Try PECB : ISO-IEC-27001-Lead-Auditor Deutsch valid & accurate questions and answers

Szenario 3: Rebuildy ist ein Bauunternehmen mit Sitz in Bangkok, Thailand, das sich auf die Planung, den Bau und die Instandhaltung von Wohngebäuden spezialisiert hat. Um die Sicherheit sensibler Projektdaten und Kundeninformationen zu gewährleisten, entschied sich Rebuildy für die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) gemäß ISO/IEC 27001. Dies umfasste ein umfassendes Verständnis der Informationssicherheitsrisiken, einen definierten Ansatz zur kontinuierlichen Verbesserung und robuste Geschäftslösungen.
Die Ergebnisse der ISMS-Implementierung werden im Folgenden dargestellt.
Informationssicherheit wird durch die Anwendung einer Reihe von Sicherheitskontrollen und die Festlegung von Richtlinien, Prozessen und Verfahren erreicht.
Die Sicherheitsmaßnahmen werden auf Basis einer Risikobewertung umgesetzt und zielen darauf ab, Risiken zu eliminieren oder auf ein akzeptables Niveau zu reduzieren.
*Alle Prozesse gewährleisten die kontinuierliche Verbesserung des ISMS auf Basis des Plan-Do-Check-Act (PDCA)-Modells.
Die Informationssicherheitsrichtlinie ist Teil eines Sicherheitshandbuchs, das auf Basis bewährter Sicherheitspraktiken erstellt wurde. Daher handelt es sich nicht um ein eigenständiges Dokument.
*Die Aufgaben und Verantwortlichkeiten im Bereich Informationssicherheit sind in jeder Stellenbeschreibung klar aufgeführt.
*Management-Reviews des ISMS werden in geplanten Abständen durchgeführt.
Rebuildy beantragte die Zertifizierung nach zwei Zwischenbewertungen des Managements und einem jährlichen internen Audit. Vor dem Zertifizierungsaudit wandte sich ein ehemaliger Mitarbeiter von Rebuildy an ein Mitglied des Auditteams und teilte mit, dass Rebuildy mehrere Sicherheitsprobleme habe, die das Unternehmen zu vertuschen versuche. Der ehemalige Mitarbeiter legte dem Auditteammitglied die dokumentierten Beweise vor. Electra, ein wichtiger Kunde von Rebuildy, reichte ebenfalls Beweise zu denselben Problemen ein, und der Auditor entschied, diese Beweise anstelle derer des ehemaligen Mitarbeiters zu verwenden. Das Auditteammitglied blieb bis zum Abschluss des Audits mit Electra in Kontakt und besprach die festgestellten Abweichungen. Electra lieferte weitere Beweise zur Untermauerung dieser Feststellungen.
Zu Beginn des Audits befragte das Auditteam die Geschäftsleitung des Unternehmens. Dabei wurde unter anderem das Engagement der Geschäftsleitung für die Implementierung des Informationssicherheitsmanagementsystems (ISMS) erörtert. Die in diesen Gesprächen gewonnenen Erkenntnisse wurden schriftlich dokumentiert und dienten der Feststellung der Konformität von Rebuildy mit verschiedenen Abschnitten der ISO/IEC 27001. Die von Electra erhaltenen Dokumente wurden dem Auditbericht zusammen mit dem Bericht über die festgestellten Abweichungen beigefügt. Unter anderem wurden folgende Abweichungen festgestellt:
Im Finanzberichtssystem des Unternehmens wurde ein Fall von fehlerhaften Benutzerzugriffskontrolleinstellungen festgestellt.
Es wurde keine eigenständige Informationssicherheitsrichtlinie erstellt. Stattdessen verwendet das Unternehmen ein Sicherheitshandbuch, das auf Basis bewährter Sicherheitspraktiken erstellt wurde.
Nach Erhalt der Unterlagen vom Prüfungsteam traf sich der Teamleiter mit der Geschäftsleitung von Rebuildy, um die Prüfungsergebnisse zu präsentieren. Das Prüfungsteam berichtete über Mängel im Finanzberichtssystem und das Fehlen einer eigenständigen Informationssicherheitsrichtlinie. Die Geschäftsleitung zeigte sich unzufrieden mit den Ergebnissen und warf dem Teamleiter unprofessionelles Verhalten vor, was implizierte, dass sie möglicherweise einen Wechsel fordern würde. Unter Druck geraten, entschied sich der Teamleiter zur Zusammenarbeit mit der Geschäftsleitung, um die Bedeutung der festgestellten Abweichungen herunterzuspielen. Infolgedessen passte er den Bericht an, um ein positiveres Bild zu zeichnen und so das wahre Ausmaß der Compliance-Probleme bei Rebuildy zu verschleiern.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Auf Grundlage des letzten Absatzes von Szenario 3: Was hat der Leiter des Prüfungsteams zugesagt?

• A. Einfache Fahrlässigkeit
• B. Grobe Fahrlässigkeit
• C. Betrug

Welche der folgenden Optionen beschreibt den Zweck eines Audits der Stufe 2 am besten?

• A. Zur Bewertung der Umsetzung des Managementsystems
• B. Um die Prozesse der Organisation kennenzulernen
• C. Um sicherzustellen, dass der Prüfplan ausgeführt wird
• D. Zur Überprüfung der Rechtskonformität durch die Organisation

Die Prüferkompetenz ist eine Kombination aus Wissen und Fähigkeiten. Welche zwei der folgenden Aktivitäten haben überwiegend mit „Wissen“ zu tun?

• A. Folgen Sie einem Prüfpfad, der von der vorbereiteten Checkliste abweicht
• B. Bestimmen, welche Beweise gesammelt werden sollen
• C. Entwerfen einer Checkliste
• D. Kommunizieren Sie mit der geprüften Stelle
• E. Verstehen, wie man Ergebnisse identifiziert
• F. Festlegung, wie Beweise vom geprüften Unternehmen eingeholt werden sollen

Sie sind ein erfahrener ISMS-Prüfungsteamleiter, der einen Prüfer in der Schulung leitet. Sie fragt Sie nach der Einstufung von Abweichungen in Auditberichten. Sie beschließen, ihr Wissen zu testen, indem Sie sie fragen, welche vier der folgenden Aussagen wahr sind.

• A. Schwerwiegende Nichtkonformitäten können einer Nachverfolgung vor Ort unterliegen
• B. Die Einstufung von Nichtkonformitäten muss dem geprüften Unternehmen in der Eröffnungsbesprechung erläutert werden
• C. Sehr geringfügige Abweichungen sollten als Verbesserungsmöglichkeiten neu bewertet werden
• D. Mehrere geringfügige Nichtkonformitäten können zu einer großen Nichtkonformität zusammengefasst werden
• E. Abweichungen dürfen nur mit den Begriffen „major“ oder „minor“ bewertet werden.
• F. Nichtkonformitäten können bewertet werden, um ihre Bedeutung anzuzeigen
• G. Die zur Behebung schwerwiegender Nichtkonformitäten ergriffenen Maßnahmen sind in der Regel umfangreicher als die zur Behebung geringfügiger Nichtkonformitäten ergriffenen Maßnahmen
• H. Für die Festlegung der Kriterien zur Einstufung von Nichtkonformitäten ist stets das geprüfte Unternehmen verantwortlich

Frage:
Welche der folgenden Situationen stellt eine Bedrohung dar?

• A. Ein Mitarbeiter greift mit seinen legitimen Zugangsdaten unbefugt auf Dateien zu.
• B. Cyberangreifer drangen in das Netzwerk ein, indem sie eine Zero-Day-Schwachstelle in der Firewall-Software der Organisation ausnutzten.
• C. Eine Organisation versäumt es, die Multi-Faktor-Authentifizierung (MFA) für ihre Cloud-Dienste zu implementieren.