Welche zwei der folgenden sind gültige Audit-Schlussfolgerungen?

• A. Das Risikoregister wurde seit Juni 202X nicht aktualisiert
• B. Der Geltungsplan basierte auf der Ausgabe 2013 von ISO/IEC 27001, nicht auf der Ausgabe 2022
• C. Bei zwei internen Audits standen noch Korrekturmaßnahmen aus
• D. Die ISMS-Ziele der Organisation erfüllen die Anforderungen der ISO/IEC 27001:2022
• E. Die ISMS-Einführungsschulung bietet keine Anleitung zur Malware-Prävention
• F. Die ISMS-Richtlinie wurde der Organisation effektiv kommuniziert

Was ist die beste Vorgehensweise bei der akzeptablen Nutzung von Informationsressourcen?

• A. Zugriff auf Telefon- oder Netzwerkübertragungen, einschließlich drahtloser oder WLAN-Übertragungen
• B. Störung oder Verweigerung des Dienstes für einen anderen Benutzer als den Host des Mitarbeiters
• C. Spielen von Computerspielen während der Bürozeiten
• D. Der Zugang zu Informations- und Kommunikationssystemen wird nur für geschäftliche Zwecke gewährt

Als Audit-Teamleiter führen Sie Ihr erstes ISMS-Überwachungsaudit durch Dritte durch. Sie befinden sich derzeit mit einem anderen Mitglied Ihres Prüfungsteams im Rechenzentrum des geprüften Unternehmens.
Ihr Kollege scheint sich nicht sicher zu sein, was den Unterschied zwischen einem Informationssicherheitsereignis und einem Informationssicherheitsvorfall ausmacht. Sie versuchen, den Unterschied anhand von Beispielen zu erklären.
Welche drei der folgenden Szenarien können als Informationssicherheitsvorfälle definiert werden?

• A. Die Malware-Schutzsoftware der Organisation verhindert einen Virus
• B. Ein Auftragnehmer, der nicht bezahlt wurde, löscht IKT-Konten des Top-Managements
• C. Die Marketingdaten der Organisation werden von Hackern kopiert und an einen Konkurrenten verkauft
• D. Eine Festplatte wird nach dem empfohlenen Austauschdatum verwendet
• E. Ein Mitarbeiter schafft es am Ende seiner Schicht nicht, seinen Schreibtisch aufzuräumen
• F. Ein unzufriedener Mitarbeiter ändert Gehaltsabrechnungsunterlagen ohne Erlaubnis
• G. Die Organisation besteht einen Penetrationstest eines Drittanbieters nicht
• H. Die Organisation erhält eine Phishing-E-Mail

Während eines Zertifizierungsaudits durch Dritte wird Ihnen von einer geprüften Stelle eine Liste der Probleme vorgelegt. Welche vier der folgenden Punkte stellen „externe“ Themen im Kontext eines Managementsystems nach ISO/IEC 27001:2022 dar?

• A. Schlechte Arbeitsmoral aufgrund der Kürzung der Urlaubstage des Personals
• B. Ein Produktivitätsrückgang aufgrund veralteter Produktionsanlagen
• C. Mangelnde Personalkompetenz aufgrund von Kürzungen bei den Schulungsausgaben
• D. Eine Kürzung der Zuschüsse aufgrund einer Änderung der Regierungspolitik
• E. Erhöhte Fehlzeiten aufgrund schlechter Führung
• F. Aufgrund staatlicher Sanktionen ist es nicht möglich, Rohstoffe zu beschaffen
• G. Ein Anstieg der Zinssätze als Reaktion auf die hohe Inflation
• H. Höhere Arbeitskosten aufgrund einer alternden Bevölkerung

Sie führen ein ISMS-Audit in einem Pflegeheim durch, das Gesundheitsdienstleistungen anbietet.
Der nächste Schritt in Ihrem Auditplan ist die Überprüfung des Prozesses zum Umgang mit Informationssicherheitsvorfällen.
Der IT-Sicherheitsmanager stellt das Verfahren zum Management von Informationssicherheitsvorfällen vor (Dokumentreferenz-ID: ISMS_L2_16, Version 4).
Sie prüfen das Dokument und stoßen auf die Aussage: „Jegliche Schwachstelle, jedes Ereignis und jeder Vorfall im Bereich der Informationssicherheit ist innerhalb einer Stunde nach Feststellung dem Ansprechpartner zu melden.“ Bei Befragungen der Mitarbeiter stellten Sie fest, dass es unterschiedliche Auffassungen zur Bedeutung der Begriffe „Schwachstelle, Ereignis und Vorfall“ gab.
Der IT-Sicherheitsmanager erklärte, dass vor sechs Monaten ein Online-Seminar zum Thema „Umgang mit Informationssicherheit“ stattgefunden habe. Alle Befragten hätten an der Übung zur Berichtserstellung und der Kursprüfung teilgenommen und diese bestanden.
Sie möchten weitere Bereiche genauer untersuchen, um zusätzliche Prüfnachweise zu sammeln. Wählen Sie drei Optionen aus, die keine gültigen Prüfprotokolle darstellen würden.

• A. Sammeln Sie weitere Belege dafür, wie die Organisation aus Informationssicherheitsvorfällen lernt und Verbesserungen vornimmt. (Relevant für Kontrollmaßnahme A.5.27)
• B. Sammeln Sie weitere Belege dafür, wie Bereiche, die von Informationssicherheitsvorfällen betroffen sind, unter Quarantäne gestellt werden, um die Informationssicherheit während Störungen aufrechtzuerhalten (relevant für Kontrolle A.5.29).
• C. Sammeln Sie weitere Belege dafür, ob Begriffe und Definitionen in der Informationssicherheitsrichtlinie enthalten sind. (Relevant für Kontrolle 5.32)
• D. Sammeln Sie weitere Belege dafür, wie die Organisation Schulungen zu Informationssicherheitsvorfällen durchführt und deren Wirksamkeit bewertet. (Bezieht sich auf Klausel 7.2)
• E. Sammeln Sie weitere Nachweise, um festzustellen, ob ISO 27035 (Management von Informationssicherheitsvorfällen) als Kriterium für interne Audits verwendet wird. (Relevant für Abschnitt 8.13)
• F. Sammeln Sie weitere Belege darüber, wie die Organisation die Kontaktstelle (Point of Contact, PoC) verwaltet, die Schwachstellen überwacht. (Relevant für Klausel 8.1)
• G. Sammeln Sie weitere Belege darüber, wie Informationssicherheitsvorfälle über geeignete Kanäle gemeldet werden (relevant für Kontrollmaßnahme A.6.8).
• H. Sammeln Sie weitere Belege darüber, wie die Organisation den Notfallplan testet. (Relevant für Kontrollpunkt A.5.30)