PECB ISO-IEC-27001-Lead-Auditor Deutsch Value Pack (Frequently Bought Together)

Szenario 3: NightCore ist ein multinationales Technologieunternehmen mit Sitz in den USA, das sich auf E-Commerce, Cloud Computing, digitales Streaming und künstliche Intelligenz konzentriert. Nachdem über acht Monate lang ein Informationssicherheitsmanagementsystem (ISMS) implementiert wurde, beauftragte man eine Zertifizierungsstelle mit der Durchführung eines externen Audits, um sich nach ISO/IEC 27001 zertifizieren zu lassen.
Die Zertifizierungsstelle hat ein Team von sieben Auditoren zusammengestellt. Jack, der erfahrenste Prüfer, wurde zum Leiter des Prüfungsteams ernannt. Im Laufe der Jahre erhielt er viele bekannte Zertifizierungen, darunter den ISO/IEC 27001 Lead Auditor, CISA, CISSP und CISM.
Jack führte in jeder Phase des ISMS-Audits gründliche Analysen durch, indem er alle von NightCore implementierten Informationssicherheitsanforderungen und -kontrollen untersuchte und bewertete. Während des Audits der Stufe 2. Jack hat mehrere Nichtkonformitäten festgestellt. Nachdem er die Anzahl der gekauften Rechnungen für Softwarelizenzen mit dem Softwarebestand verglichen hatte, fand Jack heraus, dass das Unternehmen auf vielen Computern illegale Versionen einer Software verwendet hatte. Er beschloss, das Top-Management um eine Erklärung dieser Nichtkonformität zu bitten und zu prüfen, ob sie sich dessen bewusst waren. Sein nächster Schritt war die Prüfung der IT-Abteilung von NightCore. Das Top-Management beauftragte Tom, den Systemadministrator von NightCore, als Führer zu fungieren und Jack und das Prüfungsteam bei der Einführung in das Innenleben ihres Systems und ihrer digitalen Asset-Infrastruktur zu begleiten.
Bei der Befragung eines Mitglieds des Finanzministeriums stellten die Prüfer fest, dass das Unternehmen kürzlich einige ungewöhnlich große Transaktionen mit einem seiner Berater getätigt hatte. Nachdem Sie alle notwendigen Details zu den Transaktionen gesammelt haben. Jack beschloss, das Top-Management direkt zu befragen.
Als die erste Nichtkonformität besprochen wurde, teilte das Top-Management Jack mit, dass sie sich bereitwillig dafür entschieden hätten, eine kopierte Software anstelle der Originalsoftware zu verwenden, da diese billiger sei. Jack erklärte dem Top-Management von NightCore, dass die Verwendung illegaler Softwareversionen gegen die Anforderungen von ISO/IEC 27001 und die nationalen Gesetze und Vorschriften verstößt. Sie schienen jedoch damit einverstanden zu sein.
Einige Monate nach dem Audit verkaufte Jack einige der Informationen von NightCore, die er während des Audits gesammelt hatte, für einen riesigen Geldbetrag an Konkurrenten von NightCore.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Basierend auf Szenario 3. Welche ISO/IEC 27001-Kontrolle hat NightCore ignoriert, als eine illegale Softwareversion verwendet wurde?

• A. Anhang A 5.10 Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten
• B. Anhang A 5.32 Geistige Eigentumsrechte
• C. Anhang A 5.1 Richtlinien zur Informationssicherheit

Szenario 6: Cyber ​​ACrypt ist ein Cybersicherheitsunternehmen, das Endpunktschutz durch Malware-Abwehr, Gerätesicherheit, Asset-Lifecycle-Management und Geräteverschlüsselung anbietet. Um sein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 zu validieren und sein Engagement für höchste Cybersicherheitsstandards zu demonstrieren, unterzog sich das Unternehmen einem sorgfältigen Auditprozess unter der Leitung von John, dem beauftragten Audit-Teamleiter.
Nach Annahme des Prüfungsauftrags organisierte John umgehend ein Treffen, um den Prüfungsplan und die Teamrollen zu erläutern. Diese Phase war entscheidend, um das Team auf die Ziele und den Umfang der Prüfung auszurichten. Die erste Präsentation vor den Mitarbeitern von Cyber ​​ACrypt offenbarte jedoch eine erhebliche Lücke im Verständnis des Prüfungsumfangs und der Prüfungsziele, was auf potenzielle Herausforderungen hinsichtlich der Vorbereitung innerhalb des Unternehmens hindeutete. Mit Beginn der Phase-1-Prüfung bereitete sich das Team auf die Aktivitäten vor Ort vor. Sie überprüften die dokumentierten Informationen von Cyber ​​ACrypt, einschließlich der Informationssicherheitsrichtlinie und der betrieblichen Verfahren, und stellten sicher, dass jedes Dokument den Standards entsprach und in Bezug auf Format, Autor, Erstellungsdatum, Versionsnummer und Genehmigungsdatum standardisiert war. Darüber hinaus stellte das Auditteam sicher, dass jedes Dokument die in der jeweiligen Klausel der Norm geforderten Informationen enthielt. Diese Phase ergab, dass ein detailliertes Audit der Dokumentation zur Aufgabenausführung nicht erforderlich war, wodurch der Prozess optimiert und die Bemühungen des Teams auf kritische Bereiche konzentriert wurden. Während der Vor-Ort-Aktivitäten bewertete das Team die Managementverantwortung für die Richtlinien von Cyber ​​ACrypt. Diese gründliche Prüfung zielte darauf ab, kontinuierliche Verbesserungen und die Einhaltung der ISMS-Anforderungen sicherzustellen. Anschließend dokumentierte das Auditteam in der Dokumentation der Ergebnisse der ersten Phase seine Feststellungen sorgfältig und unterstrich seine Schlussfolgerungen hinsichtlich der Erfüllung der Ziele der ersten Phase. Diese Dokumentation war für das Auditteam und Cyber ​​ACrypt unerlässlich, um die vorläufigen Auditergebnisse und die Handlungsfelder zu verstehen.
Das Auditteam beschloss außerdem, Interviews mit wichtigen Interessengruppen zu führen. Diese Entscheidung wurde durch das Ziel motiviert, aussagekräftige Auditnachweise zu sammeln, um die Konformität des Managementsystems mit der ISO zu bestätigen.
Die Anforderungen der IEC 27001 wurden erfüllt. Der Austausch mit Interessengruppen auf verschiedenen Ebenen von Cyber ​​ACrypt lieferte dem Auditteam wertvolle Einblicke und ein Verständnis für die Implementierung und Wirksamkeit des ISMS.
Der Prüfbericht der ersten Phase deckte gravierende Mängel auf. Die Anwendbarkeitserklärung (SoA) und die ISMS-Richtlinie wiesen in mehreren Punkten Defizite auf, darunter eine unzureichende Risikobewertung, ungenügende Zugriffskontrollen und fehlende regelmäßige Richtlinienüberprüfungen. Dies veranlasste Cyber ​​ACrypt zu sofortigen Maßnahmen, um diese Mängel zu beheben. Die prompte Reaktion und die vorgenommenen Anpassungen der strategischen Dokumente zeugten von einem starken Engagement für die Einhaltung der Vorschriften.
Die technische Expertise, die zur Schließung der Wissenslücken des Audit-Teams im Bereich Cybersicherheit hinzugezogen wurde, spielte eine entscheidende Rolle bei der Identifizierung von Schwächen in der Risikobewertungsmethodik und der Überprüfung der Netzwerkarchitektur. Dies umfasste die Bewertung von Firewalls, Intrusion-Detection- und -Prevention-Systemen sowie anderer Netzwerksicherheitsmaßnahmen. Außerdem wurde geprüft, wie Cyber ​​ACrypt externe und interne Bedrohungen erkennt, darauf reagiert und sich davon erholt. Unter Johns Leitung übermittelte der technische Experte die Ergebnisse des Audits an die Vertreter von Cyber ​​ACrypt. Das Audit-Team stellte jedoch fest, dass die Objektivität des Experten möglicherweise durch den Erhalt von Beratungsgebühren vom Auditierten beeinträchtigt war. Angesichts des Verhaltens des technischen Experten während des Audits beschloss der Leiter des Audit-Teams, diesen Sachverhalt mit der Zertifizierungsstelle zu besprechen.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Ist die Entscheidung des Audit-Teamleiters hinsichtlich des Verhaltens des technischen Experten auf Grundlage von Szenario 6 akzeptabel?

• A. Ja, wenn der Auditor Zweifel an der Objektivität des technischen Experten hat, muss er seine Bedenken mit der Zertifizierungsstelle besprechen.
• B. Nein, der Leiter des Prüfungsteams hätte den Sachverhalt direkt der Geschäftsleitung melden müssen.
• C. Nein, die Objektivität des Experten in Frage zu stellen, ist kein triftiger Grund für den Leiter des Auditteams, die Angelegenheit mit der Zertifizierungsstelle zu besprechen.

Nach der Ausarbeitung der Audit-Schlussfolgerungen wurden die Arbeitsunterlagen des Audit-Teamleiters von einem weiteren, von der Zertifizierungsstelle ausgewählten Auditor überprüft. Ist das akzeptabel?

• A. Nein, die Arbeit des Audit-Teamleiters muss überprüft werden, bevor eine Audit-Schlussfolgerung gezogen wird
• B. Nein. Es ist nur der Audit-Teamleiter, der die Arbeitsdokumente jedes Auditors überprüft
• C. Ja, die Arbeitsdokumente des Audit-Teamleiters müssen von einem anderen Auditor überprüft werden, nachdem Audit-Schlussfolgerungen gezogen wurden

Bitte ordnen Sie die folgenden Situationen der Art der erforderlichen Prüfung zu.

Szenario 2
Knight ist ein Elektronikunternehmen mit Sitz in Nordkalifornien, USA, das Videospielkonsolen entwickelt.
Knight, mit über 300 Mitarbeitern weltweit, feiert sein fünfjähriges Bestehen mit der Einführung der G-Console, einer Gaming-Konsole der nächsten Generation für den internationalen Markt. Die G-Console gilt als die ultimative Medienmaschine des Jahres 2021 und verspricht Spielern ein unvergleichliches Spielerlebnis. Das Konsolenpaket enthält zwei VR-Headsets, zwei Spiele und weitere Geschenke.
Das Unternehmen hat sich über die Jahre einen hervorragenden Ruf für Integrität, Ehrlichkeit und Respekt gegenüber seinen Kunden erworben. Neben seiner ausgeprägten Kundenorientierung genießt Knight aufgrund seiner hohen Qualität auch in der Spielebranche hohes Ansehen.
Als einer der weltweit führenden Entwickler von Videospielkonsolen ist Knight häufig Zielscheibe von Cyberkriminalität. Daher hat das Unternehmen ein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 implementiert und dessen Geltungsbereich den Mitarbeitern in wöchentlichen Meetings erläutert.
Kürzlich wurde Knight jedoch Opfer eines Sicherheitsvorfalls, bei dem Hacker firmeneigene Informationen veröffentlichten. Das Incident-Response-Team (IRT) leitete daraufhin umgehend eine gründliche Untersuchung des Systems und der genauen Umstände des Vorfalls ein. Zunächst vermutete das IRT, dass Mitarbeiter möglicherweise schwache Passwörter verwendet hatten, wodurch Hacker leicht auf ihre Konten zugreifen konnten. Weitere Untersuchungen ergaben jedoch, dass die Hacker den Datenverkehr des File Transfer Protocol (FTP) abgefangen hatten, das Daten zur Authentifizierung mit Klartextpasswörtern überträgt.
Angesichts dieses Sicherheitsvorfalls und gemäß den Empfehlungen des IRT entschied sich Knight, das FTP-Protokoll durch das Secure Shell (SSH)-Protokoll zu ersetzen. Diese Änderung gewährleistet die Verschlüsselung des gesamten erfassten Datenverkehrs und verbessert die Sicherheit somit erheblich.
Nach der Umsetzung dieser Änderungen führte Knight eine Risikobewertung durch, um zu überprüfen, ob die eingeführten Kontrollmaßnahmen das Risiko ähnlicher Vorfälle minimiert hatten. Basierend auf den Ergebnissen der Risikobewertung wählten sie eine Risikobehandlungsoption zur Behebung des Risikos.
Frage
Was bedeuten die Erkenntnisse des IRT über FTP im Hinblick auf die Informationssicherheit?

• A. Risiko
• B. Schwachstelle
• C. Bedrohung