최신 ISO-IEC-27001-Lead-Auditor Deutsch 무료덤프 - PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor Deutsch Version)
Szenario 1
Fintive ist ein renommierter Sicherheitsanbieter, der sich auf Online-Zahlungen und Schutzlösungen spezialisiert hat. Das Unternehmen wurde 1999 von Thomas Fin in San Jose, Kalifornien, gegründet und bietet Dienstleistungen für online tätige Unternehmen an, die ihre Informationssicherheit verbessern, Betrug verhindern und Nutzerdaten wie personenbezogene Daten (PII) schützen möchten.
Fintive stützt seine Entscheidungs- und Betriebsprozesse auf frühere Fälle, indem es Kundendaten sammelt, diese dem jeweiligen Fall entsprechend klassifiziert und analysiert.
Anfangs benötigte Fintive eine große Anzahl von Mitarbeitern, um solche komplexen Analysen durchführen zu können.
Mit dem technologischen Fortschritt erkannte das Unternehmen die Chance, ein modernes Tool – einen Chatbot – einzuführen, um Musteranalysen zur Betrugsprävention in Echtzeit durchzuführen. Dieses Tool sollte auch zur Verbesserung des Kundenservice beitragen.
Die ursprüngliche Idee wurde dem Softwareentwicklungsteam mitgeteilt, das die Initiative unterstützte und mit der Projektarbeit beauftragt wurde. Sie begannen, den Chatbot in das bestehende System zu integrieren und setzten sich ein Ziel: 85 % aller Chat-Anfragen sollten beantwortet werden.
Nach erfolgreicher Integration des Chatbots wurde dieser für die Kunden freigegeben. Allerdings wies der Chatbot mehrere Mängel auf. Aufgrund unzureichender Tests und fehlender Beispieldaten während der Trainingsphase – in der er das Anfragemuster erlernen sollte – konnte der Chatbot Nutzeranfragen nicht effektiv beantworten. Zudem sendete er bei ungültigen Eingaben, wie beispielsweise ungewöhnlichen Punktmustern und Sonderzeichen, zufällige Dateien an die Nutzer.
Folglich konnte der Chatbot die Kundenanfragen nicht effektiv beantworten, überlastete den traditionellen Kundensupport und hinderte diesen daran, den Kunden bei ihren Anliegen zu helfen.
Fintive erkannte die potenziellen Risiken und beschloss daher, neue Kontrollmechanismen einzuführen. Diese umfassten die Aktivierung einer umfassenden Protokollierung von Zugriffen, die Konfiguration automatisierter Warnsysteme zur Erkennung ungewöhnlicher Aktivitäten, regelmäßige Zugriffsüberprüfungen und die Überwachung des Systemverhaltens auf Anomalien. Ziel war es, unberechtigte Zugriffe, Fehler oder verdächtige Aktivitäten zeitnah zu erkennen und so sicherzustellen, dass potenzielle Probleme schnell erkannt und untersucht werden können, bevor sie erheblichen Schaden anrichten.
Frage
Welche Kontrollmaßnahmen hat Fintive gemäß Szenario 1 als Reaktion auf die identifizierten Probleme ergriffen?
Fintive ist ein renommierter Sicherheitsanbieter, der sich auf Online-Zahlungen und Schutzlösungen spezialisiert hat. Das Unternehmen wurde 1999 von Thomas Fin in San Jose, Kalifornien, gegründet und bietet Dienstleistungen für online tätige Unternehmen an, die ihre Informationssicherheit verbessern, Betrug verhindern und Nutzerdaten wie personenbezogene Daten (PII) schützen möchten.
Fintive stützt seine Entscheidungs- und Betriebsprozesse auf frühere Fälle, indem es Kundendaten sammelt, diese dem jeweiligen Fall entsprechend klassifiziert und analysiert.
Anfangs benötigte Fintive eine große Anzahl von Mitarbeitern, um solche komplexen Analysen durchführen zu können.
Mit dem technologischen Fortschritt erkannte das Unternehmen die Chance, ein modernes Tool – einen Chatbot – einzuführen, um Musteranalysen zur Betrugsprävention in Echtzeit durchzuführen. Dieses Tool sollte auch zur Verbesserung des Kundenservice beitragen.
Die ursprüngliche Idee wurde dem Softwareentwicklungsteam mitgeteilt, das die Initiative unterstützte und mit der Projektarbeit beauftragt wurde. Sie begannen, den Chatbot in das bestehende System zu integrieren und setzten sich ein Ziel: 85 % aller Chat-Anfragen sollten beantwortet werden.
Nach erfolgreicher Integration des Chatbots wurde dieser für die Kunden freigegeben. Allerdings wies der Chatbot mehrere Mängel auf. Aufgrund unzureichender Tests und fehlender Beispieldaten während der Trainingsphase – in der er das Anfragemuster erlernen sollte – konnte der Chatbot Nutzeranfragen nicht effektiv beantworten. Zudem sendete er bei ungültigen Eingaben, wie beispielsweise ungewöhnlichen Punktmustern und Sonderzeichen, zufällige Dateien an die Nutzer.
Folglich konnte der Chatbot die Kundenanfragen nicht effektiv beantworten, überlastete den traditionellen Kundensupport und hinderte diesen daran, den Kunden bei ihren Anliegen zu helfen.
Fintive erkannte die potenziellen Risiken und beschloss daher, neue Kontrollmechanismen einzuführen. Diese umfassten die Aktivierung einer umfassenden Protokollierung von Zugriffen, die Konfiguration automatisierter Warnsysteme zur Erkennung ungewöhnlicher Aktivitäten, regelmäßige Zugriffsüberprüfungen und die Überwachung des Systemverhaltens auf Anomalien. Ziel war es, unberechtigte Zugriffe, Fehler oder verdächtige Aktivitäten zeitnah zu erkennen und so sicherzustellen, dass potenzielle Probleme schnell erkannt und untersucht werden können, bevor sie erheblichen Schaden anrichten.
Frage
Welche Kontrollmaßnahmen hat Fintive gemäß Szenario 1 als Reaktion auf die identifizierten Probleme ergriffen?
정답: C
설명: (DumpTOP 회원만 볼 수 있음)
Eine Organisation ist auf der Suche nach einer Erstzertifizierung für ein Managementsystem. Bitte geben Sie die Reihenfolge der von der Organisation durchzuführenden Aktivitäten an.
Um die Sequenz abzuschließen, klicken Sie auf den leeren Abschnitt, den Sie vervollständigen möchten, sodass er rot hervorgehoben wird, und klicken Sie dann auf den entsprechenden Text in den Optionen unten. Alternativ können Sie die Optionen auch per Drag-and-Drop in den entsprechenden leeren Abschnitt ziehen.
Um die Sequenz abzuschließen, klicken Sie auf den leeren Abschnitt, den Sie vervollständigen möchten, sodass er rot hervorgehoben wird, und klicken Sie dann auf den entsprechenden Text in den Optionen unten. Alternativ können Sie die Optionen auch per Drag-and-Drop in den entsprechenden leeren Abschnitt ziehen.
정답:
Explanation:
The correct sequence of activities is:
* Establish the management system
* Plan the audit programme
* Conduct internal audits
* Hold a Management Review
* Engage a Certification Body for stage 1 and stage 2 audits
* Complete any corrective actions
Comprehensive but Short Explanation: = According to the PECB Candidate Handbook - ISO/IEC 27001 Lead Auditor, the steps for achieving certification are as follows1:
* Establish the management system: This involves defining the scope, objectives, policies, procedures, and controls of the ISMS, as well as ensuring the availability of resources and top management commitment.
* Plan the audit programme: This involves defining the audit objectives, criteria, scope, frequency, methods, and responsibilities for conducting internal audits of the ISMS.
* Conduct internal audits: This involves verifying the conformity and effectiveness of the ISMS, as well as identifying any nonconformities or opportunities for improvement.
* Hold a Management Review: This involves reviewing the performance and suitability of the ISMS, as well as deciding on any changes or actions needed to improve it.
* Engage a Certification Body for stage 1 and stage 2 audits: This involves selecting a reputable and accredited certification body to conduct an external audit of the ISMS, consisting of two stages: a documentation review and an on-site assessment.
* Complete any corrective actions: This involves addressing any nonconformities or findings identified by the certification body, and providing evidence of their implementation and effectiveness.
= 1: PECB Candidate Handbook - ISO/IEC 27001 Lead Auditor, pages 25-26.
Wer darf auf hochvertrauliche Dateien zugreifen?
정답: C
설명: (DumpTOP 회원만 볼 수 있음)
Der Leiter des Prüfungsteams beschloss, einen technischen Experten in das Prüfungsteam aufzunehmen, um mögliche Wissenslücken der Prüfungsteammitglieder zu schließen. Was sollte der Audit-Teamleiter in diesem Fall beachten?
정답: C
설명: (DumpTOP 회원만 볼 수 있음)
Szenario 6: Sinvestment ist eine Versicherungsgesellschaft, die Haus-, Gewerbe- und Lebensversicherungen anbietet. Das Unternehmen wurde in North Carolina gegründet, expandierte jedoch kürzlich auch an anderen Standorten, darunter Europa und Afrika.
Sinvestment verpflichtet sich, die für seine Branche geltenden Gesetze und Vorschriften einzuhalten und jeglichen Vorfall im Bereich der Informationssicherheit zu verhindern. Sie haben ein ISMS basierend auf ISO/IEC 27001 implementiert und die ISO/IEC 27001-Zertifizierung beantragt.
Mit der Durchführung des Audits wurden von der Zertifizierungsstelle zwei Auditoren beauftragt. Nach Unterzeichnung einer Vertraulichkeitsvereinbarung mit Sinvestment. Sie begannen mit den Prüfungsaktivitäten. Zunächst überprüften sie die vom Standard geforderte Dokumentation, einschließlich der Erklärung des ISMS-Geltungsbereichs, der Informationssicherheitsrichtlinien und der internen Auditberichte. Der Überprüfungsprozess war nicht einfach, da Sinvestment zwar angab, über ein Dokumentationsverfahren zu verfügen, jedoch nicht alle Dokumente das gleiche Format hatten.
Anschließend führte das Prüfungsteam mehrere Interviews mit dem Top-Management von Sinvestment, um deren Rolle bei der ISMS-Implementierung zu verstehen. Alle Aktivitäten des Audits der Stufe 1 wurden aus der Ferne durchgeführt, mit Ausnahme der Überprüfung der dokumentierten Informationen, die auf Wunsch von Sinvestment vor Ort stattfand.
In dieser Phase stellten die Prüfer fest, dass es keine Dokumentation zum Schulungs- und Sensibilisierungsprogramm für Informationssicherheit gab. Auf Nachfrage gaben die Vertreter von Sinvestment an, dass das Unternehmen allen Mitarbeitern Informationssicherheitsschulungen angeboten habe. Das Audit der Stufe 1 vermittelte dem Auditteam ein allgemeines Verständnis der Geschäftstätigkeit und des ISMS von Sinvestment.
Das Audit der Stufe 2 wurde drei Wochen nach dem Audit der Stufe 1 durchgeführt. Das Auditteam stellte fest, dass die Marketingabteilung (die nicht im Auditumfang enthalten war) über keine Verfahren zur Kontrolle der Zugriffsrechte der Mitarbeiter verfügte. Da die Kontrolle der Zugriffsrechte der Mitarbeiter zu den ISO/IEC 27001-Anforderungen gehört und in der Informationssicherheitsrichtlinie des Unternehmens enthalten war, wurde das Thema in den Auditbericht aufgenommen. Darüber hinaus stellte das Auditteam während der Prüfung der Stufe 2 fest, dass Sinvestment keine Protokolle der Benutzeraktivitäten aufzeichnete.
In den Verfahren des Unternehmens hieß es, dass „Protokolle, die Benutzeraktivitäten aufzeichnen, aufbewahrt und regelmäßig überprüft werden sollten“, das Unternehmen legte jedoch keine Beweise für die Umsetzung eines solchen Verfahrens vor.
Bei allen Prüfungstätigkeiten nutzten die Prüfer Beobachtungen, Befragungen, dokumentierte Informationsprüfungen, Analysen und technische Überprüfungen, um Informationen und Beweise zu sammeln. Alle Auditfeststellungen der Stufen 1 und 2 wurden analysiert und das Auditteam beschloss, eine positive Empfehlung zur Zertifizierung auszusprechen.
Während der Prüfung der Stufe 1 stellte das Prüfungsteam fest, dass Sinvestment keine Aufzeichnungen über Schulungen und Sensibilisierung für Informationssicherheit hatte. Was macht Sinvestment in diesem Fall? Siehe Szenario 6.
Sinvestment verpflichtet sich, die für seine Branche geltenden Gesetze und Vorschriften einzuhalten und jeglichen Vorfall im Bereich der Informationssicherheit zu verhindern. Sie haben ein ISMS basierend auf ISO/IEC 27001 implementiert und die ISO/IEC 27001-Zertifizierung beantragt.
Mit der Durchführung des Audits wurden von der Zertifizierungsstelle zwei Auditoren beauftragt. Nach Unterzeichnung einer Vertraulichkeitsvereinbarung mit Sinvestment. Sie begannen mit den Prüfungsaktivitäten. Zunächst überprüften sie die vom Standard geforderte Dokumentation, einschließlich der Erklärung des ISMS-Geltungsbereichs, der Informationssicherheitsrichtlinien und der internen Auditberichte. Der Überprüfungsprozess war nicht einfach, da Sinvestment zwar angab, über ein Dokumentationsverfahren zu verfügen, jedoch nicht alle Dokumente das gleiche Format hatten.
Anschließend führte das Prüfungsteam mehrere Interviews mit dem Top-Management von Sinvestment, um deren Rolle bei der ISMS-Implementierung zu verstehen. Alle Aktivitäten des Audits der Stufe 1 wurden aus der Ferne durchgeführt, mit Ausnahme der Überprüfung der dokumentierten Informationen, die auf Wunsch von Sinvestment vor Ort stattfand.
In dieser Phase stellten die Prüfer fest, dass es keine Dokumentation zum Schulungs- und Sensibilisierungsprogramm für Informationssicherheit gab. Auf Nachfrage gaben die Vertreter von Sinvestment an, dass das Unternehmen allen Mitarbeitern Informationssicherheitsschulungen angeboten habe. Das Audit der Stufe 1 vermittelte dem Auditteam ein allgemeines Verständnis der Geschäftstätigkeit und des ISMS von Sinvestment.
Das Audit der Stufe 2 wurde drei Wochen nach dem Audit der Stufe 1 durchgeführt. Das Auditteam stellte fest, dass die Marketingabteilung (die nicht im Auditumfang enthalten war) über keine Verfahren zur Kontrolle der Zugriffsrechte der Mitarbeiter verfügte. Da die Kontrolle der Zugriffsrechte der Mitarbeiter zu den ISO/IEC 27001-Anforderungen gehört und in der Informationssicherheitsrichtlinie des Unternehmens enthalten war, wurde das Thema in den Auditbericht aufgenommen. Darüber hinaus stellte das Auditteam während der Prüfung der Stufe 2 fest, dass Sinvestment keine Protokolle der Benutzeraktivitäten aufzeichnete.
In den Verfahren des Unternehmens hieß es, dass „Protokolle, die Benutzeraktivitäten aufzeichnen, aufbewahrt und regelmäßig überprüft werden sollten“, das Unternehmen legte jedoch keine Beweise für die Umsetzung eines solchen Verfahrens vor.
Bei allen Prüfungstätigkeiten nutzten die Prüfer Beobachtungen, Befragungen, dokumentierte Informationsprüfungen, Analysen und technische Überprüfungen, um Informationen und Beweise zu sammeln. Alle Auditfeststellungen der Stufen 1 und 2 wurden analysiert und das Auditteam beschloss, eine positive Empfehlung zur Zertifizierung auszusprechen.
Während der Prüfung der Stufe 1 stellte das Prüfungsteam fest, dass Sinvestment keine Aufzeichnungen über Schulungen und Sensibilisierung für Informationssicherheit hatte. Was macht Sinvestment in diesem Fall? Siehe Szenario 6.
정답: C
설명: (DumpTOP 회원만 볼 수 있음)
Welche der folgenden Optionen beschreibt den Zweck eines Audits der Stufe 2 am besten?
정답: D
설명: (DumpTOP 회원만 볼 수 있음)
Szenario 7: Lawsy ist eine führende Anwaltskanzlei mit Niederlassungen in New Jersey und New York City. Über 50 Anwälte bieten ihren Mandanten anspruchsvolle Rechtsdienstleistungen in den Bereichen Wirtschafts- und Handelsrecht, geistiges Eigentum, Bank- und Finanzdienstleistungen an. Sie glauben, dass sie dank ihres Engagements, Best Practices für die Informationssicherheit umzusetzen und über die technologischen Entwicklungen auf dem Laufenden zu bleiben, eine komfortable Marktposition einnehmen.
Lawsy implementiert, bewertet und führt seit zwei Jahren konsequent interne Audits für ein ISMS durch.
Jetzt haben sie die ISO/IEC 27001-Zertifizierung bei ISMA, einer bekannten und vertrauenswürdigen Zertifizierungsstelle, beantragt.
Während des Audits der Stufe 1 überprüfte das Auditteam alle während der Implementierung erstellten ISMS-Dokumente.
Sie überprüften und bewerteten auch die Aufzeichnungen aus Managementbewertungen und internen Audits.
Lawsy legte Nachweise darüber vor, dass bei Bedarf Korrekturmaßnahmen bei Nichtkonformitäten durchgeführt wurden, sodass das Auditteam den internen Prüfer befragte. Das Interview bestätigte die Angemessenheit und Häufigkeit der internen Audits, indem es detaillierte Einblicke in den internen Auditplan und die internen Auditverfahren gab.
Das Auditteam setzte die Überprüfung strategischer Dokumente fort, einschließlich der Informationssicherheitsrichtlinie und der Risikobewertungskriterien. Während der Überprüfung der Informationssicherheitsrichtlinien stellte das Team Inkonsistenzen zwischen den dokumentierten Informationen zur Beschreibung des Governance-Rahmens (dh der Informationssicherheitsrichtlinie) und den Verfahren fest.
Obwohl es den Mitarbeitern erlaubt war, die Laptops außerhalb des Arbeitsplatzes mitzunehmen, verfügte Lawsy nicht über Verfahren für die Verwendung von Laptops in solchen Fällen. Die Richtlinie enthielt lediglich allgemeine Informationen zur Nutzung von Laptops. Das Unternehmen verließ sich auf das Allgemeinwissen der Mitarbeiter, um die Vertraulichkeit und Integrität der auf den Laptops gespeicherten Informationen zu schützen. Dieses Problem wurde im Auditbericht der Stufe 1 dokumentiert.
Nach Abschluss der Prüfung der Stufe 1 erstellte der Leiter des Prüfungsteams den Prüfungsplan, der die Prüfungsziele, den Umfang, die Kriterien und die Verfahren berücksichtigte.
Während der Prüfung der Stufe 2 befragte das Prüfungsteam den Informationssicherheitsmanager, der die Informationssicherheitsrichtlinie entworfen hatte. Er begründete das in Stufe 1 festgestellte Problem damit, dass Lawsy alle drei Monate obligatorische Informationssicherheitsschulungen und Sensibilisierungssitzungen durchführt.
Im Anschluss an das Interview untersuchte das Auditteam 15 Mitarbeiterschulungsaufzeichnungen (von 50) und kam zu dem Schluss, dass Lawsy die Anforderungen von ISO/IEC 27001 in Bezug auf Schulung und Sensibilisierung erfüllt. Um diese Schlussfolgerung zu untermauern, fotokopierten sie die untersuchten Schulungsunterlagen der Mitarbeiter.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Sollte der Auditor die Kopien der Schulungsunterlagen der Mitarbeiter nach Abschluss des Audits archivieren? Siehe Szenario 7.
Lawsy implementiert, bewertet und führt seit zwei Jahren konsequent interne Audits für ein ISMS durch.
Jetzt haben sie die ISO/IEC 27001-Zertifizierung bei ISMA, einer bekannten und vertrauenswürdigen Zertifizierungsstelle, beantragt.
Während des Audits der Stufe 1 überprüfte das Auditteam alle während der Implementierung erstellten ISMS-Dokumente.
Sie überprüften und bewerteten auch die Aufzeichnungen aus Managementbewertungen und internen Audits.
Lawsy legte Nachweise darüber vor, dass bei Bedarf Korrekturmaßnahmen bei Nichtkonformitäten durchgeführt wurden, sodass das Auditteam den internen Prüfer befragte. Das Interview bestätigte die Angemessenheit und Häufigkeit der internen Audits, indem es detaillierte Einblicke in den internen Auditplan und die internen Auditverfahren gab.
Das Auditteam setzte die Überprüfung strategischer Dokumente fort, einschließlich der Informationssicherheitsrichtlinie und der Risikobewertungskriterien. Während der Überprüfung der Informationssicherheitsrichtlinien stellte das Team Inkonsistenzen zwischen den dokumentierten Informationen zur Beschreibung des Governance-Rahmens (dh der Informationssicherheitsrichtlinie) und den Verfahren fest.
Obwohl es den Mitarbeitern erlaubt war, die Laptops außerhalb des Arbeitsplatzes mitzunehmen, verfügte Lawsy nicht über Verfahren für die Verwendung von Laptops in solchen Fällen. Die Richtlinie enthielt lediglich allgemeine Informationen zur Nutzung von Laptops. Das Unternehmen verließ sich auf das Allgemeinwissen der Mitarbeiter, um die Vertraulichkeit und Integrität der auf den Laptops gespeicherten Informationen zu schützen. Dieses Problem wurde im Auditbericht der Stufe 1 dokumentiert.
Nach Abschluss der Prüfung der Stufe 1 erstellte der Leiter des Prüfungsteams den Prüfungsplan, der die Prüfungsziele, den Umfang, die Kriterien und die Verfahren berücksichtigte.
Während der Prüfung der Stufe 2 befragte das Prüfungsteam den Informationssicherheitsmanager, der die Informationssicherheitsrichtlinie entworfen hatte. Er begründete das in Stufe 1 festgestellte Problem damit, dass Lawsy alle drei Monate obligatorische Informationssicherheitsschulungen und Sensibilisierungssitzungen durchführt.
Im Anschluss an das Interview untersuchte das Auditteam 15 Mitarbeiterschulungsaufzeichnungen (von 50) und kam zu dem Schluss, dass Lawsy die Anforderungen von ISO/IEC 27001 in Bezug auf Schulung und Sensibilisierung erfüllt. Um diese Schlussfolgerung zu untermauern, fotokopierten sie die untersuchten Schulungsunterlagen der Mitarbeiter.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Sollte der Auditor die Kopien der Schulungsunterlagen der Mitarbeiter nach Abschluss des Audits archivieren? Siehe Szenario 7.
정답: C
설명: (DumpTOP 회원만 볼 수 있음)
Wählen Sie die Wörter aus, die den Satz am besten vervollständigen:
정답:
Explanation:
"In a third-party audit an observation can indicate conformity at organisation is not required to take action." According to the PECB Candidate Handbook1, an observation is "a statement of fact made during an audit and substantiated by objective evidence". An observation can indicate conformity or nonconformity, but it does not require any corrective action from the audited organisation. A recommendation, on the other hand, is
"a suggestion for improvement based on an observation". A recommendation may or may not be accepted by the audited organisation.
According to the Fundamentals - Third parties2, a third-party audit is "an audit conducted by an external organisation that has the legal right to audit an organisation's processes and procedures". A third-party audit can result in a finding, which is "a conclusion reached by the auditor based on the audit evidence collected".
A finding can be positive or negative, depending on whether the audited organisation meets the audit criteria or not. A nonconformity is "a finding that indicates the non-fulfilment of a requirement". A nonconformity requires corrective action from the audited organisation to prevent recurrence.
Szenario 4: SendPay ist ein Finanzunternehmen, das seine Dienstleistungen über ein Netzwerk von Agenten und Finanzinstituten anbietet. Eine ihrer Hauptdienstleistungen ist der weltweite Geldtransfer. SendPay ist als neues Unternehmen bestrebt, seinen Kunden erstklassige Dienstleistungen anzubieten. Da das Unternehmen internationale Transaktionen anbietet, verlangt es von seinen Kunden die Angabe personenbezogener Daten, wie z. B. ihre Identität, den Grund der Transaktionen und andere Details, die für den Abschluss der Transaktion erforderlich sein könnten. Daher hat SendPay Sicherheitsmaßnahmen zum Schutz der Informationen seiner Kunden implementiert, einschließlich der Erkennung, Untersuchung und Reaktion auf eventuell auftretende Bedrohungen der Informationssicherheit. Ihr Engagement, sichere Dienste anzubieten, spiegelte sich auch bei der ISMS-Implementierung wider, in die das Unternehmen viel Zeit und Ressourcen investierte.
Letztes Jahr stellte SendPay seine digitale Plattform vor, die Geldtransaktionen über elektronische Geräte wie Smartphones oder Laptops ermöglicht, ohne dass eine zusätzliche Gebühr anfällt. Über diese Plattform können die Kunden von SendPay von überall und zu jeder Zeit Geld senden und empfangen. Die digitale Plattform half SendPay, die Abläufe des Unternehmens zu vereinfachen und sein Geschäft weiter auszubauen. Zu diesem Zeitpunkt lagerte SendPay seinen Softwarebetrieb aus, daher wurde das Projekt vom Softwareentwicklungsteam des ausgelagerten Unternehmens abgeschlossen.
Dasselbe Team war auch für die Wartung der Technologieinfrastruktur von SendPay verantwortlich.
Vor kurzem beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es fast ein Jahr lang über ein ISMS verfügte. Sie beauftragten eine Zertifizierungsstelle, die ihren Kriterien entsprach. Kurz darauf ernannte die Zertifizierungsstelle ein Team aus vier Prüfern, um das ISMS von SendPay zu prüfen.
Bei der Prüfung wurden unter anderem folgende Situationen beobachtet:
1. Das ausgelagerte Softwareunternehmen hatte den Vertrag mit SendPay fristlos gekündigt. Infolgedessen war SendPay nicht in der Lage, die Dienste sofort wieder intern anzubieten, und der Betrieb war fünf Tage lang unterbrochen. Die Prüfer forderten von den Vertretern von SendPay den Nachweis, dass sie einen Plan haben, den sie im Falle einer Vertragskündigung befolgen sollen. Die Vertreter legten keine dokumentarischen Beweise vor, teilten den Prüfern jedoch während eines Interviews mit, dass das Top-Management von SendPay zwei weitere Softwareentwicklungsunternehmen identifiziert habe, die sofort Dienstleistungen erbringen könnten, wenn ähnliche Situationen erneut auftreten.
2. Es lagen keine Beweise für die Überwachung der an das Softwareentwicklungsunternehmen ausgelagerten Tätigkeiten vor. Die Vertreter von SendPay teilten den Prüfern erneut mit, dass sie regelmäßig mit dem Softwareentwicklungsunternehmen kommunizieren und über mögliche Änderungen angemessen informiert sind.
3. Beim Firewall-Test wurde keine Nichtkonformität festgestellt. Die Prüfer testeten die Firewall-Konfiguration, um das Sicherheitsniveau dieser Dienste zu ermitteln. Zum Testen der Firewall-Richtlinien verwendeten sie einen Paketanalysator, der es ihnen ermöglichte, die gesendeten oder empfangenen Pakete in Echtzeit zu überprüfen.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
In Bezug auf die dritte beobachtete Situation testeten die Prüfer selbst die Konfiguration der im SendPay-Netzwerk implementierten Firewalls. Wie beschreiben Sie diese Situation? Siehe Szenario 4.
Letztes Jahr stellte SendPay seine digitale Plattform vor, die Geldtransaktionen über elektronische Geräte wie Smartphones oder Laptops ermöglicht, ohne dass eine zusätzliche Gebühr anfällt. Über diese Plattform können die Kunden von SendPay von überall und zu jeder Zeit Geld senden und empfangen. Die digitale Plattform half SendPay, die Abläufe des Unternehmens zu vereinfachen und sein Geschäft weiter auszubauen. Zu diesem Zeitpunkt lagerte SendPay seinen Softwarebetrieb aus, daher wurde das Projekt vom Softwareentwicklungsteam des ausgelagerten Unternehmens abgeschlossen.
Dasselbe Team war auch für die Wartung der Technologieinfrastruktur von SendPay verantwortlich.
Vor kurzem beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es fast ein Jahr lang über ein ISMS verfügte. Sie beauftragten eine Zertifizierungsstelle, die ihren Kriterien entsprach. Kurz darauf ernannte die Zertifizierungsstelle ein Team aus vier Prüfern, um das ISMS von SendPay zu prüfen.
Bei der Prüfung wurden unter anderem folgende Situationen beobachtet:
1. Das ausgelagerte Softwareunternehmen hatte den Vertrag mit SendPay fristlos gekündigt. Infolgedessen war SendPay nicht in der Lage, die Dienste sofort wieder intern anzubieten, und der Betrieb war fünf Tage lang unterbrochen. Die Prüfer forderten von den Vertretern von SendPay den Nachweis, dass sie einen Plan haben, den sie im Falle einer Vertragskündigung befolgen sollen. Die Vertreter legten keine dokumentarischen Beweise vor, teilten den Prüfern jedoch während eines Interviews mit, dass das Top-Management von SendPay zwei weitere Softwareentwicklungsunternehmen identifiziert habe, die sofort Dienstleistungen erbringen könnten, wenn ähnliche Situationen erneut auftreten.
2. Es lagen keine Beweise für die Überwachung der an das Softwareentwicklungsunternehmen ausgelagerten Tätigkeiten vor. Die Vertreter von SendPay teilten den Prüfern erneut mit, dass sie regelmäßig mit dem Softwareentwicklungsunternehmen kommunizieren und über mögliche Änderungen angemessen informiert sind.
3. Beim Firewall-Test wurde keine Nichtkonformität festgestellt. Die Prüfer testeten die Firewall-Konfiguration, um das Sicherheitsniveau dieser Dienste zu ermitteln. Zum Testen der Firewall-Richtlinien verwendeten sie einen Paketanalysator, der es ihnen ermöglichte, die gesendeten oder empfangenen Pakete in Echtzeit zu überprüfen.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
In Bezug auf die dritte beobachtete Situation testeten die Prüfer selbst die Konfiguration der im SendPay-Netzwerk implementierten Firewalls. Wie beschreiben Sie diese Situation? Siehe Szenario 4.
정답: C
설명: (DumpTOP 회원만 볼 수 있음)
Sie haben eine gedruckte Kopie eines Kundenentwurfsdokuments, die Sie entsorgen möchten. Was würden Sie tun
정답: D
설명: (DumpTOP 회원만 볼 수 있음)