Study with ISO-IEC-27001-Lead-Auditor Deutsch Actual Test Questions

Nach Abschluss von Stufe 1 und in Vorbereitung auf ein Erstzertifizierungsaudit der Stufe 2 informiert das geprüfte Unternehmen den Leiter des Auditteams darüber, dass es den Auditumfang auf zwei zusätzliche Standorte erweitern möchte, die die Organisation kürzlich erworben hat.
Welche Maßnahmen würden Sie angesichts dieser Informationen vom Audit-Teamleiter erwarten?

• A. Erhöhen Sie die Länge des Audits der Stufe 2, um die zusätzlichen Websites einzubeziehen
• B. Erhalten Sie Informationen über die zusätzlichen Standorte, um die Person(en) zu informieren, die das Auditprogramm verwalten
• C. Vereinbaren Sie die Durchführung eines Remote-Stufe-1-Audits der beiden Standorte mithilfe einer Videokonferenzplattform
• D. Informieren Sie die geprüfte Stelle darüber, dass der Leiter des Prüfungsteams die Anfrage akzeptiert

CEO schickt eine Mail mit seinen Ansichten zum Status des Unternehmens und der zukünftigen Strategie des Unternehmens sowie der Vision des CEO und des Anteils des Mitarbeiters daran. Die Post sollte klassifiziert werden als

• A. Vertrauliche Post
• B. Eingeschränkte E-Mail
• C. Öffentliche Post
• D. Interne Post

Welche der folgenden Optionen beschreibt am besten den Hauptzweck einer Drittparteiprüfung der Stufe 1?

• A. Um mehr über die Beschaffung der Organisation zu erfahren
• B. Zur Bestimmung der Rötung für ein Audit der Stufe 2
• C. Um die Kunden der Organisation kennenzulernen
• D. Erstellung eines unabhängigen Prüfberichts
• E. Um das Prüfungsteam dem Kunden vorzustellen
• F. Zur Überprüfung der Rechtskonformität durch die Organisation

Sie führen ein ISMS-Audit in einem Pflegeheim (ABC) durch, das Gesundheitsdienstleistungen anbietet. Der nächste Schritt in Ihrem Prüfplan besteht darin, die Informationssicherheit der Entwicklung, des Supports und des Lebenszyklusprozesses der mobilen Apps für das Gesundheitswesen von ABC zu überprüfen. Während des Audits haben Sie erfahren, dass die Organisation die Entwicklung mobiler Apps an ein professionelles Softwareentwicklungsunternehmen mit CMMI Level 5, ITSM (ISO/IEC 20000-1), BCMS (ISO) ausgelagert hat
22301) und
ISMS (ISO/IEC 27001) zertifiziert.
Der IT-Manager stellte das Software-Sicherheitsmanagementverfahren vor und fasste den Prozess wie folgt zusammen:
Bei der Entwicklung mobiler Apps müssen mindestens die Grundsätze „Security by Design“ und „Security by Default“ berücksichtigt werden.
Folgende Sicherheitsfunktionen zum Schutz personenbezogener Daten stehen zur Verfügung:
Zugangskontrolle.
Verschlüsselung personenbezogener Daten, d. h. Advanced Encryption Standard (AES)-Algorithmus, Schlüssellängen: 256 Bit; und Pseudonymisierung personenbezogener Daten.
Auf Schwachstelle geprüft und keine Sicherheits-Hintertür vorhanden
Sie probieren den neuesten Mobile-App-Testbericht mit den folgenden Details aus:

Der IT-Manager erklärt, dass die Testergebnisse gemäß dem Software-Sicherheitsmanagementverfahren von ihm genehmigt werden sollten. Der Grund für das Scheitern der Verschlüsselungs- und Pseudonymisierungsfunktionen liegt darin, dass diese Funktionen die System- und Dienstleistung stark verlangsamten. Um dies zu decken, sind zusätzliche 150 % der Ressourcen erforderlich. Der Servicemanager stimmte zu, dass die Zugangskontrolle gut genug und akzeptabel ist. Deshalb hat der Servicemanager die Genehmigung unterzeichnet.
Sie bereiten die Prüfungsergebnisse vor. Wählen Sie die richtige Option aus.

• A. Es liegt eine Nichtkonformität (NC) vor. Die Organisation und der Entwickler führen keine Abnahmetests durch.
  (Bezogen auf Abschnitt 8.1, Regelung A.8.29)
• B. Es liegt eine Nichtkonformität (NC) vor. Der Service Manager hält sich nicht an das Software-Sicherheitsmanagementverfahren. (Bezogen auf Abschnitt 8.1, Regelung A.8.30)
• C. Es liegt eine Nichtkonformität (NC) vor. Die Organisation und der Entwickler führen Sicherheitstests durch, die fehlschlagen.
  (Bezogen auf Abschnitt 8.1, Regelung A.8.29)
• D. Es liegt KEINE Nichtkonformität vor (NC). Der Servicemanager trifft eine gute Entscheidung, den Service fortzusetzen.
  (Bezogen auf Abschnitt 8.1, Regelung A.8.30)

Szenario 4: SendPay ist ein Finanzunternehmen, das seine Dienstleistungen über ein Netzwerk von Agenten und Finanzinstituten anbietet. Eine ihrer Hauptdienstleistungen ist der weltweite Geldtransfer. SendPay ist als neues Unternehmen bestrebt, seinen Kunden erstklassige Dienstleistungen anzubieten. Da das Unternehmen internationale Transaktionen anbietet, verlangt es von seinen Kunden die Angabe personenbezogener Daten, wie z. B. ihre Identität, den Grund der Transaktionen und andere Details, die für den Abschluss der Transaktion erforderlich sein könnten. Daher hat SendPay Sicherheitsmaßnahmen zum Schutz der Informationen seiner Kunden implementiert, einschließlich der Erkennung, Untersuchung und Reaktion auf eventuell auftretende Bedrohungen der Informationssicherheit. Ihr Engagement, sichere Dienste anzubieten, spiegelte sich auch bei der ISMS-Implementierung wider, in die das Unternehmen viel Zeit und Ressourcen investierte.
Letztes Jahr stellte SendPay seine digitale Plattform vor, die Geldtransaktionen über elektronische Geräte wie Smartphones oder Laptops ermöglicht, ohne dass eine zusätzliche Gebühr anfällt. Über diese Plattform können die Kunden von SendPay von überall und zu jeder Zeit Geld senden und empfangen. Die digitale Plattform half SendPay, die Abläufe des Unternehmens zu vereinfachen und sein Geschäft weiter auszubauen. Zu diesem Zeitpunkt lagerte SendPay seinen Softwarebetrieb aus, daher wurde das Projekt vom Softwareentwicklungsteam des ausgelagerten Unternehmens abgeschlossen.
Dasselbe Team war auch für die Wartung der Technologieinfrastruktur von SendPay verantwortlich.
Vor kurzem beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es fast ein Jahr lang über ein ISMS verfügte. Sie beauftragten eine Zertifizierungsstelle, die ihren Kriterien entsprach. Kurz darauf ernannte die Zertifizierungsstelle ein Team aus vier Prüfern, um das ISMS von SendPay zu prüfen.
Bei der Prüfung wurden unter anderem folgende Situationen beobachtet:
1. Das ausgelagerte Softwareunternehmen hatte den Vertrag mit SendPay fristlos gekündigt. Infolgedessen war SendPay nicht in der Lage, die Dienste sofort wieder intern anzubieten, und der Betrieb war fünf Tage lang unterbrochen. Die Prüfer forderten von den Vertretern von SendPay den Nachweis, dass sie einen Plan haben, den sie im Falle einer Vertragskündigung befolgen sollen. Die Vertreter legten keine dokumentarischen Beweise vor, teilten den Prüfern jedoch während eines Interviews mit, dass das Top-Management von SendPay zwei weitere Softwareentwicklungsunternehmen identifiziert habe, die sofort Dienstleistungen erbringen könnten, wenn ähnliche Situationen erneut auftreten.
2. Es lagen keine Beweise für die Überwachung der an das Softwareentwicklungsunternehmen ausgelagerten Tätigkeiten vor. Die Vertreter von SendPay teilten den Prüfern erneut mit, dass sie regelmäßig mit dem Softwareentwicklungsunternehmen kommunizieren und über mögliche Änderungen angemessen informiert sind.
3. Beim Firewall-Test wurde keine Nichtkonformität festgestellt. Die Prüfer testeten die Firewall-Konfiguration, um das Sicherheitsniveau dieser Dienste zu ermitteln. Zum Testen der Firewall-Richtlinien verwendeten sie einen Paketanalysator, der es ihnen ermöglichte, die gesendeten oder empfangenen Pakete in Echtzeit zu überprüfen.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Warum konnte SendPay seine Dienste nach der Vertragsbeendigung nicht wieder intern wiederherstellen? Siehe Szenario 4.

• A. Weil das ausgelagerte Softwareunternehmen den Vertrag mit SendPay ohne vorherige Ankündigung gekündigt hat
• B. Weil es SendPay an einem umfassenden Geschäftskontinuitätsplan mit möglichen Auswirkungen von Vertragskündigungen mangelte
• C. Weil SendPay die Technologieinfrastruktur des ausgelagerten Softwarebetriebs nicht überwacht hat