PECB ISO-IEC-27001-Lead-Implementer Deutsch Exam Questions : PECB Certified ISO/IEC 27001 Lead Implementer Exam (ISO-IEC-27001-Lead-Implementer Deutsch Version)

Die renommierte Bank Org Y. nutzt eine Online-Banking-Plattform, die Kunden einen einfachen und sicheren Zugriff auf ihre Bankkonten ermöglicht. Zur Anmeldung müssen Kunden einen einmaligen Autorisierungscode eingeben, der an ihr Smartphone gesendet wird. Welche Schlussfolgerungen lassen sich aus diesem Szenario ziehen?

• A. Org Y hat eine Sicherheitskontrolle implementiert, die die Vertraulichkeit von Informationen gewährleistet
• B. Org Y hat eine Sicherheitskontrolle falsch implementiert, die zu einer Sicherheitslücke werden könnte
• C. Org Y hat eine Integritätskontrolle implementiert, die die unbeabsichtigte Beschädigung von Daten verhindert

Szenario 10: CircuitLinking ist ein auf Wasseraufbereitungslösungen spezialisiertes Unternehmen, das effiziente Filter- und Aufbereitungssysteme für private und gewerbliche Anwendungen entwickelt und herstellt. In den letzten zwei Jahren hat das Unternehmen aktiv ein integriertes Managementsystem (IMS) implementiert, das sowohl ISO/IEC 27001 für Informationssicherheit als auch ISO 9001 für Qualitätsmanagement erfüllt. Kürzlich hat das Unternehmen ein kombiniertes Audit beantragt, um die Zertifizierung nach ISO/IEC 27001 und ISO 9001 zu erreichen.
Zur Vorbereitung stellte CircuitLinking ein klares Verständnis der ISO/IEC 27001 sicher, identifizierte Fachexperten, stellte Ressourcen bereit und sammelte Dokumentationen zum Nachweis wirksamer Verfahren. Nach Abschluss von Phase 1 (mit Schwerpunkt auf der Überprüfung des Designs) wurde Phase 2 durchgeführt, um Implementierung und Wirksamkeit zu prüfen. Ein Auditor mit einem potenziellen Interessenkonflikt wurde auf Wunsch des Unternehmens ersetzt. Der Auditprozess wurde fortgesetzt, und das Unternehmen erhielt die Zertifizierung.
Bei einem späteren Rezertifizierungsaudit lösten wesentliche Änderungen am Managementsystem eine Bewertung der Stufe 1 aus, um die Auswirkungen zu bewerten.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Im Rahmen des Audits der Stufe 1 bewertete der Auditor die Gestaltung des Managementsystems von CircuitLinking. Ist dieser Ansatz empfehlenswert?

• A. Ja, während des Audits der Stufe 1 sollte der Auditor die Gestaltung des Managementsystems bewerten
• B. Nein, während des Audits der Stufe 1 sollte der Auditor die Wirksamkeit des Managementsystems bewerten
• C. Nein, während des Audits der Stufe 1 sollte der Auditor die physische Infrastruktur des Auditierten bewerten

BotaneBloom wurde Opfer eines Datenlecks, nachdem ein Praktikant versehentlich einen privaten Administratorschlüssel in einem öffentlichen Forum preisgegeben hatte. Das Unternehmen reagierte darauf mit folgenden Maßnahmen: (1) Änderung aller Systemzugangsdaten, (2) Aktualisierung der Einarbeitungsprozesse für Praktikanten und (3) Einführung einer Protokollanalyse der Kontoaktivitäten.
Als Reaktion auf den Datenverstoß änderte das Unternehmen alle Systemzugangsdaten, aktualisierte die Einarbeitungsprozesse für Praktikanten und führte eine Protokollanalyse der Kontoaktivitäten ein. Wie lässt sich die Abfolge der Maßnahmen des Unternehmens im Zusammenhang mit dem Datenverstoß anhand der Kontrollfunktion kategorisieren? Siehe Szenario 2.

• A. Detektiv, Korrektiv, Präventiv
• B. Korrektiv, Präventiv, Detektiv
• C. Präventiv, Korrektiv, Detektiv

Szenario 2: Beauty ist ein Kosmetikunternehmen, das kürzlich vom traditionellen Einzelhandel auf E-Commerce umgestiegen ist. Die Geschäftsleitung hat beschlossen, eine eigene Plattform zu entwickeln und den Zahlungsprozess an einen externen Anbieter auszulagern, der Online-Zahlungssysteme betreibt, die Online-Überweisungen unterstützen.
Aufgrund dieser Umgestaltung des Geschäftsmodells wurden basierend auf den identifizierten Bedrohungen und Schwachstellen kritischer Ressourcen zahlreiche Sicherheitskontrollen implementiert. Zum Schutz der Kundendaten mussten die Mitarbeiter von Beauty eine Vertraulichkeitsvereinbarung unterzeichnen. Darüber hinaus überprüfte das Unternehmen alle Benutzerzugriffsrechte, sodass nur autorisiertes Personal Zugriff auf vertrauliche Dateien hat, und erstellte ein neues Diagramm zur Aufgabentrennung.
Der Übergang gestaltete sich für das IT-Team jedoch schwierig, da es kurz nach der Umstellung auf das E-Commerce-Modell einen Sicherheitsvorfall zu bewältigen hatte. Nach der Untersuchung des Vorfalls kam das Team zu dem Schluss, dass sich ein Angreifer aufgrund der veralteten Anti-Malware-Software den Zugriff auf die Dateien erschlichen und Kundeninformationen, einschließlich Namen und Privatadressen, offengelegt hatte.
Das IT-Team beschloss, die alte Anti-Malware-Software nicht mehr zu verwenden und eine neue zu installieren, die bei ähnlichen Vorfällen Schadcode automatisch entfernen würde. Die neue Software wurde auf allen Arbeitsplätzen im Unternehmen installiert. Anschließend aktualisierte das Team die Software mit den neuesten Malware-Definitionen und aktivierte die automatische Update-Funktion, um sie stets auf dem neuesten Stand zu halten. Zusätzlich wurde ein Authentifizierungsprozess eingerichtet, der für den Zugriff auf vertrauliche Informationen eine Benutzerkennung und ein Kennwort erfordert.
Darüber hinaus hat Beauty eine Reihe von Schulungen zur Informationssicherheit für das IT-Team und andere Mitarbeiter mit Zugriff auf vertrauliche Informationen durchgeführt, um das Bewusstsein für die Bedeutung der System- und Netzwerksicherheit zu schärfen.
Welche der folgenden Aussagen legt nahe, dass Beauty eine Managementkontrolle implementiert hat, die dazu beiträgt, das Auftreten von Vorfällen zu vermeiden? Siehe Szenario 2.

• A. Beauty hat eine Reihe von Schulungen zur Sensibilisierung für Informationssicherheit für das IT-Team und andere Mitarbeiter durchgeführt, die Zugriff auf vertrauliche Informationen haben
• B. Die Mitarbeiter von Beauty haben eine Vertraulichkeitsvereinbarung unterzeichnet
• C. Beauty hat das Diagramm zur Aufgabentrennung aktualisiert

Siehe Szenario 4 (FinSecure)
Finsecure ist ein finnisches Finanzinstitut, das Dienstleistungen für einen vielfältigen Kundenstamm anbietet. Das Angebot umfasst Privatkunden-, Firmenkunden-, Vermögensverwaltungs- und Online-Banking-Dienstleistungen, die auf die sich wandelnden finanziellen Bedürfnisse von Privatpersonen und Unternehmen in der Region zugeschnitten sind. Finsecure hat die entscheidende Bedeutung der Informationssicherheit im modernen Bankwesen erkannt und daher die Implementierung eines Informationssicherheits-Managementsystems (ISMS) gemäß ISO/IEC 27001 initiiert. Um die erfolgreiche Implementierung des ISMS zu gewährleisten, beauftragte die Geschäftsleitung zwei Experten mit der Leitung und Überwachung des Projekts.
Als primäre Strategie für die Implementierung des ISMS wählten die Experten einen Ansatz, der eine zügige Einführung durch die Erfüllung der Mindestanforderungen der ISO/IEC 27001 und anschließende kontinuierliche Verbesserung im Vordergrund stellt. Unter der Anleitung von Experten entschied sich FinSecure zudem für ein methodisches Rahmenwerk. Dieses dient als strukturierter Rahmen, der die wichtigsten Phasen der ISMS-Implementierung, die zugehörigen Aktivitäten und die zu erbringenden Leistungen beschreibt, ohne dabei spezifische Tools einzubeziehen.
Die Experten führten eine Risikoanalyse durch und identifizierten alle relevanten Vermögenswerte, die als die greifbarsten galten. Sie bewerteten die potenziellen Folgen und die Eintrittswahrscheinlichkeit verschiedener Risiken und bestimmten deren Schweregrad mithilfe eines methodischen Ansatzes, der die Definition und Charakterisierung der im Bewertungsprozess verwendeten Begriffe und Kriterien umfasste. Diese Risiken wurden in nicht-numerische Kategorien eingeteilt (z. B. sehr niedrig, niedrig, mittel, hoch, sehr hoch). Zur Begründung der ermittelten Werte wurden sorgfältig ausgearbeitete Erläuterungen verfasst, mit dem Hauptziel, die Wiederholbarkeit und Reproduzierbarkeit der Ergebnisse zu verbessern.
Nach Abschluss der Risikoanalyse überprüften die Experten eine Auswahl der Sicherheitsmaßnahmen aus Anhang A der ISO/IEC 27001, um deren Anwendbarkeit auf den spezifischen Kontext des Unternehmens zu ermitteln. Die Entscheidung zur Implementierung von Sicherheitsmaßnahmen wurde durch die Ergebnisse der Risikoanalyse begründet. Auf dieser Grundlage erstellten sie die Anwendbarkeitserklärung (Statement of Applicability, SoA). Sie konzentrierten sich dabei auf die Kategorie mit hohem Risiko, insbesondere auf die unbefugte Nutzung von Administratorrechten und Systemausfälle aufgrund von Hardwarefehlern. Um diese Probleme zu beheben, erstellten sie eine neue Version der Zugriffskontrollrichtlinie, implementierten Kontrollen zur Verwaltung und Steuerung des Benutzerzugriffs und führten eine Kontrolle zur IT-Bereitschaft ein, um die Geschäftskontinuität zu gewährleisten.
In ihrem Risikobewertungsbericht wurde festgestellt, dass die Risiken akzeptiert werden, wenn die implementierten Sicherheitsmaßnahmen die Risikostufen auf ein akzeptables Niveau senken. Frage:
Wurde die Anwendbarkeitserklärung (Statement of Applicability, SoA) von den Experten gemäß ISO/IEC 27001 erstellt?

• A. Nein – denn die Leistungsbeschreibung hätte unmittelbar vor Abschluss der Risikobewertung erstellt werden müssen.
• B. Nein – weil sie nicht alle Kontrollen aus Anhang A der ISO/IEC 27001 geprüft haben.
• C. Ja – weil sie eine ausgewählte Anzahl der Kontrollen aus Anhang A der ISO/IEC 27001 überprüft haben.