PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor Deutsch Version) - ISO-IEC-27001-Lead-Auditor Deutsch Exam Practice Test

Szenario 7: Webvue, ein japanisches Technologieunternehmen, ist auf die Entwicklung, den Support und die Wartung von Computersoftware spezialisiert. Webvue bietet Lösungen für verschiedene Technologiebereiche und Branchen. Das Flaggschiffprodukt ist CloudWebvue, eine umfassende Cloud-Computing-Plattform mit Speicher-, Netzwerk- und Virtualisierungsdiensten. CloudWebvue ist sowohl für Unternehmen als auch für Privatanwender konzipiert und bekannt für seine Flexibilität, Skalierbarkeit und Zuverlässigkeit.
Webvue hat beschlossen, CloudWebvue ausschließlich in den Geltungsbereich der ISO/IEC 27001-Zertifizierung aufzunehmen. Daher wurden die Audits der Stufen 1 und 2 parallel durchgeführt. Webvue legt großen Wert auf die Vertraulichkeit seiner Assets. Die in CloudWebvue gespeicherten Informationen werden durch geeignete kryptografische Verfahren geschützt. Jede Information, unabhängig von der Klassifizierungsstufe (intern, eingeschränkt oder vertraulich), wird zunächst mit einem eindeutigen Hashwert verschlüsselt und anschließend in der Cloud gespeichert. Das Auditteam bestand aus fünf Personen: Keith, Sean, Layla, Sam und Tina. Keith, der erfahrenste Auditor im IT- und Informationssicherheits-Auditteam, leitete das Auditteam. Zu seinen Aufgaben gehörten die Planung des Audits und die Führung des Teams. Sean und Layla verfügten über Erfahrung in Projektplanung, Geschäftsanalyse und IT-Systemen (Hardware und Anwendungen). Zu ihren Aufgaben gehörte die Auditplanung gemäß den internen Systemen und Prozessen von Webvue. Sam und Tina hingegen, die erst kürzlich ihr Studium abgeschlossen hatten, waren für die Erledigung der täglichen Aufgaben zuständig und entwickelten gleichzeitig ihre Audit-Kompetenzen weiter. Bei der Überprüfung der Konformität mit Kontrollpunkt 8.24 „Verwendung von Kryptografie“ gemäß ISO/IEC 27001 Anhang A durch Interviews mit den zuständigen Mitarbeitern stellte das Audit-Team fest, dass die kryptografischen Schlüssel ursprünglich mithilfe eines Zufallsbitgenerators (RBG) und anderer bewährter Verfahren zur Generierung kryptografischer Schlüssel generiert wurden. Nach Prüfung der Kryptografie-Richtlinie von Webvue kamen sie zu dem Schluss, dass die in den Interviews gewonnenen Informationen korrekt waren. Die kryptografischen Schlüssel werden jedoch weiterhin verwendet, da die Richtlinie die Verwendung und Lebensdauer kryptografischer Schlüssel nicht regelt.
Wie später zwischen Webvue und der Zertifizierungsstelle vereinbart, entschied sich das Audit-Team für ein virtuelles Audit, das sich speziell auf die Überprüfung der Konformität mit Kontrollpunkt 8.11 „Datenmaskierung“ der ISO/IEC 27001 bei Webvue konzentrierte und damit dem Zertifizierungsumfang und den Auditzielen entsprach. Sie untersuchten die Prozesse zum Schutz von Daten in CloudWebvue und legten dabei besonderen Wert darauf, wie das Unternehmen seine Richtlinien und regulatorischen Standards einhielt. Im Rahmen dieses Prozesses fertigte Keith, der Leiter des Audit-Teams, Screenshots relevanter Dokumente und Verfahren zur kryptografischen Schlüsselverwaltung an, um die Effektivität der Praktiken von Webvue zu dokumentieren und zu analysieren.
Webvue verwendet generierte Testdaten für Testzwecke. Wie jedoch sowohl das Interview mit dem Leiter der Qualitätssicherungsabteilung als auch die dort angewandten Verfahren ergaben, werden mitunter auch Live-Systemdaten verwendet. In solchen Fällen werden große Datenmengen generiert, was zu präziseren Ergebnissen führt. Die Testdaten sind geschützt und kontrolliert, wie die Simulation des Verschlüsselungsprozesses durch Webvue-Mitarbeiter während des Audits bestätigte. Im Interview mit dem Leiter der Qualitätssicherungsabteilung stellte Keith fest, dass Mitarbeiter der Abteilung für Sicherheitsschulungen die korrekten Verfahren nicht einhielten, obwohl diese Abteilung nicht zum Auditumfang gehörte. Trotz des Ausschlusses aus dem Auditumfang hat die Nichteinhaltung der Vorschriften in der Abteilung für Sicherheitsschulungen potenzielle Auswirkungen auf die Prozesse innerhalb des Auditumfangs, insbesondere auf die Datensicherheit und die kryptografischen Praktiken von CloudWebvue. Daher nahm Keith diesen Befund in den Auditbericht auf und informierte den Auditierten entsprechend.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Welches Prüfverfahren wurde gemäß Szenario 7 angewendet, um die Konformität bei der Verwendung von Testdaten zu überprüfen?

Sie sind ein erfahrener ISMS-Audit-Teamleiter. Sie bieten eine Einführung in ISO/IEC 27001:2022 für eine Klasse von Qualitätsmanagementsystem-Auditoren, die eine Umschulung anstreben, um sie in die Lage zu versetzen, Audits von Informationssicherheitsmanagementsystemen durchzuführen.
Sie fragen sie, welche der folgenden Informationsmerkmale ein Informationssicherheitsmanagementsystem bewahren soll?
Welche drei Antworten sollten sie geben?

Sie sind ein erfahrener Audit-Teamleiter, der ein externes Überwachungsaudit einer Organisation durchführt, die Websites für ihre Kunden gestaltet. Sie prüfen derzeit die Anwendbarkeitserklärung der Organisation.
Welche zwei der folgenden Beobachtungen zur Anwendbarkeitserklärung sind basierend auf den Anforderungen von ISO/IEC 27001 falsch?

Sie führen ein ISMS-Audit in einem Pflegeheim namens ABC durch, das Gesundheitsdienste anbietet.
Der nächste Schritt in Ihrem Auditplan besteht darin, die Informationssicherheit in Bezug auf die Entwicklung, den Support und den Lebenszyklusprozess der mobilen Gesundheits-App von ABC zu überprüfen. Während des Audits haben Sie erfahren, dass die Organisation die Entwicklung der mobilen App an ein professionelles Softwareentwicklungsunternehmen mit CMMI Level 5, ITSM (ISO
/IEC
20000-1), BCMS (ISO 22301) und ISMS (ISO/IEC 27001) zertifiziert. Der IT-Manager stellte das Software-Sicherheitsmanagementverfahren vor und fasste den Prozess wie folgt zusammen:
Bei der Entwicklung mobiler Apps müssen mindestens die Grundsätze „Security by Design“ und „Security by Default“ eingehalten werden. Die folgenden Sicherheitsfunktionen zum Schutz personenbezogener Daten müssen verfügbar sein:
Zugriffskontrolle.
Verschlüsselung personenbezogener Daten, d. h. Advanced Encryption Standard (AES)-Algorithmus, Schlüssellänge: 256 Bit; und Pseudonymisierung personenbezogener Daten.
Schwachstelle geprüft und keine Sicherheits-Hintertür
Sie erhalten einen Testbericht zum neuesten Mobile-App-Test. Einzelheiten sind wie folgt:

Sie fragen den IT-Manager, warum die Organisation die mobile App noch immer verwendet, obwohl die Tests zur Verschlüsselung und Pseudonymisierung personenbezogener Daten fehlgeschlagen sind. Außerdem fragen Sie, ob der Service Manager berechtigt ist, den Test zu genehmigen.
Der IT-Manager erklärt, dass die Testergebnisse von ihm gemäß dem Software-Sicherheitsmanagementverfahren genehmigt werden müssen. Der Grund, warum die Verschlüsselungs- und Pseudonymisierungsfunktionen fehlgeschlagen sind, liegt darin, dass diese Funktionen die System- und Serviceleistung stark verlangsamt haben. Ein zusätzlicher
Um dies abzudecken, sind 150 % der Ressourcen erforderlich. Der Servicemanager stimmte zu, dass die Zugriffskontrolle gut genug und akzeptabel ist. Aus diesem Grund unterzeichnete der Servicemanager die Genehmigung.
Sie testen ein Mobiltelefon des medizinischen Personals und stellen fest, dass die mobile Gesundheits-App von ABC, Version
1.01 ist installiert. Sie haben festgestellt, dass Version 1.01 keinen Testdatensatz hat.
Der IT-Manager erklärt, dass das externe Unternehmen für die Entwicklung mobiler Apps aufgrund häufiger Ransomware-Angriffe ein kostenloses kleines Update der getesteten Software bereitgestellt, eine Notfallversion der aktualisierten Software veröffentlicht und mündlich garantiert habe, dass keine Sicherheitsfunktionen beeinträchtigt würden. Aufgrund seiner 20-jährigen Erfahrung im Bereich Informationssicherheit bestehe kein Bedarf für einen erneuten Test.
Sie bereiten die Prüfungsergebnisse vor. Wählen Sie zwei richtige Optionen aus.

Szenario 7: Lawsy ist eine führende Anwaltskanzlei mit Niederlassungen in New Jersey und New York City. Über 50 Anwälte bieten ihren Mandanten anspruchsvolle Rechtsdienstleistungen in den Bereichen Wirtschafts- und Handelsrecht, geistiges Eigentum, Bank- und Finanzdienstleistungen an. Sie glauben, dass sie dank ihres Engagements, Best Practices für die Informationssicherheit umzusetzen und über die technologischen Entwicklungen auf dem Laufenden zu bleiben, eine komfortable Marktposition einnehmen.
Lawsy implementiert, bewertet und führt seit zwei Jahren konsequent interne Audits für ein ISMS durch.
Jetzt haben sie die ISO/IEC 27001-Zertifizierung bei ISMA, einer bekannten und vertrauenswürdigen Zertifizierungsstelle, beantragt.
Während des Audits der Stufe 1 überprüfte das Auditteam alle während der Implementierung erstellten ISMS-Dokumente.
Sie überprüften und bewerteten auch die Aufzeichnungen aus Managementbewertungen und internen Audits.
Lawsy legte Nachweise darüber vor, dass bei Bedarf Korrekturmaßnahmen bei Nichtkonformitäten durchgeführt wurden, sodass das Auditteam den internen Prüfer befragte. Das Interview bestätigte die Angemessenheit und Häufigkeit der internen Audits, indem es detaillierte Einblicke in den internen Auditplan und die internen Auditverfahren gab.
Das Auditteam setzte die Überprüfung strategischer Dokumente fort, einschließlich der Informationssicherheitsrichtlinie und der Risikobewertungskriterien. Während der Überprüfung der Informationssicherheitsrichtlinien stellte das Team Inkonsistenzen zwischen den dokumentierten Informationen zur Beschreibung des Governance-Rahmens (dh der Informationssicherheitsrichtlinie) und den Verfahren fest.
Obwohl es den Mitarbeitern erlaubt war, die Laptops außerhalb des Arbeitsplatzes mitzunehmen, verfügte Lawsy nicht über Verfahren für die Verwendung von Laptops in solchen Fällen. Die Richtlinie enthielt lediglich allgemeine Informationen zur Nutzung von Laptops. Das Unternehmen verließ sich auf das Allgemeinwissen der Mitarbeiter, um die Vertraulichkeit und Integrität der auf den Laptops gespeicherten Informationen zu schützen. Dieses Problem wurde im Auditbericht der Stufe 1 dokumentiert.
Nach Abschluss der Prüfung der Stufe 1 erstellte der Leiter des Prüfungsteams den Prüfungsplan, der die Prüfungsziele, den Umfang, die Kriterien und die Verfahren berücksichtigte.
Während der Prüfung der Stufe 2 befragte das Prüfungsteam den Informationssicherheitsmanager, der die Informationssicherheitsrichtlinie entworfen hatte. Er begründete das in Stufe 1 festgestellte Problem damit, dass Lawsy alle drei Monate obligatorische Informationssicherheitsschulungen und Sensibilisierungssitzungen durchführt.
Im Anschluss an das Interview untersuchte das Auditteam 15 Mitarbeiterschulungsaufzeichnungen (von 50) und kam zu dem Schluss, dass Lawsy die Anforderungen von ISO/IEC 27001 in Bezug auf Schulung und Sensibilisierung erfüllt. Um diese Schlussfolgerung zu untermauern, fotokopierten sie die untersuchten Schulungsunterlagen der Mitarbeiter.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Das Auditteam fotokopierte die untersuchten Schulungsunterlagen der Mitarbeiter, um seine Schlussfolgerung zu untermauern. Sollte das Prüfteam eine Genehmigung von Lawsy einholen, bevor es diese Maßnahme ergreift? Siehe Szenario 7.

Welches ist ein Beispiel für einen qualitativen Beweis?

Wenn eine Organisation die für das interne Auditprogramm erforderlichen Ressourcen bestimmen muss, welches der folgenden Probleme hat keine Auswirkungen auf das Erreichen der beabsichtigten Ergebnisse?

Frage
Ein weiterer, von der Zertifizierungsstelle beauftragter Auditor prüft die Arbeitsdokumente des Auditteamleiters, bevor die Auditergebnisse endgültig festgelegt werden. Welche Aussage entspricht den Grundsätzen guter Auditpraxis?

Szenario 7: Lawsy ist eine führende Anwaltskanzlei mit Niederlassungen in New Jersey und New York City. Über 50 Anwälte bieten ihren Mandanten anspruchsvolle Rechtsdienstleistungen in den Bereichen Wirtschafts- und Handelsrecht, geistiges Eigentum, Bank- und Finanzdienstleistungen an. Sie glauben, dass sie dank ihres Engagements, Best Practices für die Informationssicherheit umzusetzen und über die technologischen Entwicklungen auf dem Laufenden zu bleiben, eine komfortable Marktposition einnehmen.
Lawsy implementiert, bewertet und führt seit zwei Jahren konsequent interne Audits für ein ISMS durch.
Jetzt haben sie die ISO/IEC 27001-Zertifizierung bei ISMA, einer bekannten und vertrauenswürdigen Zertifizierungsstelle, beantragt.
Während des Audits der Stufe 1 überprüfte das Auditteam alle während der Implementierung erstellten ISMS-Dokumente.
Sie überprüften und bewerteten auch die Aufzeichnungen aus Managementbewertungen und internen Audits.
Lawsy legte Nachweise darüber vor, dass bei Bedarf Korrekturmaßnahmen bei Nichtkonformitäten durchgeführt wurden, sodass das Auditteam den internen Prüfer befragte. Das Interview bestätigte die Angemessenheit und Häufigkeit der internen Audits, indem es detaillierte Einblicke in den internen Auditplan und die internen Auditverfahren gab.
Das Auditteam setzte die Überprüfung strategischer Dokumente fort, einschließlich der Informationssicherheitsrichtlinie und der Risikobewertungskriterien. Während der Überprüfung der Informationssicherheitsrichtlinien stellte das Team Inkonsistenzen zwischen den dokumentierten Informationen zur Beschreibung des Governance-Rahmens (dh der Informationssicherheitsrichtlinie) und den Verfahren fest.
Obwohl es den Mitarbeitern erlaubt war, die Laptops außerhalb des Arbeitsplatzes mitzunehmen, verfügte Lawsy nicht über Verfahren für die Verwendung von Laptops in solchen Fällen. Die Richtlinie enthielt lediglich allgemeine Informationen zur Nutzung von Laptops. Das Unternehmen verließ sich auf das Allgemeinwissen der Mitarbeiter, um die Vertraulichkeit und Integrität der auf den Laptops gespeicherten Informationen zu schützen. Dieses Problem wurde im Auditbericht der Stufe 1 dokumentiert.
Nach Abschluss der Prüfung der Stufe 1 erstellte der Leiter des Prüfungsteams den Prüfungsplan, der die Prüfungsziele, den Umfang, die Kriterien und die Verfahren berücksichtigte.
Während der Prüfung der Stufe 2 befragte das Prüfungsteam den Informationssicherheitsmanager, der die Informationssicherheitsrichtlinie entworfen hatte. Er begründete das in Stufe 1 festgestellte Problem damit, dass Lawsy alle drei Monate obligatorische Informationssicherheitsschulungen und Sensibilisierungssitzungen durchführt.
Im Anschluss an das Interview untersuchte das Auditteam 15 Mitarbeiterschulungsaufzeichnungen (von 50) und kam zu dem Schluss, dass Lawsy die Anforderungen von ISO/IEC 27001 in Bezug auf Schulung und Sensibilisierung erfüllt. Um diese Schlussfolgerung zu untermauern, fotokopierten sie die untersuchten Schulungsunterlagen der Mitarbeiter.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Lawsy verfügt nicht über ein Verfahren zur Nutzung von Laptops außerhalb des Arbeitsplatzes und verlässt sich auf das allgemeine Wissen der Mitarbeiter, um die Vertraulichkeit der auf den Laptops gespeicherten Informationen zu schützen. Das präsentiert: