Study with ISO-IEC-27001-Lead-Auditor Korean Actual Test Questions

질문
ISO/IEC 27001 부록 A의 8.15 로깅 통제에 대한 적합성을 검증하기 위해 감사팀은 서버 로그 샘플을 조사하여 수정 또는 삭제가 가능한지 여부를 판단했습니다. 감사팀은 어떤 감사 절차를 사용했습니까?

• A. 분석
• B. 관찰
• C. 기술 검증

시나리오 4: 브랜딩은 미국에서 가장 유명한 기업들과 협력하는 마케팅 회사입니다.
내부 비용 절감을 위해 브랜딩(Branding)은 2년 이상 소프트웨어 개발 및 IT 헬프데스크 운영을 테크볼로지(Techvology)에 아웃소싱해 왔습니다. 필요한 전문성을 갖춘 테크볼로지는 브랜딩의 소프트웨어, 네트워크 및 하드웨어 요구 사항을 관리합니다. 브랜딩은 정보 보안 관리 시스템(ISMS)을 구축하고 ISO/IEC 27001 인증을 획득하여 높은 수준의 정보 보안 유지를 위한 노력을 입증하고 있습니다. 또한, 아웃소싱 운영의 보안이 ISO/IEC 27001 인증 요건을 준수하는지 확인하기 위해 테크볼로지에 대한 감사를 적극적으로 실시하고 있습니다.
지난 감사에서 브랜딩의 감사팀은 감사 대상 프로세스와 감사 일정을 정의했습니다. 특히 지난 한 해 동안 테크볼로지가 보고한 두 건의 정보 보안 사고를 고려하여 증거 기반 접근 방식을 채택했습니다. 감사의 초점은 이러한 사고에 대한 대응 방식과 아웃소싱 계약 조건 준수 여부를 평가하는 것이었습니다. 감사는 테크볼로지의 아웃소싱 운영 품질 모니터링 방식에 대한 종합적인 검토로 시작되었으며, 제공된 서비스가 브랜딩의 기대치와 합의된 기준을 충족하는지 평가했습니다. 감사팀은 또한 테크볼로지가 양사 간에 체결된 계약 요건을 준수했는지 여부를 확인했습니다. 이를 위해 아웃소싱 계약의 조항을 철저히 검토하여 정보 보안 조치를 포함한 모든 측면이 준수되고 있는지 확인했습니다.
또한, 이번 감사에는 테크놀로지(Techvology)가 아웃소싱 운영 및 기타 조직을 관리하는 데 사용하는 거버넌스 프로세스에 대한 심층적인 평가가 포함되었습니다. 이는 브랜딩(Branding)이 아웃소싱 계약과 관련된 잠재적 위험을 완화하기 위한 적절한 통제 및 감독 메커니즘이 마련되어 있는지 확인하는 데 매우 중요합니다.
감사팀은 테크볼로지의 다양한 직급 직원들을 대상으로 인터뷰를 진행하고 사고 해결 기록을 분석했습니다. 또한, 테크볼로지는 직원들을 대상으로 사고 관리 관련 인식 교육을 실시했다는 증거 자료를 제출했습니다. 수집된 정보를 바탕으로 감사팀은 두 건의 정보 보안 사고 모두 담당 직원의 역량 부족으로 인해 발생했다고 판단했습니다. 따라서 감사팀은 해당 사고에 연루된 직원들의 인사 파일을 열람하여 관련 경력, 자격증, 교육 이수 기록 등 역량을 입증할 수 있는 자료를 검토하고자 했습니다.
브랜딩의 감사팀은 확보된 증거의 타당성을 면밀히 평가하고, 문서화된 정보의 신뢰성을 의심하게 하거나 모순될 수 있는 증거가 있는지 주의 깊게 살폈습니다. 테크볼로지 감사 과정에서도 감사팀은 이러한 접근 방식을 유지하며, 사건 해결 기록을 면밀히 검토하고 다양한 직급과 직무의 직원들을 대상으로 심층 인터뷰를 진행했습니다. 감사팀은 테크볼로지 담당자의 말을 그대로 사실로 받아들이지 않고, 사건 관리 프로세스에 대한 담당자의 주장을 뒷받침할 구체적인 증거를 적극적으로 모색했습니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
ISO/IEC 27001 요구사항에 따르면, Techvology가 제공하는 서비스를 지속적으로 관리하기 위해 브랜딩이 필요한가요?

• A. 아니요, 브랜딩 부서는 테크볼로지에서 제공하는 서비스를 관리할 책임은 없지만, 해당 서비스를 모니터링할 책임은 있습니다.
• B. 네, 두 회사 간의 계약서에 명시된 요건인 경우에만 그렇습니다.
• C. 네, 브랜딩 부서는 테크놀로지 서비스의 품질을 관리하고 모니터링하는 책임을 맡고 있습니다.

제3자 가상 감사를 수행해야 합니다. 감사를 시작하기 전에 피감사자에게 알려야 할 두 가지 사항은 무엇입니까?
화면에 나오는 사람의 신분증을 보여달라고 요청해야 합니다.

• A. 감사가 진행되는 방의 360도 전경을 요청하게 됩니다.
• B. 귀하는 감사 대상자가 온라인 활동과 관련된 모든 위험을 평가했을 것으로 기대합니다.
• C. 인터뷰 대상자에게 인터뷰 전에 이름과 직책을 밝히도록 요청해야 합니다.
• D. 인터뷰하는 모든 사람의 사진을 찍으세요.
• E. 허가받지 않는 한 감사 과정의 어떤 부분도 기록해서는 안 됩니다.

시나리오 8: EsBank는 9월부터 에스토니아 은행 부문에 은행 및 금융 솔루션을 제공합니다.
2010년. 이 회사는 전국에 100개가 넘는 ATM을 갖춘 30개 지점 네트워크를 보유하고 있습니다.
엄격하게 규제되는 산업에서 운영되는 EsBank는 데이터의 보안 및 개인 정보 보호와 관련된 많은 법률과 규정을 준수해야 합니다. 기술적 및 비기술적 통제를 구현하여 운영 전반에서 정보 보안을 관리해야 합니다. EsBank는 ISO/IEC에 기반한 ISMS를 구현하기로 결정했습니다.
27001은 보안을 강화하고 위험 관리를 강화하며 주요 법률 및 규정 요구 사항을 준수하기 때문에 선택되었습니다.
ISMS를 성공적으로 구현한 지 9개월 후, EsBank는 ISO/IEC 27001에 따라 독립 인증 기관에서 ISMS 인증을 받기로 결정했습니다. 인증 감사에는 EsBank의 모든 시스템, 프로세스, 기술이 포함되었습니다.
1단계와 2단계 감사는 공동으로 수행되었고 여러 가지 불일치 사항이 발견되었습니다. 첫 번째 불일치 사항은 EsBank의 정보 라벨링과 관련이 있었습니다. 이 회사에는 정보 분류 체계가 있었지만 정보 라벨링 절차가 없었습니다. 그 결과, 동일한 수준의 보호가 필요한 문서는 다르게 라벨링되었습니다(때로는 기밀로, 다른 경우에는 시급함).
모든 문서가 전자적으로 저장되었다는 점을 고려하면, 불일치는 미디어 처리에도 영향을 미쳤습니다. 감사팀은 샘플링을 사용하여 200개의 이동식 미디어 중 50개가 실수로 기밀로 분류된 민감한 정보를 저장하고 있다는 결론을 내렸습니다. 정보 분류 체계에 따르면, 기밀 정보는 이동식 미디어에 저장할 수 있지만 민감한 정보를 저장하는 것은 엄격히 금지되어 있습니다. 이는 다른 불일치를 표시했습니다.
그들은 불일치 사항 보고서를 작성하고 EsBank 담당자들과 감사 결론을 논의했으며, EsBank 담당자들은 발견된 불일치 사항에 대한 조치 계획을 2개월 이내에 제출하기로 합의했습니다.
EsBank는 감사팀 리더가 제안한 해결책을 수용했습니다. 그들은 물리적 형식과 전자적 형식 모두에 대한 분류 체계에 기반한 정보 라벨링 절차를 초안하여 불일치 사항을 해결했습니다.
이동식 미디어 절차도 이 절차를 기반으로 업데이트되었습니다.
감사가 완료된 지 2주 후, EsBank는 일반 행동 계획을 제출했습니다. 그곳에서 그들은 발견된 불일치 사항과 취해진 시정 조치를 다루었지만, 영향을 받은 시스템, 통제 또는 운영에 대한 세부 정보는 포함하지 않았습니다. 감사팀은 행동 계획을 평가하고 불일치 사항을 해결할 것이라고 결론지었습니다. 그러나 EsBank는 인증에 대한 불리한 권고를 받았습니다.
위의 시나리오를 토대로 다음 질문에 답하세요.
EsBank는 정보 라벨링 절차를 초안함으로써 다음을 달성했습니다.

• A. 정보 분류 체계를 생성했습니다.
• B. 불일치의 근본 원인을 제거했습니다.
• C. 불일치 사항 해결을 위한 조치 계획을 제출했습니다.

당신은 감사원의 교육을 지도하는 숙련된 ISMS 감사팀 리더입니다. 그녀는 당신에게 감사 보고서의 불일치 등급에 대해 묻습니다. 당신은 그녀에게 다음 중 네 가지 진술이 사실인지 물어서 그녀의 지식을 테스트하기로 결정합니다.

• A. 여러 가지 사소한 불일치 사항은 주요 불일치 사항으로 그룹화될 수 있습니다.
• B. 주요 불일치 사항을 해결하기 위해 취한 조치는 일반적으로 사소한 불일치 사항을 해결하기 위해 취한 조치보다 더 실질적입니다.
• C. 불일치 사항은 '중요' 또는 '사소'라는 용어를 사용하여만 등급을 매겨야 합니다.
• D. 감사 대상자는 항상 불일치 사항의 등급 기준을 결정할 책임이 있습니다.
• E. 주요 불일치 사항은 현장 후속 조치가 필요할 수 있습니다.
• F. 매우 사소한 불일치 사항은 개선 기회로 재평가해야 합니다.
• G. 불일치 사항은 그 중요성을 나타내기 위해 등급이 매겨질 수 있습니다.
• H. 불량품의 등급은 감사 개시 회의에서 감사 대상자에게 설명되어야 합니다.