Eine kleine Organisation, die ein ISMS nach ISO/IEC 27001 implementiert, hat beschlossen, die interne Revision an einen Drittanbieter auszulagern. Ist das akzeptabel?

• A. Ja, die Auslagerung der internen Revisionsfunktion an Dritte ist für kleine Organisationen oft eine bessere Option, um Unabhängigkeit und Unparteilichkeit zu demonstrieren.
• B. Nein, die Ausgliederung der internen Revisionsfunktion kann die Unabhängigkeit und Unparteilichkeit des internen Revisionsteams beeinträchtigen
• C. Nein, die Organisationen können die interne Revisionsfunktion nicht an Dritte auslagern, da die Organisation während der internen Revision ihr eigenes System prüft.

Hat Infralink sich gemäß Szenario 3 angemessen auf die Implementierung der Informationssicherheitskontrollen vorbereitet?

• A. Ja, es wurden entsprechende Vorbereitungen getroffen.
• B. Nein, es wurden lediglich technische Spezifikationen erstellt.
• C. Nein, es hätte die beabsichtigten Ergebnisse nicht vor der Implementierung identifizieren sollen.

Szenario 10: ProEBank
Die ProEBank ist ein österreichisches Finanzinstitut, das für sein umfassendes Angebot an Bankdienstleistungen bekannt ist.
Die ProEBank mit Hauptsitz in Wien profitiert vom fortschrittlichen Technologie- und Finanzökosystem der Stadt. Um ihre Sicherheitslage zu verbessern, hat sie ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001 implementiert. Nach einem Jahr im Einsatz des ISMS beschloss das Unternehmen, ein Zertifizierungsaudit zu beantragen, um die Zertifizierung nach ISO/IEC 27001 zu erhalten.
Zur Vorbereitung auf das Audit informierte das Unternehmen zunächst seine Mitarbeiter und organisierte entsprechende Schulungen. Zudem wurden im Vorfeld Dokumente erstellt, um diese bei der Prüfung durch die externen Prüfer bereitzuhalten. Darüber hinaus wurde ermittelt, welche Mitarbeiter über das nötige Fachwissen verfügen, um die externen Prüfer bei der Erläuterung und Bewertung der Prozesse zu unterstützen.
In der Planungsphase des Audits prüfte ProEBank die von der Zertifizierungsstelle bereitgestellte Liste der beauftragten Auditoren. Dabei stellte ProEBank einen potenziellen Interessenkonflikt bei einem der Auditoren fest, der zuvor für den größten Konkurrenten von ProEBank im Bankensektor tätig gewesen war. Um die Integrität des Auditprozesses zu gewährleisten, verweigerte ProEBank die Durchführung des Audits, bis ein vollständig neues Auditteam eingesetzt wurde. Die Zertifizierungsstelle bestätigte den Interessenkonflikt und nahm die notwendigen Anpassungen vor, um die Unparteilichkeit des Auditteams sicherzustellen. Nach Behebung dieses Problems beurteilte das Auditteam, ob das ISMS sowohl den Anforderungen der Norm als auch den Unternehmenszielen entsprach. Dabei konzentrierte sich das Auditteam auf die Prüfung dokumentierter Informationen.
Drei Wochen später führte das Team einen Vor-Ort-Besuch beim Auditierten durch, um zu beurteilen, ob das ISMS den Anforderungen der ISO/IEC 27001 entsprach, effektiv implementiert war und dem Auditierten die Erreichung seiner Informationssicherheitsziele ermöglichte. Nach dem Besuch erstellte das Team die Audit-Schlussfolgerungen und informierte den Auditierten über einige festgestellte kleinere Abweichungen. Der Audit-Teamleiter sprach daraufhin eine Empfehlung zur Zertifizierung aus.
Nach Erhalt der Empfehlung des Leiters des Auditteams setzte die Zertifizierungsstelle einen Ausschuss ein, der über die Zertifizierung entscheiden sollte. Dem Ausschuss gehörten ein Mitglied des Auditteams und zwei weitere Experten der Zertifizierungsstelle an.
Zur Vorbereitung auf das ISO/IEC 27001-Zertifizierungsaudit schulte ProEBank Mitarbeiter, erstellte Dokumentationen und benannte Schlüsselpersonen für die Unterstützung des Audits. Allerdings führte das Unternehmen vor dem Audit keine Selbsteinschätzung durch.
Frage:
Hat ProEBank bei der Vorbereitung auf das Zertifizierungsaudit alle Best Practices befolgt?

• A. Nein – das Unternehmen hätte seine Mitarbeiter nicht über die bevorstehende Prüfung informieren dürfen.
• B. Nein – das Unternehmen hätte zur Vorbereitung auf das Audit auch eine Selbsteinschätzung durchführen müssen.
• C. Ja – das Unternehmen hat alle Best Practices in Vorbereitung auf das Zertifizierungsaudit befolgt.

Szenario 2: NyvMarketing ist eine Marketingagentur, die Kunden aus unterschiedlichen Branchen verschiedene Dienstleistungen anbietet. Mit Expertise in digitalem Marketing, Branding und Marktforschung hat sich NyvMarketing einen guten Ruf für innovative und wirkungsvolle Marketingkampagnen erarbeitet. Angesichts der wachsenden Bedeutung von Datensicherheit und Informationsschutz in der Marketinglandschaft entschied sich das Unternehmen für die Implementierung eines ISMS nach ISO 27001.
Bei der Implementierung seines ISMS stieß NyvMarketing auf eine erhebliche Herausforderung: die Bedrohung durch unzureichende Ressourcen. Diese Herausforderung gefährdete die effektive Umsetzung der ISMS-Ziele und könnte die Bemühungen des Unternehmens zum Schutz vertraulicher Informationen beeinträchtigen. Um dieser Bedrohung zu begegnen, verfolgte NyvMarketing einen proaktiven Ansatz und beauftragte Michael mit der Verwaltung der mit Ressourcenengpässen verbundenen Risiken.
Michael spielte eine entscheidende Rolle bei der Identifizierung und Behebung von Ressourcenlücken, der Entwicklung von Strategien zur Risikominderung und der effektiven Zuweisung von Ressourcen für die ISMS-Implementierung bei NyvMarket*ng, wodurch die Widerstandsfähigkeit des Unternehmens gegenüber Ressourcenproblemen gestärkt wurde.
Darüber hinaus priorisierte NyvMarketing Branchenstandards und Best Practices im Bereich Informationssicherheit und befolgte gewissenhaft die Richtlinien der ISO/IEC 27002. Dieses Engagement, das auf Exzellenz und den Anforderungen der ISO/IEC 27001 beruht, unterstrich NyvMarketings Engagement für die Einhaltung höchster Standards im Bereich Informationssicherheit.
Im Zuge der ISMS-Implementierung verzichtete NyvMarketing auf die Ausklammerung einer der Kompetenzanforderungen (gemäß ISO/IEC 27001, Abschnitt 7.2). Das Unternehmen war der Ansicht, dass seine Belegschaft über die erforderliche Kompetenz zur Erfüllung der ISMS-bezogenen Aufgaben verfügte. Es lieferte jedoch keine gültige Begründung für diese Auslassung. Darüber hinaus wurden bestimmte Kontrollen aus Anhang A der ISO/IEC 27001 nicht implementiert. NyvMarketing versäumte es, eine akzeptable Begründung für diese Ausschlüsse zu liefern.
Während der ISMS-Implementierung hat NFMarketing Schwachstellen, die die Informationssicherheit beeinträchtigen könnten, sorgfältig bewertet. Zu diesen Schwachstellen zählten unzureichende Wartung und fehlerhafte Installation von Speichermedien, unzureichende regelmäßige Austauschpläne für Geräte, unzureichende Softwaretests und ungeschützte Kommunikationsleitungen. NBMarketing war sich bewusst, dass diese Schwachstellen ein Risiko für die Datensicherheit darstellen könnten. Daher hat das Unternehmen Schritte unternommen, um diese spezifischen Schwachstellen durch die Implementierung der erforderlichen Kontrollen und Gegenmaßnahmen zu beheben. Beantworten Sie anhand des obigen Szenarios die folgende Frage.
Im Szenario 2 sah sich NyvMarketing während der ISMS-Implementierung mit der Gefahr unzureichender Ressourcen konfrontiert. In welche der folgenden Kategorien fällt diese Bedrohung?
Welche der folgenden Schwachstellenkategorien hat NyvMarketing bei der ISMS-Implementierung behoben? Siehe Szenario 2.

• A. Physische und administrative Schwachstellen
• B. Organisatorische und Site-Schwachstellen
• C. Hardware-, Software- und Netzwerkschwachstellen
• D. Netzwerk-, Personal- und Standortschwachstellen

Eine Organisation hat eine Kontrolle implementiert, die es dem Unternehmen ermöglicht, Speichermedien über ihren gesamten Lebenszyklus hinweg zu verwalten (Anschaffung, Transport und Entsorgung). Zu welcher Kontrollkategorie gehört diese Kontrolle?

• A. Physisch
• B. Technologisch
• C. Organisatorisch