PECB ISO-IEC-27001-Lead-Implementer Deutsch Value Pack (Frequently Bought Together)

Was muss die Organisation gemäß ISO/IEC 27001 hinsichtlich Überwachung und Messung festlegen?
Szenario 8: SecureLynx ist eines der größten Beratungs- und Consultingunternehmen im Bereich Cybersicherheit, das Organisationen des privaten Sektors dabei hilft, Sicherheitsbedrohungen zu verhindern, Sicherheitssysteme zu verbessern und Geschäftsziele zu erreichen. SecureLynx verpflichtet sich zur Einhaltung nationaler und internationaler Standards, um die Widerstandsfähigkeit und Glaubwürdigkeit des Unternehmens zu verbessern. SecureLynx hat im Rahmen seines unermüdlichen Strebens nach Sicherheit mit der Implementierung eines ISMS auf Basis von ISO/IEC 27001 begonnen.
Im Rahmen der internen Auditaktivitäten überprüfte und genehmigte das Top-Management die Auditziele, um die Wirksamkeit des ISMS von SecureLynx zu bewerten. Während des Audits bewertete der interne Prüfer, ob das Top-Management die mit dem ISMS verbundenen Aktivitäten unterstützt und ob die Rollen und Verantwortlichkeiten der relevanten Parteien klar definiert sind. Diese strenge Prüfung unterstreicht das Engagement von SecureLynx für kontinuierliche Verbesserung und die Ausrichtung der Sicherheitsmaßnahmen an den Unternehmenszielen.
SecureLynx verwendet ein innovatives Dashboard, das implementierte Prozesse und Kontrollen visuell darstellt, um Transparenz und Verantwortlichkeit innerhalb der Organisation zu gewährleisten. Dieses Tool bietet Stakeholdern einen Echtzeitüberblick über Sicherheitsmaßnahmen und ermöglicht ihnen, fundierte Entscheidungen zu treffen und schnell auf neue Bedrohungen zu reagieren. Im Rahmen dieser Initiative wurde Paula in eine neue Position berufen, in der sie mit der Verantwortung betraut ist, Daten zu sammeln, aufzuzeichnen und zu speichern, um die Wirksamkeit des ISMS zu messen. Darüber hinaus führt SecureLynx alle sechs Monate Management-Reviews durch, um sicherzustellen, dass seine Systeme robust sind und sich kontinuierlich verbessern. Diese Reviews dienen als entscheidender Mechanismus, um die Wirksamkeit von Sicherheitsmaßnahmen zu beurteilen und Bereiche zu identifizieren, die verbessert werden können. Das Engagement von SecureLynx bei der Implementierung und Aufrechterhaltung eines robusten ISMS verdeutlicht sein Engagement für Innovation und Kundenzufriedenheit.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage.

• A. Die Anzahl der zu messenden Attribute
• B. Die Methoden zur Überwachung, Messung, Analyse und Bewertung
• C. Die Häufigkeit der Analyse und Auswertung

Szenario 4: TradeB, eine Geschäftsbank, die gerade erst in den Markt eingetreten ist, Einlagen von ihren Kunden entgegennimmt und grundlegende Finanzdienstleistungen sowie Kredite für Investitionen anbietet. TradeB hat beschlossen, ein Informationssicherheits-Managementsystem (ISMS) auf Grundlage von ISO/IEC 27001 einzuführen. Da TradeBs oberstes Management keine Erfahrung mit der Implementierung eines Managementsystems hatte, beauftragte es zwei Experten mit der Leitung und Verwaltung des ISMS-Implementierungsprojekts.
Zunächst analysierte das Projektteam die 93 Kontrollen des ISO/IEC 27001 Anhang A und listete nur die für das Unternehmen relevanten Sicherheitskontrollen und deren Ziele auf. Auf Grundlage dieser Analyse verfasste es die Erklärung zur Anwendbarkeit. Anschließend führte es eine Risikobewertung durch. Dabei identifizierte es Vermögenswerte wie Hardware, Software und Netzwerke sowie Bedrohungen und Schwachstellen, bewertete die potenziellen Folgen und die Wahrscheinlichkeit und bestimmte das Risikoniveau anhand von drei nicht numerischen Kategorien (niedrig, mittel und hoch). Sie bewerteten die Risiken anhand der Risikobewertungskriterien und entschieden, nur die Kategorie „Hochrisiko“ zu behandeln. Sie beschlossen außerdem, sich in erster Linie auf die unbefugte Verwendung von Administratorrechten und Systemunterbrechungen aufgrund mehrerer Hardwarefehler zu konzentrieren, indem sie eine neue Version der Zugriffskontrollrichtlinie erstellten, Kontrollen zur Verwaltung und Kontrolle des Benutzerzugriffs implementierten und eine Kontrolle zur IKT-Bereitschaft für die Geschäftskontinuität einführten. Schließlich erstellten sie einen Risikobewertungsbericht, in dem sie festhielten, dass die Risiken akzeptiert werden, wenn das Risikoniveau nach der Implementierung dieser Sicherheitskontrollen unter dem akzeptablen Niveau liegt. Basierend auf Szenario 4 zeigt die Tatsache, dass TradeB das Risikoniveau anhand von drei nicht numerischen Kategorien definiert hat, dass;

• A. Das Risikoniveau wird anhand einer Formel definiert
• B. Das Risikoniveau wird mithilfe einer quantitativen Analyse bewertet
• C. Das Risikoniveau wird anhand qualitativer Kriterien bewertet

Szenario 10: ProEBank
Die österreichische Finanzinstitution ProEBank implementierte ein Informationssicherheitsmanagementsystem (ISMS) und bereitete sich auf die Zertifizierung nach ISO/IEC 27001 vor. Im Rahmen der Planung stellte das Unternehmen einen Interessenkonflikt mit einem Auditor fest, der zuvor für den Hauptkonkurrenten gearbeitet hatte. ProEBank weigerte sich daraufhin, das Audit durchführen zu lassen, bis ein neues Auditorenteam eingesetzt wurde. Die Zertifizierungsstelle bestätigte den Sachverhalt und tauschte das Team aus.
Die ProEBank ist ein österreichisches Finanzinstitut, das für sein umfassendes Angebot an Bankdienstleistungen bekannt ist.
Die ProEBank mit Hauptsitz in Wien profitiert vom fortschrittlichen Technologie- und Finanzökosystem der Stadt. Um ihre Sicherheitslage zu verbessern, hat sie ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001 implementiert. Nach einem Jahr im Einsatz des ISMS beschloss das Unternehmen, ein Zertifizierungsaudit zu beantragen, um die Zertifizierung nach ISO/IEC 27001 zu erhalten.
Zur Vorbereitung auf das Audit informierte das Unternehmen zunächst seine Mitarbeiter und organisierte entsprechende Schulungen. Zudem wurden im Vorfeld Dokumente erstellt, um diese bei der Prüfung durch die externen Prüfer bereitzuhalten. Darüber hinaus wurde ermittelt, welche Mitarbeiter über das nötige Fachwissen verfügen, um die externen Prüfer bei der Erläuterung und Bewertung der Prozesse zu unterstützen.
In der Planungsphase des Audits prüfte ProEBank die von der Zertifizierungsstelle bereitgestellte Liste der beauftragten Auditoren. Dabei stellte ProEBank einen potenziellen Interessenkonflikt bei einem der Auditoren fest, der zuvor für den größten Konkurrenten von ProEBank im Bankensektor tätig gewesen war. Um die Integrität des Auditprozesses zu gewährleisten, verweigerte ProEBank die Durchführung des Audits, bis ein vollständig neues Auditteam eingesetzt wurde. Die Zertifizierungsstelle bestätigte den Interessenkonflikt und nahm die notwendigen Anpassungen vor, um die Unparteilichkeit des Auditteams sicherzustellen. Nach Behebung dieses Problems beurteilte das Auditteam, ob das ISMS sowohl den Anforderungen der Norm als auch den Unternehmenszielen entsprach. Dabei konzentrierte sich das Auditteam auf die Prüfung dokumentierter Informationen.
Drei Wochen später führte das Team einen Vor-Ort-Besuch beim Auditierten durch, um zu beurteilen, ob das ISMS den Anforderungen der ISO/IEC 27001 entsprach, effektiv implementiert war und dem Auditierten die Erreichung seiner Informationssicherheitsziele ermöglichte. Nach dem Besuch erstellte das Team die Audit-Schlussfolgerungen und informierte den Auditierten über einige festgestellte kleinere Abweichungen. Der Audit-Teamleiter sprach daraufhin eine Empfehlung zur Zertifizierung aus.
Nach Erhalt der Empfehlung des Leiters des Auditteams setzte die Zertifizierungsstelle einen Ausschuss ein, der über die Zertifizierung entscheiden sollte. Dem Ausschuss gehörten ein Mitglied des Auditteams und zwei weitere Experten der Zertifizierungsstelle an.
Frage:
Ist die Entscheidung von ProEBank, aufgrund eines vermuteten Interessenkonflikts ein neues Prüfungsteam einzusetzen, akzeptabel?

• A. Nein – der Auditierte hat kein Recht, die von der Zertifizierungsstelle ausgewählten Auditoren abzulehnen.
• B. Ja – der Geprüfte darf die Durchführung des Audits verweigern, bis ein neues Prüfteam gebildet ist.
• C. Nein – sie hätten lediglich den Austausch des Wirtschaftsprüfers beantragen sollen.

Szenario 1: HealthGenic ist eine Kinderklinik, die mithilfe einer webbasierten medizinischen Software die Gesundheit und das Wachstum von Kindern vom Säuglingsalter bis ins frühe Erwachsenenalter überwacht. Die Software wird auch zur Terminvereinbarung, zur Erstellung individueller medizinischer Berichte, zur Speicherung von Patientendaten und Krankengeschichte sowie zur Kommunikation mit allen Beteiligten, einschließlich Eltern, anderen Ärzten und dem medizinischen Laborpersonal, verwendet.
Im letzten Monat kam es bei HealthGenic aufgrund der steigenden Zahl von Benutzern, die auf die Software zugriffen, zu mehreren Dienstunterbrechungen. Ein weiteres Problem, mit dem das Unternehmen bei der Verwendung der Software konfrontiert war, war die komplizierte Benutzeroberfläche, deren Verwendung für ungeschultes Personal eine Herausforderung darstellte.
Die Geschäftsleitung von HealthGenic informierte umgehend das Unternehmen, das die Software entwickelt hatte, über das Problem. Das Softwareunternehmen behob das Problem, veränderte dabei jedoch einige Dateien mit sensiblen Patienteninformationen. Die Änderungen führten zu unvollständigen und fehlerhaften medizinischen Berichten und verletzten – was noch schlimmer war – die Privatsphäre der Patienten.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Welches der folgenden Anzeichen deutet darauf hin, dass die Vertraulichkeit von Informationen verletzt wurde?

• A. Dienstunterbrechungen aufgrund der gestiegenen Benutzerzahl
• B. Änderung der medizinischen Berichte der Patienten
• C. Verletzung der Privatsphäre von Patienten

Ein Unternehmen nutzt Platform as a Service (PaaS) zum Hosten seiner Cloud-Dienste. Der Cloud-Anbieter verwaltet dabei den Großteil der dem Unternehmen bereitgestellten Dienste. Welche weiteren Verwaltungsaufgaben muss das Unternehmen bei der Nutzung von PaaS übernehmen?

• A. Server und Speicher
• B. Anwendung und Daten
• C. Betriebssystem und Virtualisierung