PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor Korean Version) - ISO-IEC-27001-Lead-Auditor Korean Exam Practice Test

시나리오 9: 테크매닉(Techmanic)은 1995년에 설립되어 현재 브뤼셀에서 운영 중인 벨기에 기업입니다. IT 컨설팅, 소프트웨어 설계, 하드웨어/소프트웨어 서비스(배포 및 유지보수 포함)를 제공합니다. 공공 서비스, 금융, 통신, 에너지, 의료, 교육 등 다양한 분야에 서비스를 제공하며, 고객 중심 기업으로서 강력한 고객 관계 구축과 최고 수준의 보안 관행을 최우선으로 생각합니다.
Techmanic은 ISO/IEC 27001 인증을 획득한 지 1년이 되었으며, 이 인증을 매우 자랑스럽게 생각합니다. 인증 심사 과정에서 심사관은 Techmanic의 ISMS 구현에 있어 몇 가지 불일치 사항을 발견했습니다. 하지만 이러한 사항들이 ISMS의 목표 달성 능력에 영향을 미치지 않았기 때문에, 심사관은 근본 원인 분석 및 시정 조치를 원격으로 진행한 후 Techmanic에 인증을 부여했습니다. 같은 해, Techmanic은 서비스 목록에 호스팅을 추가하고 해당 분야까지 인증 범위를 확장해 줄 것을 요청했습니다. 담당 심사관은 이 요청을 승인하고 Techmanic에 사후 심사 중에 확장 심사를 진행할 것이라고 통보했습니다. Techmanic은 사후 심사를 통해 자사의 ISMS가 ISO/IEC 27001을 준수하고 있으며, 지속적인 효과성을 유지하고 있는지 확인했습니다. 이번 사후 심사는 최근 추가된 호스팅 서비스를 포함한 Techmanic의 보안 관행이 인증의 엄격한 요구 사항을 완벽하게 충족하는지 확인하는 데 중점을 두었습니다. 심사관은 특히 IT 컨설팅 부문에서 추가 재인증 심사의 필요성을 없애기 위해 이전 사후 심사 보고서의 결과를 전략적으로 활용하여 재인증 절차를 진행했습니다. 지속적인 개선과 과거 평가로부터 배우는 것의 가치를 인식합니다.
테크매닉은 이전 사후 심사 보고서를 검토하는 관행을 도입했습니다. 이러한 선제적 접근 방식은 잠재적인 부적합 사항을 파악하고 해결하는 데 도움이 되었을 뿐만 아니라 IT 컨설팅 분야의 재인증 절차를 간소화하는 데에도 기여했습니다.
사후 심사 과정에서 몇 가지 부적합 사항이 발견되었습니다. 하지만 ISMS는 ISO/IEC 기준을 계속해서 충족했습니다.
테크매닉은 ISO/IEC 27001 요구사항을 충족했지만, 내부 감사자가 보고한 호스팅 서비스 관련 부적합 사항을 해결하지 못했습니다. 또한, 내부 감사 보고서에는 여러 가지 불일치가 있어 호스팅 서비스 감사 과정에서 내부 감사자의 독립성에 의문이 제기되었습니다. 이러한 이유로 확장 인증이 부여되지 않았습니다. 결과적으로 테크매닉은 다른 인증 기관으로의 이전을 요청했습니다. 이와 동시에 테크매닉은 고객들에게 ISO/IEC 27001 인증이 호스팅 서비스뿐만 아니라 IT 서비스까지 포함한다는 내용의 성명을 발표했습니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
ISO/IEC 17021-1에 따르면 사후 심사의 목적은 무엇입니까?

시나리오 9: 네트워킹 회사인 UpNet은 ISO/IEC 27001 인증을 받았습니다. 이 회사는 네트워크 보안, 가상화, 클라우드 컴퓨팅, 네트워크 하드웨어, 네트워크 관리 소프트웨어 및 네트워킹 기술을 제공합니다.
ISO/IEC 27001 인증을 획득한 이후 회사의 인지도가 크게 높아졌습니다. 이 인증은 UpNefs 운영의 성숙도와 널리 인정되고 수용되는 표준을 준수함을 확인했습니다.
하지만 인증 후 모든 것이 끝난 것은 아닙니다. UpNet은 내부 감사를 실시하여 보안 통제와 ISMS의 전반적인 효과성과 효율성을 지속적으로 검토하고 개선했습니다. 최고 경영진은 풀타임 내부 감사팀을 고용할 의향이 없었기 때문에 내부 감사 기능을 아웃소싱하기로 결정했습니다. 이러한 형태의 내부 감사는 독립성, 객관성을 보장했으며 ISMS의 지속적인 개선에 대한 자문 역할을 수행했습니다.
초기 인증 감사 후 얼마 지나지 않아 회사는 데이터 및 스토리지 제품을 전문으로 하는 새로운 부서를 만들었습니다. 그들은 데이터 센터와 네트워크 가상화 및 네트워크 보안 어플라이언스와 같은 소프트웨어 기반 네트워킹 장치에 최적화된 라우터와 스위치를 제공했습니다. 이로 인해 ISMS 인증 범위에 이미 포함된 다른 부서의 운영이 변경되었습니다.
따라서 UpNet은 위험 평가 프로세스와 내부 감사를 시작했습니다. 내부 감사 결과에 따라 회사는 기존 및 새로운 프로세스와 통제의 효과성과 효율성을 확인했습니다.
최고 경영진은 ISO/IEC 27001 요구 사항을 준수하기 때문에 새로운 부서를 인증 범위에 포함하기로 결정했습니다. UpNet은 ISO/IEC 27001 인증을 받았으며 인증 범위가 회사 전체를 포함한다고 발표했습니다.
최초 인증 감사 후 1년 만에, 인증 기관은 UpNefs ISMS에 대한 또 다른 감사를 실시했습니다.
이 감사는 UpNefs ISMS가 지정된 ISO/IEC 27001 요구 사항을 충족하는지 확인하고 ISMS가 지속적으로 개선되고 있는지 확인하는 것을 목표로 했습니다. 감사팀은 인증된 ISMS가 표준의 요구 사항을 계속 충족하고 있음을 확인했습니다. 그럼에도 불구하고 새로운 부서는 관리 시스템을 관리하는 데 상당한 영향을 미쳤습니다. 게다가 인증 기관에는 어떠한 변경 사항도 알리지 않았습니다. 따라서 UpNefs 인증은 중단되었습니다.
위의 시나리오를 토대로 다음 질문에 답하세요.
UpNet은 새로운 부서가 ISO/IEC 27001 요구 사항을 준수하도록 보장하면 ISMS 인증 범위가 회사 전체를 포괄한다고 발표했습니다. 시나리오 9에 설명된 이 상황을 어떻게 분류하시겠습니까?

비밀번호를 보호하기 위한 지침은 다음과 같습니다.

질문:
ISO/IEC 27001 5.1항(리더십 및 헌신)에 따르면, 다음 중 최고 경영진의 책임이 아닌 것은 무엇입니까?

질문:
감사를 수행하기 전에 피감사자와 감사팀이 원격 접속 프로토콜에 합의해야 하는 감사 유형은 무엇입니까?

금융 회사인 PayBell은 회계 소프트웨어를 사용하여 금융 거래를 추적하고 있습니다. 이 소프트웨어는 인터넷에 연결된 모든 곳에서 액세스할 수 있습니다. 또한 PayBell의 직원들이 서로 쉽게 협업하여 정확한 재무 보고를 보장할 수 있습니다. PayBell은 어떤 유형의 서비스를 사용하고 있습니까?

시나리오 5: 런던에 위치한 보험 회사인 Cobt는 다양한 상업, 산업 및 생명 보험 상품을 제공합니다. 최근 몇 년 동안 Cobt의 고객 수는 크게 증가했습니다. 처리해야 할 데이터 양이 방대해짐에 따라, 회사는 ISO/IEC 27001 인증을 획득함으로써 정보 보안을 강화하고 지속적인 개선에 대한 의지를 보여줄 수 있을 것이라고 판단했습니다. 회사는 정기적인 위험 평가를 수행하는 데는 익숙했지만, 정보 보안 관리 시스템(ISMS)을 도입하면서 일상 업무에 상당한 변화가 생겼습니다. 위험 평가 과정에서 조직의 내부 통제 메커니즘을 통해 감지되거나 예방되지 않은 중대한 결함이 발생할 수 있는 위험이 확인되었습니다.
Cobt는 ISMS(정보 보안 관리 시스템) 구현을 위한 방법론을 따랐고, 불과 몇 달 만에 운영 가능한 ISMS를 구축했습니다. ISMS 구현에 성공한 후, Cobt는 ISO/IEC 27001 인증을 신청했습니다. 경험이 풍부한 심사원인 Sarah가 심사팀에 배정되었습니다. Sarah는 심사 제안서를 꼼꼼히 분석한 후 심사팀장으로서의 책임을 수락하고 즉시 Cobt에 대한 일반 정보를 수집하기 시작했습니다. 그녀는 심사 기준과 목표를 설정하고, 심사 계획을 수립하고, 심사팀 구성원들에게 책임을 할당했습니다.
사라는 Cobt가 다양한 상업 및 보험 솔루션을 제공하며 크게 확장했지만 여전히 일부 수동 프로세스에 의존하고 있음을 인지했습니다. 따라서 그녀의 초기 목표는 회사의 정보 보안 위험 관리 방식을 파악하는 것이었습니다. 사라는 Cobt 담당자에게 연락하여 감사 계획의 일부로 당초 합의된 대로 외부 검토를 위해 위험 관리 관련 정보에 대한 접근을 요청했습니다. 그러나 Cobt는 해당 정보가 회사 외부로 접근하기에는 너무 민감하다는 이유로 거부했습니다. 이러한 거부는 감사의 실현 가능성, 특히 피감사자의 협조 및 증거 접근성에 대한 우려를 불러일으켰습니다. 또한 Cobt는 감사 일정이 회사의 최근 변경 사항을 제대로 반영하지 못하고 있다고 지적하며, 감사 과정에서 수행될 조치가 초기 감사 범위에만 적용되고 최근 변경 사항은 포함하지 않는다고 우려를 제기했습니다. 사라는 또한 거부된 정보가 감사 목표에 미치는 중요성을 고려하여 상황의 중요성을 평가했습니다. 이 경우 Cobt의 거부는 감사의 완전성과 합리적인 확신을 제공할 수 있는 능력에 대한 의문을 제기했습니다. 이러한 상황들을 계기로, 사라 씨는 인증 계약 체결 전에 감사를 철회하기로 결정하고 Cobt와 인증 기관에 자신의 결정을 통보했습니다. 이러한 결정은 감사 원칙을 준수하고 투명성을 유지하기 위한 것이며, 사라 씨가 이러한 원칙을 꾸준히 지켜나가겠다는 의지를 보여주는 것입니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
시나리오 5에 설명된 사라의 역할을 바탕으로, 다음 중 그녀의 책임에 포함되지 않아야 할 것은 무엇입니까?

시나리오 6: Cyber ​​ACrypt는 악성코드 방지 및 장치 보안, 자산 수명 주기 관리, 장치 암호화를 제공하여 엔드포인트 보호 서비스를 제공하는 사이버 보안 회사입니다. ISO/IEC 27001에 따라 자사의 ISMS를 검증하고 사이버 보안 우수성에 대한 노력을 입증하기 위해, 이 회사는 임명된 감사팀장인 존이 주도하는 철저한 감사 과정을 거쳤습니다.
감사 위임을 수락한 존은 즉시 감사 계획과 팀 구성원의 역할을 설명하는 회의를 소집했습니다. 이 단계는 팀이 감사의 목표와 범위에 맞춰 나갈 수 있도록 하는 데 매우 중요했습니다. 그러나 사이버 크립트 직원들을 대상으로 한 초기 발표에서 감사의 범위와 목표에 대한 이해에 상당한 격차가 드러났고, 이는 회사 내 준비 부족 가능성을 시사했습니다. 1단계 감사가 시작되면서 팀은 현장 활동을 위한 준비를 시작했습니다. 감사팀은 사이버 어크립트의 정보 보안 정책 및 운영 절차를 포함한 문서화된 정보를 검토하여 각 문서가 작성자, 작성일, 버전 번호 및 승인일을 포함하여 표준화된 형식을 준수하는지 확인했습니다. 또한 각 문서에 표준의 해당 조항에서 요구하는 정보가 포함되어 있는지 확인했습니다. 이 단계에서 작업 실행을 설명하는 문서에 대한 상세 감사는 불필요하다는 점이 밝혀져 프로세스가 간소화되고 감사팀은 핵심 영역에 집중할 수 있었습니다. 현장 활동 단계에서는 사이버 어크립트의 정책에 대한 경영진의 책임을 평가했습니다. 이 철저한 검토는 지속적인 개선과 ISMS 요구 사항 준수 여부를 확인하기 위한 것이었습니다. 이후 1단계 감사 결과 문서 작성 단계에서 감사팀은 1단계 목표 달성과 관련된 결론을 강조하며 감사 결과를 꼼꼼하게 문서화했습니다. 이 문서는 감사팀과 사이버 어크립트가 예비 감사 결과와 개선이 필요한 영역을 이해하는 데 매우 중요했습니다.
감사팀은 주요 이해 관계자들과 인터뷰를 진행하기로 결정했습니다. 이러한 결정은 경영 시스템이 ISO 표준을 준수하는지 검증하기 위한 확실한 감사 증거를 수집하려는 목적에 따른 것이었습니다.
IEC 27001 요구사항을 준수했습니다. 사이버 크립트의 다양한 직급의 이해 관계자들과 소통하면서 감사팀은 귀중한 관점을 얻고 ISMS의 구현 및 효과성을 이해할 수 있었습니다.
1단계 감사 보고서에서 중요한 문제점들이 드러났습니다. 적용 범위 명세서(SoA)와 정보보안관리시스템(ISMS) 정책은 불충분한 위험 평가, 부적절한 접근 제어, 정기적인 정책 검토 부족 등 여러 측면에서 미흡한 것으로 나타났습니다. 이에 사이버 크립트는 이러한 문제점들을 해결하기 위해 즉각적인 조치를 취했습니다. 신속한 대응과 전략 문서 수정은 규정 준수 달성에 대한 강력한 의지를 보여주었습니다.
감사팀의 사이버 보안 지식 격차를 해소하기 위해 투입된 기술 전문가는 위험 평가 방법론의 미비점을 파악하고 네트워크 아키텍처를 검토하는 데 중추적인 역할을 했습니다. 여기에는 방화벽, 침입 탐지 및 방지 시스템, 기타 네트워크 보안 조치 평가뿐만 아니라 Cyber ​​ACrypt가 외부 및 내부 위협을 탐지, 대응 및 복구하는 방식에 대한 평가도 포함되었습니다. 존의 감독 하에 기술 전문가는 감사 결과를 Cyber ​​ACrypt 담당자에게 전달했습니다. 그러나 감사팀은 해당 전문가가 피감사 기업으로부터 컨설팅 비용을 받았기 때문에 객관성이 훼손되었을 가능성이 있다고 판단했습니다. 감사팀장은 감사 과정에서 기술 전문가의 행동을 고려하여 이 문제를 인증 기관과 논의하기로 결정했습니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
시나리오 6을 바탕으로, 1단계 감사 과정에서 진행된 인터뷰의 목표는 감사팀에 의해 적절하게 설정되었습니까?

조직과 이해 관계자에게 ISO/IEC 27001:2022에 따른 정보 보안 관리 시스템에 대한 제3자 공인 인증을 제공하는 데에는 어떤 두 가지 이점이 있습니까?

질문:
조직의 정보보안관리시스템(ISMS)에 기록된 정보와 관련하여 다음 중 잘못된 설명은 무엇입니까?

시나리오 3: NightCore는 미국에 본사를 둔 다국적 기술 회사로, 전자상거래, 클라우드 컴퓨팅, 디지털 스트리밍, 인공지능에 중점을 두고 있습니다. 8개월 이상 정보 보안 관리 시스템(ISMS)을 구현한 후, ISO/IEC 27001 인증을 받기 위해 제3자 감사를 실시하는 인증 기관과 계약을 맺었습니다.
인증 기관은 7명의 감사원 팀을 구성했습니다. 가장 경험이 많은 감사원인 잭이 감사팀 리더로 지정되었습니다. 그는 수년에 걸쳐 ISO/IEC 27001 리드 감사원, CISA, CISSP, CISM 등 많은 유명한 자격증을 취득했습니다.
Jack은 NightCore에서 구현한 모든 정보 보안 요구 사항과 통제를 연구하고 평가하여 ISMS 감사의 각 단계에 대한 철저한 분석을 수행했습니다. 2단계 감사 동안 Jack은 여러 가지 불일치 사항을 발견했습니다. 소프트웨어 라이선스에 대한 구매 송장 수를 소프트웨어 인벤토리와 비교한 후 Jack은 회사가 많은 컴퓨터에 소프트웨어의 불법 버전을 사용하고 있다는 것을 알아냈습니다. 그는 최고 경영진에게 이 불일치 사항에 대한 설명을 요청하고 이를 알고 있는지 확인하기로 결정했습니다. 그의 다음 단계는 NightCore의 IT 부서를 감사하는 것이었습니다. 최고 경영진은 NightCore의 시스템 관리자인 Tom을 가이드 역할을 맡고 Jack과 감사팀을 시스템 내부 작동과 디지털 자산 인프라로 안내하도록 지정했습니다.
재무부 직원을 인터뷰하는 동안 감사원들은 회사가 최근에 컨설턴트 중 한 명에게 비정상적으로 큰 거래를 했다는 사실을 발견했습니다. 거래에 대한 모든 필요한 세부 정보를 수집한 후, 잭은 최고 경영진을 직접 인터뷰하기로 결정했습니다.
첫 번째 불일치에 대해 논의할 때, 최고 경영진은 잭에게 더 저렴하기 때문에 원본 소프트웨어 대신 복사된 소프트웨어를 사용하기로 기꺼이 결정했다고 말했습니다. 잭은 NightCore의 최고 경영진에게 불법 버전의 소프트웨어를 사용하는 것은 ISO/IEC 27001 및 국가 법률 및 규정의 요구 사항에 어긋난다고 설명했습니다. 하지만 그들은 그것에 대해 괜찮은 듯했습니다.
감사가 끝난 지 몇 달 후, 잭은 감사 기간 동안 수집한 나이트코어의 정보 중 일부를 나이트코어의 경쟁사에게 엄청난 금액에 판매했습니다.
이 시나리오를 바탕으로 다음 질문에 답하세요.
시나리오 3에 따르면 잭은 감사 후 NightCore의 정보를 판매하면서 어떤 감사 원칙을 위반했습니까?

질문
법적 및 계약적 의무 불이행 시 발생하는 부적합 비용이나 벌금과 같은 요소는 다음 중 어느 것을 정의할 때 평가됩니까?