in dem Sie arbeiten, strebt derzeit eine ISO/IEC27001:2022-Zertifizierung an. Zur Vorbereitung Ihres ersten Zertifizierungsbesuchs wurden mehrere interne Audits von einem Kollegen durchgeführt, der in einem anderen Rechenzentrum Ihrer Gruppe arbeitet. Sie haben sich Anfang des Jahres ihr eigenes ISO/IEC 27001:2022-Zertifikat gesichert.
Sie haben sich gerade als interner ISMS-Auditor qualifiziert und Ihr Vorgesetzter hat Sie gebeten, den Auditprozess und die Auditergebnisse als letzte Kontrolle zu überprüfen, bevor die externe Zertifizierungsstelle eintrifft.
Welche vier der folgenden Punkte würden Ihnen Bedenken hinsichtlich der Konformität mit den Anforderungen der ISO/IEC 27001:2022 bereiten?

• A. Das Auditprogramm berücksichtigt nicht die Ergebnisse früherer Audits.
• B. Das Auditprogramm wurde nicht als „vom Top-Management genehmigt“ unterzeichnet.
• C. Das Prüfprogramm berücksichtigt nicht die relative Bedeutung von Informationssicherheitsprozessen.
• D. Das Auditprogramm zeigt Managementbewertungen, die in unregelmäßigen Abständen im Laufe des Jahres stattfinden.
• E. Das Prüfprogramm verweist nicht auf Prüfmethoden oder Prüfverantwortungen.
• F. Prüfberichte werden nicht in Papierform (also nicht in Papierform) aufbewahrt. Sie werden nur als * gespeichert. PDF-Dokumente im Intranet der Organisation.
• G. Obwohl der Umfang für jedes interne Audit definiert wurde, sind für die bisher durchgeführten Audits keine Auditkriterien definiert.
• H. Der Prüfungsprozess besagt, dass die Ergebnisse der Prüfungen „relevanten“ Managern und nicht dem Top-Management zur Verfügung gestellt werden.

Sie sind ein erfahrener Audit-Teamleiter, der einen Auditor in der Ausbildung leitet. Ihr Team führt derzeit ein externes Überwachungsaudit einer Organisation durch, die Daten im Auftrag externer Kunden speichert. Der Auditor in der Ausbildung wurde damit beauftragt, die in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) aufgeführten und am Standort implementierten TECHNOLOGISCHEN Kontrollen zu überprüfen.
Wählen Sie aus den folgenden vier Kontrollen aus, die der Auditor in der Schulung Ihrer Meinung nach überprüfen sollte.

• A. Die Vereinbarungen der Organisation zur Löschung von Informationen
• B. Wie die Informationssicherheit in Lieferantenvereinbarungen behandelt wurde
• C. Wie Strom- und Datenkabel in das Gebäude gelangen
• D. Fernarbeitsvereinbarungen
• E. Regeln für die Übermittlung von Informationen innerhalb der Organisation und an andere Organisationen
• F. Bewusstsein für Informationssicherheit, Bildung und Schulung
• G. Die Durchführung von Überprüfungen des Personals
• H. Wie der Schutz vor Malware implementiert wird
• I. Wie der Zugriff auf Quellcode und Entwicklungstools verwaltet wird
• J. Zugang zur und von der Laderampe
• K. Die Vereinbarungen der Organisation zur Wartung der Ausrüstung
• L. Wie die Organisation ihre Gefährdung durch technische Schwachstellen bewertet
• M. Die Entwicklung und Pflege eines Informationsressourceninventars
• N. Die Geschäftskontinuitätsvereinbarungen der Organisation
• O. Vertraulichkeits- und Geheimhaltungsvereinbarungen
• P. Der Betrieb der CCTV- und Türkontrollsysteme am Standort

Welche zwei der folgenden Aussagen sind richtig?
Die Vorteile der Implementierung eines ISMS ergeben sich in erster Linie aus einer Reduzierung der Informationssicherheitsrisiken.

• A. Der Vorteil der Zertifizierung eines ISMS besteht darin, Aufträge von staatlichen Institutionen zu erhalten.
• B. Der Zweck eines ISMS besteht darin, die Einhaltung regulatorischer Anforderungen nachzuweisen.
• C. Der Zweck eines ISMS besteht darin, einen Risikomanagementprozess zur Wahrung der Informationssicherheit anzuwenden.