Finnco, eine Tochtergesellschaft einer Zertifizierungsstelle, stellte einer Organisation ISMS-Beratungsdienste zur Verfügung.
Wann kann die Zertifizierungsstelle in diesem Szenario die Organisation zertifizieren?

• A. Wenn seit der letzten Beratungstätigkeit ein Zeitraum von mindestens zwei Jahren vergangen ist
• B. In einer solchen Situation gibt es keine Zeitbeschränkung
• C. Zu keinem Zeitpunkt, da es einen Interessenkonflikt darstellt

Frage:
Welche Kontrollen beziehen sich auf die Kontrollen gemäß Anhang A der ISO/IEC 27001 und werden häufig aus anderen Leitfäden und Normen ausgewählt oder von der Organisation selbst definiert, um ihren spezifischen Bedürfnissen gerecht zu werden?

• A. Allgemeine Steuerelemente
• B. Spezifische Steuerelemente
• C. Strategische Kontrollen

Szenario 3: NightCore ist ein multinationales Technologieunternehmen mit Sitz in den USA, das sich auf E-Commerce, Cloud Computing, digitales Streaming und künstliche Intelligenz konzentriert. Nachdem über acht Monate lang ein Informationssicherheitsmanagementsystem (ISMS) implementiert wurde, beauftragte man eine Zertifizierungsstelle mit der Durchführung eines externen Audits, um sich nach ISO/IEC 27001 zertifizieren zu lassen.
Die Zertifizierungsstelle hat ein Team von sieben Auditoren zusammengestellt. Jack, der erfahrenste Prüfer, wurde zum Leiter des Prüfungsteams ernannt. Im Laufe der Jahre erhielt er viele bekannte Zertifizierungen, darunter den ISO/IEC 27001 Lead Auditor, CISA, CISSP und CISM.
Jack führte in jeder Phase des ISMS-Audits gründliche Analysen durch, indem er alle von NightCore implementierten Informationssicherheitsanforderungen und -kontrollen untersuchte und bewertete. Während des Audits der Stufe 2. Jack hat mehrere Nichtkonformitäten festgestellt. Nachdem er die Anzahl der gekauften Rechnungen für Softwarelizenzen mit dem Softwarebestand verglichen hatte, fand Jack heraus, dass das Unternehmen auf vielen Computern illegale Versionen einer Software verwendet hatte. Er beschloss, das Top-Management um eine Erklärung dieser Nichtkonformität zu bitten und zu prüfen, ob sie sich dessen bewusst waren. Sein nächster Schritt war die Prüfung der IT-Abteilung von NightCore. Das Top-Management beauftragte Tom, den Systemadministrator von NightCore, als Führer zu fungieren und Jack und das Prüfungsteam bei der Einführung in das Innenleben ihres Systems und ihrer digitalen Asset-Infrastruktur zu begleiten.
Bei der Befragung eines Mitglieds des Finanzministeriums stellten die Prüfer fest, dass das Unternehmen kürzlich einige ungewöhnlich große Transaktionen mit einem seiner Berater getätigt hatte. Nachdem Sie alle notwendigen Details zu den Transaktionen gesammelt haben. Jack beschloss, das Top-Management direkt zu befragen.
Als die erste Nichtkonformität besprochen wurde, teilte das Top-Management Jack mit, dass sie sich bereitwillig dafür entschieden hätten, eine kopierte Software anstelle der Originalsoftware zu verwenden, da diese billiger sei. Jack erklärte dem Top-Management von NightCore, dass die Verwendung illegaler Softwareversionen gegen die Anforderungen von ISO/IEC 27001 und die nationalen Gesetze und Vorschriften verstößt. Sie schienen jedoch damit einverstanden zu sein.
Einige Monate nach dem Audit verkaufte Jack einige der Informationen von NightCore, die er während des Audits gesammelt hatte, für einen riesigen Geldbetrag an Konkurrenten von NightCore.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Basierend auf Szenario 3. Welche ISO/IEC 27001-Kontrolle hat NightCore ignoriert, als eine illegale Softwareversion verwendet wurde?

• A. Anhang A 5.1 Richtlinien zur Informationssicherheit
• B. Anhang A 5.32 Geistige Eigentumsrechte
• C. Anhang A 5.10 Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten

Was ist die Standarddefinition von ISMS?

• A. Ein unternehmensweites Geschäftsziel, um ein Bewusstsein für die Informationssicherheit für die Einrichtung, Implementierung, den Betrieb, die Überwachung, Überprüfung, Wartung und Verbesserung zu erreichen
• B. Ein systematischer Ansatz zur Einrichtung, Implementierung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung der Informationssicherheit einer Organisation, um die Geschäftsziele zu erreichen.
• C. Ist ein systematischer Ansatz der Informationssicherheit, um Geschäftsziele für die Implementierung, den Aufbau, die Überprüfung, den Betrieb und die Aufrechterhaltung des Rufs der Organisation zu erreichen.
• D. Ein projektbasierter Ansatz zum Erreichen von Geschäftszielen für die Einrichtung, Implementierung, den Betrieb, die Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung der Informationssicherheit einer Organisation

Szenario 4: SendPay ist ein Finanzunternehmen, das seine Dienstleistungen über ein Netzwerk von Agenten und Finanzinstituten anbietet. Eine ihrer Hauptdienstleistungen ist der weltweite Geldtransfer. SendPay ist als neues Unternehmen bestrebt, seinen Kunden erstklassige Dienstleistungen anzubieten. Da das Unternehmen internationale Transaktionen anbietet, verlangt es von seinen Kunden die Angabe personenbezogener Daten, wie z. B. ihre Identität, den Grund der Transaktionen und andere Details, die für den Abschluss der Transaktion erforderlich sein könnten. Daher hat SendPay Sicherheitsmaßnahmen zum Schutz der Informationen seiner Kunden implementiert, einschließlich der Erkennung, Untersuchung und Reaktion auf eventuell auftretende Bedrohungen der Informationssicherheit. Ihr Engagement, sichere Dienste anzubieten, spiegelte sich auch bei der ISMS-Implementierung wider, in die das Unternehmen viel Zeit und Ressourcen investierte.
Letztes Jahr stellte SendPay seine digitale Plattform vor, die Geldtransaktionen über elektronische Geräte wie Smartphones oder Laptops ermöglicht, ohne dass eine zusätzliche Gebühr anfällt. Über diese Plattform können die Kunden von SendPay von überall und zu jeder Zeit Geld senden und empfangen. Die digitale Plattform half SendPay, die Abläufe des Unternehmens zu vereinfachen und sein Geschäft weiter auszubauen. Zu diesem Zeitpunkt lagerte SendPay seinen Softwarebetrieb aus, daher wurde das Projekt vom Softwareentwicklungsteam des ausgelagerten Unternehmens abgeschlossen.
Dasselbe Team war auch für die Wartung der Technologieinfrastruktur von SendPay verantwortlich.
Vor kurzem beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es fast ein Jahr lang über ein ISMS verfügte. Sie beauftragten eine Zertifizierungsstelle, die ihren Kriterien entsprach. Kurz darauf ernannte die Zertifizierungsstelle ein Team aus vier Prüfern, um das ISMS von SendPay zu prüfen.
Bei der Prüfung wurden unter anderem folgende Situationen beobachtet:
1. Das ausgelagerte Softwareunternehmen hatte den Vertrag mit SendPay fristlos gekündigt. Infolgedessen war SendPay nicht in der Lage, die Dienste sofort wieder intern anzubieten, und der Betrieb war fünf Tage lang unterbrochen. Die Prüfer forderten von den Vertretern von SendPay den Nachweis, dass sie einen Plan haben, den sie im Falle einer Vertragskündigung befolgen sollen. Die Vertreter legten keine dokumentarischen Beweise vor, teilten den Prüfern jedoch während eines Interviews mit, dass das Top-Management von SendPay zwei weitere Softwareentwicklungsunternehmen identifiziert habe, die sofort Dienstleistungen erbringen könnten, wenn ähnliche Situationen erneut auftreten.
2. Es lagen keine Beweise für die Überwachung der an das Softwareentwicklungsunternehmen ausgelagerten Tätigkeiten vor. Die Vertreter von SendPay teilten den Prüfern erneut mit, dass sie regelmäßig mit dem Softwareentwicklungsunternehmen kommunizieren und über mögliche Änderungen angemessen informiert sind.
3. Beim Firewall-Test wurde keine Nichtkonformität festgestellt. Die Prüfer testeten die Firewall-Konfiguration, um das Sicherheitsniveau dieser Dienste zu ermitteln. Zum Testen der Firewall-Richtlinien verwendeten sie einen Paketanalysator, der es ihnen ermöglichte, die gesendeten oder empfangenen Pakete in Echtzeit zu überprüfen.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Die Vertreter von SendPay gaben an, dass das Unternehmen keinen Plan habe, den es im Falle einer Vertragskündigung mit dem Unternehmen verfolgen könne, an das sie Aktivitäten auslagern. Stattdessen hatte das Top-Management zwei andere Softwareentwicklungsunternehmen identifiziert, die die gleichen Dienstleistungen anbieten könnten. Wie beschreiben Sie diese Situation?

• A. Inakzeptabel, SendPay muss immer über einen Wiederherstellungsplan verfügen, der angibt, welche Schritte das Unternehmen befolgen sollte
• B. Inakzeptabel, SendPay-Beweise und -Kriterien zur Identifizierung alternativer Softwareentwicklungsunternehmen sind unzureichend
• C. Akzeptabel, SendPay kann entscheiden, ob ein Plan für ähnliche Vertragskündigungen entwickelt wird oder nicht, daher sind keine zusätzlichen Beweise erforderlich