PECB ISO-IEC-27001-Lead-Implementer Deutsch Value Pack (Frequently Bought Together)

Szenario 8: SunDee ist ein amerikanisches Biopharmaunternehmen mit Hauptsitz in Kalifornien, USA. Es ist auf die Entwicklung neuartiger Humantherapeutika spezialisiert, mit Schwerpunkt auf Herz-Kreislauf-Erkrankungen, Onkologie, Knochengesundheit und Entzündungen. Das Unternehmen verfügt seit zwei Jahren über ein Informationssicherheits-Managementsystem (ISMS) auf Grundlage von SO/IEC 27001. Allerdings wurden Leistung und Effektivität des ISMS nicht überwacht oder gemessen und es wurden keine regelmäßigen Managementbewertungen durchgeführt. Kurz vor dem Rezertifizierungsaudit entschied sich das Unternehmen für ein internes Audit. Außerdem wurden die meisten Mitarbeiter gebeten, die schriftlichen Einzelberichte der letzten zwei Jahre für ihre Abteilungen zusammenzustellen. Dadurch verfügte die Produktionsabteilung nicht über die optimale Belegschaft, was den Lagerbestand des Unternehmens schmälerte.
Tessa war SunDees interne Auditorin. Da 50 verschiedene Mitarbeiter mehrere Berichte verfassten, dauerte der interne Auditprozess viel länger als geplant, war sehr inkonsistent und enthielt keinerlei qualitative Maßnahmen. Tessa kam zu dem Schluss, dass SunDee die Leistung des ISMS angemessen bewerten müsse. Sie definierte SunDees Nachlässigkeit bei der ISMS-Leistungsbewertung als schwerwiegende Abweichung und verfasste einen Abweichungsbericht mit einer Beschreibung der Abweichung, den Auditergebnissen und Empfehlungen. Darüber hinaus erstellte Tessa einen neuen Plan zur Lösung dieser Probleme und legte ihn der Geschäftsleitung vor. Welche Auswirkungen hat SunDees Nachlässigkeit auf das ISMS-Zertifikat? Siehe Szenario 8.

• A. SunDee wird das ISMS-Zertifikat erneuern, da es ein internes Audit zur Bewertung der ISMS-Wirksamkeit durchgeführt hat
• B. SunDee kann das ISMS-Zertifikat möglicherweise nicht erneuern, da das interne Audit länger als geplant dauerte
• C. SunDee kann das ISMS-Zertifikat möglicherweise nicht erneuern, da es nicht in den geplanten Abständen Managementprüfungen durchgeführt hat.

Szenario 5: Bytes ist ein dynamisches und innovatives Unternehmen, das sich auf die Entwicklung, Herstellung und den Vertrieb von Hard- und Software spezialisiert hat und sich auf die Bereitstellung umfassender Netzwerk- und Support-Services konzentriert. Der Hauptsitz befindet sich im pulsierenden Technologiezentrum Lagos in Nigeria. Das vielfältige und engagierte Team besteht aus über 800 Mitarbeitern, die ihren Kunden mit Leidenschaft innovative Lösungen bieten. Aufgrund der Natur des Geschäfts verarbeitet Bytes häufig vertrauliche Daten, sowohl intern als auch bei der Zusammenarbeit mit Kunden und Partnern.
Bytes ist sich der Herausforderungen bewusst, die mit dem sicheren Datenaustausch mit Kunden, Partnern und im eigenen Betrieb verbunden sind. Daher hat Bytes robuste Informationssicherheitsmaßnahmen implementiert. Ein definierter Risikobewertungsprozess ermöglicht es, potenzielle Bedrohungen und Informationssicherheitsrisiken zu bewerten und zu adressieren. Dieser Prozess gewährleistet die Einhaltung der ISO/EC 27001-Anforderungen, einem kritischen Aspekt der Geschäftstätigkeit von Bytes.
Zunächst hat Bytes sowohl externe als auch interne Probleme ermittelt, die für seinen Zweck relevant sind und die Fähigkeit beeinträchtigen, die beabsichtigten Ergebnisse des Informationssicherheits-Managementsystems zu erreichen. Zu den externen Problemen außerhalb der Kontrolle des Unternehmens zählen Faktoren wie soziale und kulturelle Dynamiken, politische, rechtliche, normative und regulatorische Rahmenbedingungen, finanzielle und makroökonomische Bedingungen, technologische Entwicklungen, natürliche Faktoren und Wettbewerbsdruck. Zu den internen Problemen, die innerhalb der Kontrolle der Organisation liegen, gehören Aspekte wie die Unternehmenskultur, ihre Richtlinien, Ziele und Strategien sowie Governance-Strukturen.
Rollen und Verantwortlichkeiten: übernommene Standards und Richtlinien; vertragliche Beziehungen, die Prozesse innerhalb des ISMS-Umfangs beeinflussen: Prozesse und Verfahren, Ressourcen und Wissen, Kapazitäten, physische Infrastruktur, Informationssysteme, Informationsflüsse und Entscheidungsprozesse sowie die Ergebnisse früherer Audits und Risikobewertungen. Bytes konzentrierte sich auch darauf, die für das ISMS relevanten interessierten Parteien zu identifizieren, ihre Anforderungen zu verstehen und zu bestimmen, welche dieser Anforderungen vom ISMS erfüllt werden. Um eine sichere digitale Umgebung zu schaffen, nutzt Bytes die neueste Technologie und verwendet automatisierte Tools zum Scannen von Schwachstellen, um bekannte anfällige Dienste in seinen IKT-Systemen zu identifizieren. Dieser proaktive Ansatz stellt sicher, dass potenzielle Schwachstellen rasch behoben werden, und stärkt so die allgemeine Informationssicherheitslage. Im Rahmen seines umfassenden Ansatzes zur Informationssicherheit hat Bytes verschiedene Risiken ermittelt und bewertet. Während dieses Prozesses hat das Expertenteam von Bytes trotz der Implementierung der Sicherheitskontrollen inakzeptable Restrisiken festgestellt und ist sich derzeit nicht sicher, welche konkreten Optionen zur Behebung dieser ermittelten und inakzeptablen Restrisiken bestehen.
Was sollte Bytes gemäß Szenario 5 bei der Bewertung der Sicherheit seiner IKT-Systeme berücksichtigen?

• A. Die Fähigkeiten und das Fachwissen des IT-Teams, das für die Bewertung der IKT-Systeme verantwortlich ist
• B. Die von ihnen verwendeten Tools können aufgrund fehlender Umgebungskontexte zu Fehlalarmen führen.
• C. Die Kosten der Tools, die sie zur Bewertung der Sicherheit ihrer IKT-Systeme verwendet haben

Ein Technologieunternehmen hat seine Geschäftstätigkeit in den letzten Jahren rasant ausgebaut. Sein Informationssystem, bestehend aus Servern, Datenbanken und Kommunikationstools, ist ein wichtiger Bestandteil des täglichen Betriebs. Aufgrund des schnellen Wachstums und des zunehmenden Datenflusses ist das Unternehmen jedoch nun mit einer Überlastung seines Informationssystems konfrontiert. Diese Überlastung führt zu langsameren Reaktionszeiten, erhöhten Ausfallzeiten und Schwierigkeiten bei der Verwaltung des überwältigenden Datenvolumens. In welche Kategorie fällt diese Bedrohung?

• A. Technische Störungen
• B. Infrastrukturfehler
• C. Kompromiss bei Funktionen

Szenario 7: InfoSec ist ein multinationaler Konzern mit Hauptsitz in Boston, MA, der professionelle Dienstleistungen in den Bereichen Elektronik, Spiele und Unterhaltung anbietet. Nach zahlreichen Informationssicherheitsvorfällen hat InfoSec beschlossen, Teams einzurichten und Maßnahmen zu ergreifen, um mögliche Vorfälle in Zukunft zu verhindern. Emma, ​​Bob und Anna wurden als neue Mitglieder des Informationssicherheitsteams von InfoSec eingestellt, das aus einem Sicherheitsarchitekturteam, einem Incident-Response-Team (IRT) und einem Forensikteam besteht. Emmas Aufgabe besteht darin, Informationssicherheitspläne, Richtlinien, Protokolle und Schulungen zu erstellen, um InfoSec auf eine wirksame Reaktion auf Vorfälle vorzubereiten. Emma und Bob würden Vollzeitangestellte von InfoSec sein, während Anna als externe Beraterin unter Vertrag genommen wurde.
Bob, ein Netzwerkexperte, wird eine abgeschirmte Subnetz-Netzwerkarchitektur implementieren. Diese Architektur isoliert die entmilitarisierte Zone (OMZ), an die gehostete öffentliche Dienste angeschlossen sind, und die öffentlich zugänglichen Ressourcen von InfoSec von ihrem privaten Netzwerk. So kann InfoSec potenzielle Angreifer daran hindern, unerwünschte Ereignisse im Unternehmensnetzwerk zu verursachen. Bob ist außerdem dafür verantwortlich, dass eine gründliche Bewertung der Art eines unerwarteten Ereignisses durchgeführt wird, einschließlich der Details zum Ereignishergang und den möglichen Auswirkungen.
Anna erstellt Aufzeichnungen der Daten, Überprüfungen, Analysen und Berichte, um Beweise für disziplinarische und rechtliche Schritte zu sichern und diese zur Verhinderung künftiger Vorfälle zu nutzen. Um ihre Arbeit entsprechend erledigen zu können, sollte sie sich im Voraus mit der Unternehmensrichtlinie zum Umgang mit Informationssicherheitsvorfällen vertraut machen. Diese Richtlinie legt unter anderem fest, welche Art von Aufzeichnungen erstellt werden sollen, wo sie aufbewahrt werden sollen und welches Format und welchen Inhalt die einzelnen Aufzeichnungstypen haben sollen.
Gemäß Szenario 7 wird innerhalb des InfoSec-Netzwerks eine demilitarisierte Zone (DMZ) eingerichtet. Welche Art von Kontrolle hat InfoSec in diesem Fall implementiert?

• A. Präventiv
• B. Detektiv
• C. Korrigierend

Welche der folgenden Maßnahmen gehört NICHT zu den von ISO/IEC 27001 geforderten Schritten, die eine Organisation ergreifen muss, wenn eine Nichtkonformität festgestellt wird?

• A. Bewerten Sie den Handlungsbedarf zur Beseitigung der Ursachen der Nichtkonformität, damit diese nicht erneut auftritt oder an anderer Stelle auftritt.
• B. Teilen Sie jedem Mitarbeiter der Organisation die Einzelheiten der Nichtkonformität mit und suspendieren Sie den Mitarbeiter, der die Nichtkonformität verursacht hat.
• C. Reagieren Sie auf die Nichtkonformität, ergreifen Sie Maßnahmen, um sie zu kontrollieren und zu korrigieren und gehen Sie mit ihren Folgen um