Eine Organisation prüft den Quellcode der aktualisierten Anwendungsversion nicht, wenn diese automatisch aktualisiert wird. Daher kann die Anwendung unautorisierten Änderungen ausgesetzt sein. Dies stellt eine Schwachstelle dar, die sich auf Informationen auswirken kann.
___________________

• A. Risiko, (2) Verfügbarkeit
• B. Bedrohung, (2) Vertraulichkeit
• C. Schwachstelle, (2) Integrität

Szenario 7: Lawsy ist eine führende Anwaltskanzlei mit Niederlassungen in New Jersey und New York City. Über 50 Anwälte bieten ihren Mandanten anspruchsvolle Rechtsdienstleistungen in den Bereichen Wirtschafts- und Handelsrecht, geistiges Eigentum, Bank- und Finanzdienstleistungen an. Sie glauben, dass sie dank ihres Engagements, Best Practices für die Informationssicherheit umzusetzen und über die technologischen Entwicklungen auf dem Laufenden zu bleiben, eine komfortable Marktposition einnehmen.
Lawsy implementiert, bewertet und führt seit zwei Jahren konsequent interne Audits für ein ISMS durch.
Jetzt haben sie die ISO/IEC 27001-Zertifizierung bei ISMA, einer bekannten und vertrauenswürdigen Zertifizierungsstelle, beantragt.
Während des Audits der Stufe 1 überprüfte das Auditteam alle während der Implementierung erstellten ISMS-Dokumente.
Sie überprüften und bewerteten auch die Aufzeichnungen aus Managementbewertungen und internen Audits.
Lawsy legte Nachweise darüber vor, dass bei Bedarf Korrekturmaßnahmen bei Nichtkonformitäten durchgeführt wurden, sodass das Auditteam den internen Prüfer befragte. Das Interview bestätigte die Angemessenheit und Häufigkeit der internen Audits, indem es detaillierte Einblicke in den internen Auditplan und die internen Auditverfahren gab.
Das Auditteam setzte die Überprüfung strategischer Dokumente fort, einschließlich der Informationssicherheitsrichtlinie und der Risikobewertungskriterien. Während der Überprüfung der Informationssicherheitsrichtlinien stellte das Team Inkonsistenzen zwischen den dokumentierten Informationen zur Beschreibung des Governance-Rahmens (dh der Informationssicherheitsrichtlinie) und den Verfahren fest.
Obwohl es den Mitarbeitern erlaubt war, die Laptops außerhalb des Arbeitsplatzes mitzunehmen, verfügte Lawsy nicht über Verfahren für die Verwendung von Laptops in solchen Fällen. Die Richtlinie enthielt lediglich allgemeine Informationen zur Nutzung von Laptops. Das Unternehmen verließ sich auf das Allgemeinwissen der Mitarbeiter, um die Vertraulichkeit und Integrität der auf den Laptops gespeicherten Informationen zu schützen. Dieses Problem wurde im Auditbericht der Stufe 1 dokumentiert.
Nach Abschluss der Prüfung der Stufe 1 erstellte der Leiter des Prüfungsteams den Prüfungsplan, der die Prüfungsziele, den Umfang, die Kriterien und die Verfahren berücksichtigte.
Während der Prüfung der Stufe 2 befragte das Prüfungsteam den Informationssicherheitsmanager, der die Informationssicherheitsrichtlinie entworfen hatte. Er begründete das in Stufe 1 festgestellte Problem damit, dass Lawsy alle drei Monate obligatorische Informationssicherheitsschulungen und Sensibilisierungssitzungen durchführt.
Im Anschluss an das Interview untersuchte das Auditteam 15 Mitarbeiterschulungsaufzeichnungen (von 50) und kam zu dem Schluss, dass Lawsy die Anforderungen von ISO/IEC 27001 in Bezug auf Schulung und Sensibilisierung erfüllt. Um diese Schlussfolgerung zu untermauern, fotokopierten sie die untersuchten Schulungsunterlagen der Mitarbeiter.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Das Auditteam fotokopierte die untersuchten Schulungsunterlagen der Mitarbeiter, um seine Schlussfolgerung zu untermauern. Sollte das Prüfteam eine Genehmigung von Lawsy einholen, bevor es diese Maßnahme ergreift? Siehe Szenario 7.

• A. Nein, das Auditteam hat die Befugnis, Dokumente zu fotokopieren, um die Konformität eines bestimmten Dokuments mit den Auditkriterien zu überprüfen
• B. Ja. Das Prüfungsteam sollte bei der Überprüfung der Existenz eines Prozesses in allen Fällen die Genehmigung des geprüften Unternehmens einholen, auch beim Anfertigen von Notizen und beim Fotokopieren von Dokumenten
• C. Ja, das Auditteam kann während des Audits beobachtete Dokumente fotokopieren, wenn die geprüfte Stelle dem zustimmt

Sie sind ein erfahrener Audit-Teamleiter, der einen Auditor in der Schulung leitet.
Ihr Team führt derzeit ein Überwachungsaudit durch Dritte bei einer Organisation durch, die Daten im Auftrag externer Kunden speichert. Der Auditor in der Ausbildung wurde damit beauftragt, die in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) aufgeführten und am Standort implementierten PHYSISCHEN Kontrollen zu überprüfen.
Wählen Sie aus den folgenden vier Kontrollen aus, die der Auditor in der Schulung Ihrer Meinung nach überprüfen sollte.

• A. Die Geschäftskontinuitätsvereinbarungen der Organisation
• B. Der Betrieb der CCTV- und Türkontrollsysteme am Standort
• C. Bewusstsein für Informationssicherheit, Bildung und Schulung
• D. Die Entwicklung und Pflege eines Informationsressourceninventars
• E. Zugang zur und von der Laderampe
• F. Wie Strom- und Datenkabel in das Gebäude gelangen
• G. Die Vereinbarungen der Organisation zur Wartung der Ausrüstung
• H. Die Durchführung von Überprüfungen des Personals

Szenario 1: Fintive ist ein angesehener Sicherheitsanbieter für Online-Zahlungen und Schutzlösungen. Fintive wurde 1999 von Thomas Fin in San Jose, Kalifornien, gegründet und bietet Dienstleistungen für Unternehmen an, die online tätig sind und ihre Informationssicherheit verbessern, Betrug verhindern und Benutzerinformationen wie personenbezogene Daten schützen möchten. Fintive konzentriert seine Entscheidungs- und Betriebsprozesse auf der Grundlage früherer Fälle. Sie sammeln Kundendaten, klassifizieren sie je nach Fall und analysieren sie. Um solch komplexe Analysen durchführen zu können, benötigte das Unternehmen eine große Anzahl an Mitarbeitern. Nach einigen Jahren hat sich jedoch auch die Technologie weiterentwickelt, die bei der Durchführung solcher Analysen hilft. Nun plant Fintive den Einsatz eines modernen Tools, eines Chatbots, um Musteranalysen zur Betrugsprävention in Echtzeit durchzuführen. Dieses Tool würde auch dazu beitragen, den Kundenservice zu verbessern.
Diese ursprüngliche Idee wurde dem Softwareentwicklungsteam mitgeteilt, das sie unterstützte und mit der Arbeit an diesem Projekt beauftragt wurde. Sie begannen mit der Integration des Chatbots in ihr bestehendes System. Darüber hinaus setzte sich das Team für den Chatbot das Ziel, 85 % aller Chat-Anfragen zu beantworten.
Nach der erfolgreichen Integration des Chatbots gab das Unternehmen diesen umgehend seinen Kunden zur Nutzung frei.
Der Chatbot schien jedoch einige Probleme zu haben.
Aufgrund unzureichender Tests und fehlender Beispiele, die dem Chatbot während der Trainingsphase, in der er das Abfragemuster „lernen“ sollte, zur Verfügung gestellt wurden, konnte der Chatbot Benutzeranfragen nicht beantworten und die richtigen Antworten liefern. Darüber hinaus schickte der Chatbot zufällige Dateien an Benutzer, wenn er ungültige Eingaben wie seltsame Punktmuster und Sonderzeichen erhielt. Daher war der Chatbot nicht in der Lage, Kundenanfragen richtig zu beantworten und der herkömmliche Kundensupport war mit Chatanfragen überlastet und konnte den Kunden daher nicht bei ihren Anliegen helfen.
Daher hat Fintive eine Softwareentwicklungsrichtlinie festgelegt. In dieser Richtlinie wurde festgelegt, dass die Software unabhängig davon, ob sie intern entwickelt oder ausgelagert wird, vor ihrer Implementierung auf Betriebssystemen einem Black-Box-Test unterzogen wird.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Unzureichende Tests und fehlende Proben, die dem Chatbot von Fintive während der Trainingsphase zur Verfügung gestellt werden, gelten als 1.
Siehe Szenario

• A. Bedrohungen
• B. Schwachstellen
• C. Risiken