IAPP Certified Information Privacy Manager (CIPM Deutsch Version) - CIPM Deutsch Exam Practice Test

Was hat KEINEN Einfluss auf die Privatsphäre außerhalb einer Organisation?

SZENARIO
Bitte verwenden Sie Folgendes, um die nächste FRAGE zu beantworten:
Sie leiten das Datenschutzbüro eines Unternehmens, das Informationen von Personen verarbeitet, die in mehreren Ländern in ganz Europa und Amerika leben. Sie beginnen die Datenschutzüberprüfung an diesem Morgen, als ein Vertragsbeauftragter Ihnen eine Nachricht sendet, in der Sie um einen Anruf gebeten werden. Der Nachricht mangelt es an Klarheit und Details, aber Sie gehen davon aus, dass Daten verloren gegangen sind.
Wenn Sie sich an den Vertragsbeauftragten wenden, teilt er Ihnen mit, dass er per Post einen Brief von einem Anbieter erhalten hat, in dem steht, dass der Anbieter Informationen über Ihre Kunden unrechtmäßig weitergegeben hat. Er rief den Anbieter an und bestätigte, dass Ihr Unternehmen kürzlich genau 2000 Personen zu ihren jüngsten Gesundheitserfahrungen befragt und diese Umfragen an den Anbieter gesendet hat, um sie in eine Datenbank zu übertragen, aber der Anbieter hat vergessen, die Datenbank wie im Vertrag versprochen zu verschlüsseln. Dadurch hat der Anbieter die Kontrolle über die Daten verloren.
Der Anbieter entschuldigt sich sehr und bietet an, die Verantwortung für das Versenden der Benachrichtigungen zu übernehmen. Sie sagen Ihnen, dass sie 2000 frankierte Postkarten beiseite gelegt haben, weil das die Zeit verkürzen sollte, die es braucht, um die Benachrichtigung per Post zu erhalten. Eine Seite ist auf ihr Logo beschränkt, aber die andere Seite ist leer und sie akzeptieren alles, was Sie schreiben möchten. Sie legen ihr Angebot zurück und beginnen, den Text unter Berücksichtigung der Platzbeschränkungen zu entwickeln. Sie sind damit einverstanden, dass das Logo des Anbieters mit der Benachrichtigung verknüpft wird.
In der Benachrichtigung wird erläutert, dass Ihr Unternehmen kürzlich einen Anbieter beauftragt hat, Informationen über seine jüngsten Erfahrungen in der Klinik für Infektionskrankheiten des St. Sebastian-Krankenhauses zu speichern. Der Anbieter hat die Informationen nicht verschlüsselt und hat keine Kontrolle mehr darüber. Alle 2000 betroffenen Personen sind eingeladen, sich für E-Mail-Benachrichtigungen zu ihren Informationen anzumelden. Sie müssen lediglich auf die Website Ihres Unternehmens gehen und sich eine kurze Anzeige ansehen und dann ihren Namen, ihre E-Mail-Adresse sowie Geburtsmonat und -jahr angeben.
Sie schicken dem Incident-Response Council vor 9:00 Uhr eine E-Mail mit der Bitte um Zustimmung. Wenn in dieser Situation etwas schief geht, möchten Sie die Schuld auf Ihre Kollegen verteilen. In den nächsten acht Stunden schickt jeder seine Kommentare per E-Mail hin und her. Der Berater, der das Incident-Response-Team leitet, merkt an, dass dies sein erster Tag im Unternehmen ist, aber er ist seit 45 Jahren in anderen Branchen tätig und wird sein Bestes geben. Einer der drei Anwälte im Rat bringt das Gespräch aus der Bahn, kommt aber schließlich wieder in Gang. Am Ende des Tages stimmen sie dafür, mit der von Ihnen geschriebenen Benachrichtigung fortzufahren und die Postkarten des Verkäufers zu verwenden.
Kurz nachdem der Verkäufer die Postkarten verschickt hat, erfahren Sie, dass sich die Daten auf einem gestohlenen Server befanden, und treffen die Entscheidung, dass Ihr Unternehmen Kreditüberwachungsdienste anbietet. Eine schnelle Internetsuche findet ein Kreditüberwachungsunternehmen mit einem überzeugenden Namen: Credit Under Lock and Key (CRUDLOK). Ihr Vertriebsmitarbeiter hat noch nie einen Vertrag für 2000 Personen bearbeitet, entwickelt aber in etwa einem Tag ein Angebot, das besagt, dass CRUDLOK:
1. Senden Sie am Tag nach Vertragsunterzeichnung eine Registrierungseinladung an alle.
2. Melden Sie jemanden nur mit seinem Vornamen und den letzten 4 seiner nationalen Kennung an.
3. Überwachen Sie die Kreditwürdigkeit jedes Eingeschriebenen für zwei Jahre ab dem Datum der Einschreibung.
4. Senden Sie eine monatliche E-Mail mit ihrer Kreditwürdigkeit und Angeboten für kreditbezogene Dienstleistungen zu Marktpreisen.
5. Stellen Sie Ihrem Unternehmen 20 % der Kosten für eine Kreditwiederherstellung in Rechnung.
Sie führen den Vertrag aus und die Registrierungseinladungen werden per E-Mail an die 2000 Personen gesendet. Drei Tage später setzt man sich hin und dokumentiert alles, was gut gelaufen ist und alles hätte besser laufen können. Sie legen es in einer Datei ab, auf die Sie beim nächsten Vorfall verweisen können.
Welche der folgenden Maßnahmen wurde während des oben genannten Vorfalls RICHTIG durchgeführt?

SZENARIO
Bitte verwenden Sie Folgendes, um die nächste FRAGE zu beantworten:
Martin Briseno ist Personalleiter im Hotel der US-amerikanischen Hotelkette Pacific Suites in Canyon City. 1998 beschloss Briseno, das betriebliche Mentoring-Modell des Hotels durch ein standardisiertes Schulungsprogramm für Mitarbeiter zu ersetzen, die von operativen in Führungspositionen aufstiegen. Er entwickelte ein Curriculum mit Lektionen, Fallstudien und Prüfungen, das in Präsenz in kleinen Gruppen durchgeführt wurde. Aufgrund des wachsenden Interesses an der Schulung arbeitete Briseno mit Personalexperten und Softwareentwicklern zusammen, um das Programm auch online anzubieten. Das Online-Programm sparte die Kosten für einen Trainer und ermöglichte es den Teilnehmern, die Inhalte in ihrem eigenen Tempo zu bearbeiten.
Nachdem Maryanne Silva-Hayes, Vizepräsidentin von Pacific Suites, vom Erfolg des Briseno-Programms erfahren hatte, erweiterte sie das Schulungsangebot und bot es unternehmensweit an. Mitarbeiter, die das Programm erfolgreich absolvierten, erhielten eine Zertifizierung als Pacific Suites Hospitality Supervisor. Bis 2001 hatte sich das Programm zu einem branchenweiten Schulungsangebot entwickelt. Hotelangestellte im ganzen Land konnten sich anmelden und den Kurs online belegen.
Da das Programm zunehmend profitabel wurde, gründete Pacific Suites ein Tochterunternehmen, Pacific Hospitality Training (PHT). PHT konzentrierte sich ausschließlich auf die Entwicklung und Vermarktung verschiedener Online-Kurse und -Kursreihen, die eine Reihe von professionellen Zertifizierungen in der Hotel- und Gastgewerbebranche ermöglichten.
Durch die Einrichtung eines Benutzerkontos bei PHT konnten Kursteilnehmer auf eine Informationsbibliothek zugreifen, sich für Kurse anmelden und Abschlussprüfungen ablegen. Bei der Kontoeröffnung wurden standardmäßig alle Informationen gespeichert, darunter Name, Geburtsdatum, Kontaktdaten, Kreditkarteninformationen, Arbeitgeber und Berufsbezeichnung. Auf der Registrierungsseite gab es eine Option, die Speicherung der Kreditkartendaten zu deaktivieren. Nach der Einrichtung von Benutzername und Passwort konnten die Nutzer ihren Kursstatus einsehen, ihre Zertifikate überprüfen und erneut ausdrucken sowie sich für neue Kurse anmelden und diese bezahlen. Zwischen 2002 und
Im Jahr 2008 stellte PHT mehr als 700.000 professionelle Zertifizierungen aus.
Die Gewinne von PHT sanken 2009 und 2010 aufgrund von Branchenumstrukturierungen und verstärktem Wettbewerb durch E-Learning-Anbieter. 2011 zog sich Pacific Suites aus dem Online-Zertifizierungsgeschäft zurück, und PHT wurde aufgelöst. Die Systeme und Aufzeichnungen des Schulungsprogramms verblieben ungenutzt und ungenutzt in den digitalen Archiven von Pacific Suites. Briseno und Silva-Hayes wechselten zu anderen Unternehmen, und es gab keinen Plan für den Umgang mit den archivierten Daten nach dem Ende des Programms. Nach der Auflösung von PHT konzentrierten sich die Führungskräfte von Pacific Suites auf das operative Tagesgeschäft. Sie planten, sich um die PHT-Materialien zu kümmern, sobald die Ressourcen es zuließen.
Im Jahr 2012 wurde das Computernetzwerk von Pacific Suites gehackt. Durch Schadsoftware, die im Online-Reservierungssystem installiert war, wurden die Kreditkarteninformationen hunderter Hotelgäste offengelegt. Während die Hacker es auf die Finanzdaten der Reservierungsseite abgesehen hatten, entdeckten sie auch archivierte Schulungsdaten und Registrierungskonten von Kunden des Pacific Hospitality Training (PHT). Die Folge des Angriffs war der Diebstahl der Kreditkartennummern kürzlich übernachteter Hotelgäste sowie der gesamten PHT-Datenbank mit all ihren Inhalten.
Ein Systemanalyst von Pacific Suites entdeckte die Sicherheitslücke bei einer routinemäßigen Überprüfung von Aktivitätsberichten. Pacific Suites informierte umgehend Kreditkartenunternehmen und kürzlich im Hotel anwesende Gäste, um größeren Schaden abzuwenden. Die IT-Sicherheitsexperten standen vor der Herausforderung, die PHT-Daten zu sichern.
Die Kursadministratoren und IT-Ingenieure von PHT verfügten über kein System zur Erfassung, Katalogisierung und Speicherung von Informationen. Pacific Suites hatte zwar Verfahren für den Datenzugriff und die Datenspeicherung eingerichtet, diese waren jedoch bei der Gründung von PHT nicht implementiert. Als die PHT-Datenbank von Pacific Suites übernommen wurde, gab es weder einen Verantwortlichen noch eine Aufsichtsbehörde. Bis die IT-Sicherheitsexperten feststellten, welche privaten Informationen kompromittiert worden waren, waren mindestens 8.000 Kreditkarteninhaber potenziellen Opfern betrügerischer Aktivitäten ausgesetzt.
Wie hätte eine solide Datenlebenszyklusmanagement-Richtlinie dazu beitragen können, den Datenverstoß zu verhindern?

SZENARIO
Bitte verwenden Sie Folgendes, um die nächste FRAGE zu beantworten:
Albert arbeitet seit 15 Jahren bei Treasure Box – einem Versandhandelsunternehmen in den Vereinigten Staaten (USA), das früher dekorative Kerzen auf der ganzen Welt verkaufte, aber kürzlich beschlossen hat, seine Lieferungen an Kunden in den 48 angrenzenden Bundesstaaten zu beschränken. Trotz seiner langjährigen Erfahrung wird Albert in Führungspositionen oft übersehen. Seine Frustration darüber, nicht befördert zu werden, zusammen mit seinem jüngsten Interesse an Fragen des Datenschutzes, haben Albert motiviert, sich für positive Veränderungen einzusetzen.
Er wird sich bald für eine neu ausgeschriebene Stelle bewerben, und während des Vorstellungsgesprächs plant Albert, Führungskräfte auf Lücken im Datenschutzprogramm des Unternehmens aufmerksam zu machen. Er ist sich sicher, dass er mit einer Beförderung belohnt wird, weil er negative Folgen verhindert, die sich aus den veralteten Richtlinien und Verfahren des Unternehmens ergeben.
Albert hat zum Beispiel etwas über das Privacy Maturity Model (PMM) der AICPA (American Institute of Certified Public Accountans)/CICA (Canadian Institute of Chartered Accountants) gelernt. Albert hält das Modell für eine nützliche Methode, um die Fähigkeit von Treasure Box zum Schutz personenbezogener Daten zu messen. Albert hat festgestellt, dass Treasure Box die Anforderungen an den höchsten Reifegrad dieses Modells nicht erfüllt; Bei seinem Vorstellungsgespräch wird Albert versprechen, das Unternehmen dabei zu unterstützen, dieses Niveau zu erreichen, um den Kunden die strengsten verfügbaren Sicherheitsvorkehrungen zu bieten.
Albert möchte in seinem Vorstellungsgespräch eine positive Einstellung zeigen. Er beabsichtigt, das Engagement des Unternehmens für die Sicherheit der personenbezogenen Daten von Kunden und Mitarbeitern vor externen Bedrohungen zu loben. Allerdings macht sich Albert Sorgen um die hohe Fluktuationsrate innerhalb des Unternehmens, insbesondere im Bereich Telefondirektmarketing. Jeden Tag sieht er viele unbekannte Gesichter, die für das Marketing angeheuert werden, und er hört in der Kantine oft Beschwerden über lange Arbeitszeiten und niedrige Löhne sowie über scheinbar eklatante Missachtung der Unternehmensabläufe.
Darüber hinaus hatte Treasure Box kürzlich zwei Sicherheitsvorfälle. Das Unternehmen hat auf die Vorfälle mit internen Audits und Aktualisierungen der Sicherheitsmaßnahmen reagiert. Die Gewinne scheinen jedoch immer noch beeinträchtigt zu sein, und anekdotische Beweise deuten darauf hin, dass viele Menschen immer noch Misstrauen hegen. Albert möchte dem Unternehmen helfen, sich zu erholen. Er weiß, dass es mindestens einen Vorfall gibt, von dem die Öffentlichkeit nichts weiß, obwohl Albert die Details nicht kennt. Er glaubt, dass das Beharren des Unternehmens, den Vorfall geheim zu halten, seinem Ruf weiter schaden könnte. Ein weiterer Weg, wie Albert Treasure Box dabei helfen möchte, wieder an Bedeutung zu gewinnen, ist die Einrichtung einer gebührenfreien Nummer für Kunden sowie ein effizienteres Verfahren zur Beantwortung von Kundenanliegen per Post.
Neben seinen Verbesserungsvorschlägen glaubt Albert, dass auch sein Wissen über die jüngsten Geschäftsmanöver des Unternehmens die Interviewer beeindrucken wird. Albert ist sich beispielsweise der Absicht des Unternehmens bewusst, in den kommenden Wochen ein Unternehmen für medizinische Versorgung zu erwerben.
Mit seinem vorausschauenden Denken hofft Albert, die Manager, die ihn interviewen werden, davon zu überzeugen, dass er der Richtige für den Job ist.
Was ist ein wichtiger Faktor, den Albert in Bezug auf die Reaktion von Treasure Box auf ihren jüngsten Sicherheitsvorfall nicht berücksichtigt?

In welcher Phase eines Systementwicklungszyklus (SDLC) werden eine Datenschutzschwellenwertanalyse (PTA), eine Datenschutz-Folgenabschätzung (PIA) und eine Datenschutz-Folgenabschätzung (DPIA) durchgeführt?

Ein neues Unternehmen, das seine Datenschutzrichtlinie erstellt, hat Schwierigkeiten mit der Definition des Begriffs „personenbezogene Daten“. Welche der folgenden Punkte sollten diese Entscheidung beeinflussen?

Was sollte ein Datenschutzexperte bei der Durchführung einer Due-Diligence-Prüfung während einer Akquisition vermeiden?

(Wie kann eine Organisation am besten über Änderungen seitens der Anbieter informiert bleiben, die sich auf die Datenschutzpraktiken der Organisation auswirken könnten?)

SZENARIO
Bitte verwenden Sie Folgendes, um die nächste FRAGE zu beantworten:
Paul Daniels, mit jahrelanger Erfahrung als CEO, macht sich Sorgen um das erfolgreiche Unternehmen seines Sohnes Carlton, Gadgo. Als technologischer Innovator in der Kommunikationsbranche, der schnell profitabel wurde, hat Gadgo seine Startup-Phase hinter sich gelassen. Obwohl es seine lebhafte Energie bewahrt hat, befürchtet Paul, dass das Unternehmen unter Carltons Führung seine Risiken und Verpflichtungen möglicherweise nicht so ernst nimmt, wie es nötig wäre. Paul hat Sie, einen Datenschutzberater, beauftragt, das Unternehmen zu bewerten und sowohl Vater als auch Sohn Bericht zu erstatten. "Carlton wird nicht auf mich hören", sagt Paul, "aber er kann auf einen Experten achten." Gadgos Arbeitsplatz ist ein Clubhaus für Innovation, mit Spielen, Spielzeug, Snacks. Espressomaschinen, riesige Aquarien und sogar ein Leguan, der Sie mit wenig Interesse ansieht. Carlton auch wirkt gelangweilt, als er Ihnen die Verfahren und Technologien des Unternehmens zum Datenschutz beschreibt. Es ist eine lockere Ansammlung von Steuerelementen, denen es an Konsistenz mangelt und die viele Schwächen aufweist. „Das ist ein Technologieunternehmen“, sagt Carlton. „Wir schaffen. Wir erneuern. Ich möchte keine unnötigen Maßnahmen, die die Menschen nur verlangsamen und ihre Gedanken durcheinanderbringen.“ Das Treffen dauert bis zum frühen Abend. Beim Verlassen gehen Sie durch das Büro, es sieht aus, als wäre kürzlich ein starker Sturm durchgeweht, mit Papieren, die über Schreibtische und Tische und sogar auf den Boden verstreut sind. Eine „Reinigungskolonne“ aus einem Teenager leert die Mülleimer. Ein paar Computer sind über Nacht angelassen worden, andere fehlen. Carlton nimmt Ihre Aufmerksamkeit darauf zur Kenntnis: „Die meisten meiner Leute nehmen ihre Laptops mit nach Hause, oder ihre eigenen Tablets oder Telefone verwenden. Ich möchte, dass sie alles nutzen, was ihnen beim Denken hilft, und Tag und Nacht für diese großartige Einsicht bereit sind. Es darf nur einmal kommen!" Welche Phase im Privacy Maturity Model (PMM) weist das Datenschutzprogramm von Gadgo am besten auf?