PECB ISO-IEC-27001-Lead-Auditor Deutsch Value Pack (Frequently Bought Together)

Szenario 3: Rebuildy ist ein Bauunternehmen mit Sitz in Bangkok, Thailand, das sich auf die Planung, den Bau und die Instandhaltung von Wohngebäuden spezialisiert hat. Um die Sicherheit sensibler Projektdaten und Kundeninformationen zu gewährleisten, entschied sich Rebuildy für die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) gemäß ISO/IEC 27001. Dies umfasste ein umfassendes Verständnis der Informationssicherheitsrisiken, einen definierten Ansatz zur kontinuierlichen Verbesserung und robuste Geschäftslösungen.
Die Ergebnisse der ISMS-Implementierung werden im Folgenden dargestellt.
Informationssicherheit wird durch die Anwendung einer Reihe von Sicherheitskontrollen und die Festlegung von Richtlinien, Prozessen und Verfahren erreicht.
Die Sicherheitsmaßnahmen werden auf Basis einer Risikobewertung umgesetzt und zielen darauf ab, Risiken zu eliminieren oder auf ein akzeptables Niveau zu reduzieren.
*Alle Prozesse gewährleisten die kontinuierliche Verbesserung des ISMS auf Basis des Plan-Do-Check-Act (PDCA)-Modells.
Die Informationssicherheitsrichtlinie ist Teil eines Sicherheitshandbuchs, das auf Basis bewährter Sicherheitspraktiken erstellt wurde. Daher handelt es sich nicht um ein eigenständiges Dokument.
*Die Aufgaben und Verantwortlichkeiten im Bereich Informationssicherheit sind in jeder Stellenbeschreibung klar aufgeführt.
*Management-Reviews des ISMS werden in geplanten Abständen durchgeführt.
Rebuildy beantragte die Zertifizierung nach zwei Zwischenbewertungen des Managements und einem jährlichen internen Audit. Vor dem Zertifizierungsaudit wandte sich ein ehemaliger Mitarbeiter von Rebuildy an ein Mitglied des Auditteams und teilte mit, dass Rebuildy mehrere Sicherheitsprobleme habe, die das Unternehmen zu vertuschen versuche. Der ehemalige Mitarbeiter legte dem Auditteammitglied die dokumentierten Beweise vor. Electra, ein wichtiger Kunde von Rebuildy, reichte ebenfalls Beweise zu denselben Problemen ein, und der Auditor entschied, diese Beweise anstelle derer des ehemaligen Mitarbeiters zu verwenden. Das Auditteammitglied blieb bis zum Abschluss des Audits mit Electra in Kontakt und besprach die festgestellten Abweichungen. Electra lieferte weitere Beweise zur Untermauerung dieser Feststellungen.
Zu Beginn des Audits befragte das Auditteam die Geschäftsleitung des Unternehmens. Dabei wurde unter anderem das Engagement der Geschäftsleitung für die Implementierung des Informationssicherheitsmanagementsystems (ISMS) erörtert. Die in diesen Gesprächen gewonnenen Erkenntnisse wurden schriftlich dokumentiert und dienten der Feststellung der Konformität von Rebuildy mit verschiedenen Abschnitten der ISO/IEC 27001. Die von Electra erhaltenen Dokumente wurden dem Auditbericht zusammen mit dem Bericht über die festgestellten Abweichungen beigefügt. Unter anderem wurden folgende Abweichungen festgestellt:
Im Finanzberichtssystem des Unternehmens wurde ein Fall von fehlerhaften Benutzerzugriffskontrolleinstellungen festgestellt.
Es wurde keine eigenständige Informationssicherheitsrichtlinie erstellt. Stattdessen verwendet das Unternehmen ein Sicherheitshandbuch, das auf Basis bewährter Sicherheitspraktiken erstellt wurde.
Nach Erhalt der Unterlagen vom Prüfungsteam traf sich der Teamleiter mit der Geschäftsleitung von Rebuildy, um die Prüfungsergebnisse zu präsentieren. Das Prüfungsteam berichtete über Mängel im Finanzberichtssystem und das Fehlen einer eigenständigen Informationssicherheitsrichtlinie. Die Geschäftsleitung zeigte sich unzufrieden mit den Ergebnissen und warf dem Teamleiter unprofessionelles Verhalten vor, was implizierte, dass sie möglicherweise einen Wechsel fordern würde. Unter Druck geraten, entschied sich der Teamleiter zur Zusammenarbeit mit der Geschäftsleitung, um die Bedeutung der festgestellten Abweichungen herunterzuspielen. Infolgedessen passte er den Bericht an, um ein positiveres Bild zu zeichnen und so das wahre Ausmaß der Compliance-Probleme bei Rebuildy zu verschleiern.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Hat das Prüfungsteam in Bezug auf die Situation mit dem Finanzberichtssystem die bewährten Prüfungspraktiken eingehalten?

• A. Ja, da dies außerhalb des Prüfungsbereichs liegt.
• B. Nein, das Auditteam hätte die Zertifizierungsstelle kontaktieren und den Sachverhalt melden müssen.
• C. Nein, das Prüfungsteam hätte sich aufgrund der Rechtswidrigkeit der Handlung von der Prüfung zurückziehen müssen.

Szenario 8: Die EsBank bietet seit September Bank- und Finanzlösungen für den estnischen Bankensektor an
2010. Das Unternehmen verfügt über ein Netz von 30 Filialen mit über 100 Geldautomaten im ganzen Land.
Da die EsBank in einer stark regulierten Branche tätig ist, muss sie zahlreiche Gesetze und Vorschriften hinsichtlich der Sicherheit und des Datenschutzes von Daten einhalten. Sie müssen die Informationssicherheit in ihren gesamten Betrieben verwalten, indem sie technische und nichttechnische Kontrollen implementieren. Die EsBank hat sich für die Implementierung eines ISMS auf Basis von ISO/IEC entschieden
27001, weil es eine bessere Sicherheit, eine bessere Risikokontrolle und die Einhaltung wichtiger Anforderungen von Gesetzen und Vorschriften bietet.
Neun Monate nach der erfolgreichen Implementierung des ISMS beschloss die EsBank, die Zertifizierung ihres ISMS durch eine unabhängige Zertifizierungsstelle nach ISO/IEC 27001 anzustreben. Das Zertifizierungsaudit umfasste alle Systeme, Prozesse und Technologien der EsBank.
Die Audits der Stufen 1 und 2 wurden gemeinsam durchgeführt und es wurden mehrere Nichtkonformitäten festgestellt. Die erste Nichtkonformität betraf die Kennzeichnung von Informationen durch die EsBank. Das Unternehmen verfügte über ein Klassifizierungssystem für Informationen, es gab jedoch kein Verfahren zur Kennzeichnung von Informationen. Infolgedessen würden Dokumente, die das gleiche Schutzniveau erfordern, unterschiedlich gekennzeichnet (manchmal als vertraulich, manchmal als sensibel).
Da alle Dokumente auch elektronisch gespeichert wurden, wirkte sich die Nichtkonformität auch auf die Medienhandhabung aus. Das Prüfteam zog Stichproben und kam zu dem Schluss, dass auf 50 von 200 Wechseldatenträgern vertrauliche Informationen gespeichert waren, die fälschlicherweise als vertraulich eingestuft wurden. Gemäß dem Informationsklassifizierungsschema dürfen vertrauliche Informationen auf Wechselmedien gespeichert werden, wohingegen die Speicherung sensibler Informationen strengstens verboten ist. Dies markierte die andere Nichtkonformität.
Sie verfassten den Nichtkonformitätsbericht und diskutierten die Audit-Schlussfolgerungen mit den Vertretern der EsBank, die sich bereit erklärten, innerhalb von zwei Monaten einen Aktionsplan für die festgestellten Nichtkonformitäten vorzulegen.
Die EsBank akzeptierte den Lösungsvorschlag des Prüfungsteamleiters. Sie lösten die Nichtkonformitäten, indem sie ein Verfahren zur Informationskennzeichnung auf der Grundlage des Klassifizierungsschemas für physische und elektronische Formate entwarfen.
Basierend auf diesem Verfahren wurde auch das Verfahren für Wechselmedien aktualisiert.
Zwei Wochen nach Abschluss der Prüfung legte die EsBank einen allgemeinen Aktionsplan vor. Dort gingen sie auf die festgestellten Nichtkonformitäten und die ergriffenen Korrekturmaßnahmen ein, machten jedoch keine Angaben zu den betroffenen Systemen, Kontrollen oder Abläufen. Das Auditteam bewertete den Aktionsplan und kam zu dem Schluss, dass die Nichtkonformitäten dadurch behoben werden würden. Dennoch erhielt die EsBank eine negative Empfehlung zur Zertifizierung.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Gemäß Szenario 8 bewertete das Auditteam den Aktionsplan und kam zu dem Schluss, dass damit die festgestellten Nichtkonformitäten behoben werden würden. Ist das akzeptabel?

• A. Nein, das geprüfte Unternehmen sollte überprüfen, ob der Aktionsplan die Korrektur von Nichtkonformitäten und die Beseitigung der Grundursachen ermöglicht
• B. Ja, nur wenn die EsBank zuvor die Wirksamkeit des Aktionsplans überprüft und das Auditteam darüber informiert hat, dass der Aktionsplan die Korrektur von Nichtkonformitäten ermöglicht
• C. Ja. Das Auditteam muss den Aktionsplan bewerten und überprüfen, ob er zur Korrektur der festgestellten Nichtkonformitäten geeignet ist

Wählen Sie zwei der folgenden Optionen aus, die während eines Zertifizierungsaudits in den Verantwortungsbereich eines rechtlich-technischen Experten im Auditteam fallen.
* Beurteilung der Rechtskenntnisse des Geprüften

• A. Kritik an den Problemen der Organisation hinsichtlich der Einhaltung gesetzlicher Bestimmungen
• B. Erörterung komplexer Rechtsfragen mit dem Geprüften
• C. Treffen mit dem Rechtsvertreter der Organisation
• D. Beratung zu rechtlichen Prüfpunkten für das Prüfungsteam
• E. Überprüfung des Rechtsstatus der Organisation

Welche beiden Aktivitäten passen zur „Check“-Phase des Plan-Do-Check-Act-Zyklus, wenn sie auf den Prozess der Verwaltung eines internen Auditprogramms angewendet werden, wie in ISO 19011 beschrieben?

• A. Führen Sie interne Audits durch
• B. Aktualisieren Sie das interne Auditprogramm
• C. Richten Sie ein risikobasiertes internes Auditprogramm ein
• D. Überprüfen Sie die Wirksamkeit des internen Auditprogramms
• E. Überprüfen Sie Trends im Ergebnis der internen Revision
• F. Behält Aufzeichnungen über interne Audits
• G. Definieren Sie Auditkriterien und -umfang für jedes interne Audit

Szenario 6: Cyber ​​ACrypt ist ein Cybersicherheitsunternehmen, das Endpunktschutz durch Malware-Abwehr, Gerätesicherheit, Asset-Lifecycle-Management und Geräteverschlüsselung anbietet. Um sein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 zu validieren und sein Engagement für höchste Cybersicherheitsstandards zu demonstrieren, unterzog sich das Unternehmen einem sorgfältigen Auditprozess unter der Leitung von John, dem beauftragten Audit-Teamleiter.
Nach Annahme des Prüfungsauftrags organisierte John umgehend ein Treffen, um den Prüfungsplan und die Teamrollen zu erläutern. Diese Phase war entscheidend, um das Team auf die Ziele und den Umfang der Prüfung auszurichten. Die erste Präsentation vor den Mitarbeitern von Cyber ​​ACrypt offenbarte jedoch eine erhebliche Lücke im Verständnis des Prüfungsumfangs und der Prüfungsziele, was auf potenzielle Herausforderungen hinsichtlich der Vorbereitung innerhalb des Unternehmens hindeutete. Mit Beginn der Phase-1-Prüfung bereitete sich das Team auf die Aktivitäten vor Ort vor. Sie überprüften die dokumentierten Informationen von Cyber ​​ACrypt, einschließlich der Informationssicherheitsrichtlinie und der betrieblichen Verfahren, und stellten sicher, dass jedes Dokument den Standards entsprach und in Bezug auf Format, Autor, Erstellungsdatum, Versionsnummer und Genehmigungsdatum standardisiert war. Darüber hinaus stellte das Auditteam sicher, dass jedes Dokument die in der jeweiligen Klausel der Norm geforderten Informationen enthielt. Diese Phase ergab, dass ein detailliertes Audit der Dokumentation zur Aufgabenausführung nicht erforderlich war, wodurch der Prozess optimiert und die Bemühungen des Teams auf kritische Bereiche konzentriert wurden. Während der Vor-Ort-Aktivitäten bewertete das Team die Managementverantwortung für die Richtlinien von Cyber ​​ACrypt. Diese gründliche Prüfung zielte darauf ab, kontinuierliche Verbesserungen und die Einhaltung der ISMS-Anforderungen sicherzustellen. Anschließend dokumentierte das Auditteam in der Dokumentation der Ergebnisse der ersten Phase seine Feststellungen sorgfältig und unterstrich seine Schlussfolgerungen hinsichtlich der Erfüllung der Ziele der ersten Phase. Diese Dokumentation war für das Auditteam und Cyber ​​ACrypt unerlässlich, um die vorläufigen Auditergebnisse und die Handlungsfelder zu verstehen.
Das Auditteam beschloss außerdem, Interviews mit wichtigen Interessengruppen zu führen. Diese Entscheidung wurde durch das Ziel motiviert, aussagekräftige Auditnachweise zu sammeln, um die Konformität des Managementsystems mit der ISO zu bestätigen.
Die Anforderungen der IEC 27001 wurden erfüllt. Der Austausch mit Interessengruppen auf verschiedenen Ebenen von Cyber ​​ACrypt lieferte dem Auditteam wertvolle Einblicke und ein Verständnis für die Implementierung und Wirksamkeit des ISMS.
Der Prüfbericht der ersten Phase deckte gravierende Mängel auf. Die Anwendbarkeitserklärung (SoA) und die ISMS-Richtlinie wiesen in mehreren Punkten Defizite auf, darunter eine unzureichende Risikobewertung, ungenügende Zugriffskontrollen und fehlende regelmäßige Richtlinienüberprüfungen. Dies veranlasste Cyber ​​ACrypt zu sofortigen Maßnahmen, um diese Mängel zu beheben. Die prompte Reaktion und die vorgenommenen Anpassungen der strategischen Dokumente zeugten von einem starken Engagement für die Einhaltung der Vorschriften.
Die technische Expertise, die zur Schließung der Wissenslücken des Audit-Teams im Bereich Cybersicherheit hinzugezogen wurde, spielte eine entscheidende Rolle bei der Identifizierung von Schwächen in der Risikobewertungsmethodik und der Überprüfung der Netzwerkarchitektur. Dies umfasste die Bewertung von Firewalls, Intrusion-Detection- und -Prevention-Systemen sowie anderer Netzwerksicherheitsmaßnahmen. Außerdem wurde geprüft, wie Cyber ​​ACrypt externe und interne Bedrohungen erkennt, darauf reagiert und sich davon erholt. Unter Johns Leitung übermittelte der technische Experte die Ergebnisse des Audits an die Vertreter von Cyber ​​ACrypt. Das Audit-Team stellte jedoch fest, dass die Objektivität des Experten möglicherweise durch den Erhalt von Beratungsgebühren vom Auditierten beeinträchtigt war. Angesichts des Verhaltens des technischen Experten während des Audits beschloss der Leiter des Audit-Teams, diesen Sachverhalt mit der Zertifizierungsstelle zu besprechen.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Welche Aktivität wurde vom Prüfungsteam während der Phase-1-Prüfung NICHT ordnungsgemäß durchgeführt?

• A. Durchführung von Vor-Ort-Aktivitäten durch Bewertung der Managementverantwortung für die Richtlinien von Cyber ​​ACrypt
• B. Die Dokumentation der Ergebnisse der Phase-1-Prüfung erfolgt durch das Versäumnis, die relevanten Nachweise oder unterstützenden Dokumente beizufügen.
• C. Vorbereitung der Aktivitäten vor Ort durch Einbeziehung der Informationssicherheitsrichtlinie und der betrieblichen Verfahren zur Überprüfung