Szenario 2
Knight ist ein Elektronikunternehmen mit Sitz in Nordkalifornien, USA, das Videospielkonsolen entwickelt.
Knight, mit über 300 Mitarbeitern weltweit, feiert sein fünfjähriges Bestehen mit der Einführung der G-Console, einer Gaming-Konsole der nächsten Generation für den internationalen Markt. Die G-Console gilt als die ultimative Medienmaschine des Jahres 2021 und verspricht Spielern ein unvergleichliches Spielerlebnis. Das Konsolenpaket enthält zwei VR-Headsets, zwei Spiele und weitere Geschenke.
Das Unternehmen hat sich über die Jahre einen hervorragenden Ruf für Integrität, Ehrlichkeit und Respekt gegenüber seinen Kunden erworben. Neben seiner ausgeprägten Kundenorientierung genießt Knight aufgrund seiner hohen Qualität auch in der Spielebranche hohes Ansehen.
Als einer der weltweit führenden Entwickler von Videospielkonsolen ist Knight häufig Zielscheibe von Cyberkriminalität. Daher hat das Unternehmen ein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 implementiert und dessen Geltungsbereich den Mitarbeitern in wöchentlichen Meetings erläutert.
Kürzlich wurde Knight jedoch Opfer eines Sicherheitsvorfalls, bei dem Hacker firmeneigene Informationen veröffentlichten. Das Incident-Response-Team (IRT) leitete daraufhin umgehend eine gründliche Untersuchung des Systems und der genauen Umstände des Vorfalls ein. Zunächst vermutete das IRT, dass Mitarbeiter möglicherweise schwache Passwörter verwendet hatten, wodurch Hacker leicht auf ihre Konten zugreifen konnten. Weitere Untersuchungen ergaben jedoch, dass die Hacker den Datenverkehr des File Transfer Protocol (FTP) abgefangen hatten, das Daten zur Authentifizierung mit Klartextpasswörtern überträgt.
Angesichts dieses Sicherheitsvorfalls und gemäß den Empfehlungen des IRT entschied sich Knight, das FTP-Protokoll durch das Secure Shell (SSH)-Protokoll zu ersetzen. Diese Änderung gewährleistet die Verschlüsselung des gesamten erfassten Datenverkehrs und verbessert die Sicherheit somit erheblich.
Nach der Umsetzung dieser Änderungen führte Knight eine Risikobewertung durch, um zu überprüfen, ob die eingeführten Kontrollmaßnahmen das Risiko ähnlicher Vorfälle minimiert hatten. Basierend auf den Ergebnissen der Risikobewertung wählten sie eine Risikobehandlungsoption zur Behebung des Risikos.
Frage
Gemäß Szenario 2 basierte die Risikobehandlungsoption auf den Ergebnissen der Risikobewertung. Ist dies akzeptabel?

• A. Nein, die Risikobehandlungsoptionen sollten zufällig ausgewählt werden, um eine unvoreingenommene Entscheidungsfindung zu gewährleisten.
• B. Nein, die Risikobehandlungsoption sollte unabhängig vom Ergebnis der Risikobewertung ausschließlich auf finanziellen Erwägungen beruhen.
• C. Ja, eine geeignete Risikobehandlungsoption ist die Berücksichtigung der Ergebnisse der Risikobewertung.

Als Audit-Teamleiter führen Sie Ihr erstes ISMS-Überwachungsaudit durch Dritte durch. Sie befinden sich derzeit mit einem anderen Mitglied Ihres Prüfungsteams im Rechenzentrum des geprüften Unternehmens.
Sie befinden sich derzeit in einem großen Raum, der in mehrere kleinere Räume unterteilt ist, die jeweils über ein Zahlenkombinationsschloss und einen Magnetkartenleser an der Tür verfügen. Sie bemerken, dass zwei externe Auftragnehmer eine Magnetkarte und eine Kombinationsnummer verwenden, die Sie an der Rezeption des Zentrums erhalten, um sich Zutritt zu den Räumen eines Kunden zu verschaffen und autorisierte elektrische Reparaturen durchzuführen.
Sie gehen zur Rezeption und fragen nach dem Türzugangsprotokoll für die Suite des Kunden. Dies weist darauf hin, dass nur eine Karte geklaut wurde. Sie fragen die Rezeptionistin und sie antwortet: „Ja, das ist ein häufiges Problem. Wir bitten alle, ihre Karten durchzuziehen, aber vor allem bei Auftragnehmern neigt einer dazu, durchzustreifen, und der Rest drängt sich einfach hinein.“ Aber wir wissen, wer sie sind Anmeldung an der Rezeption.
Welche der folgenden Maßnahmen würden Sie basierend auf dem obigen Szenario jetzt ergreifen?

• A. Teilen Sie der Organisation mit, dass sie ihre Auftragnehmer anschreiben und sie an die Notwendigkeit erinnern muss, Zugangskarten ordnungsgemäß zu verwenden
• B. Nutzen Sie die Gelegenheit zur Verbesserung, indem Sie an der Rezeption ein großes Schild anbringen, das daran erinnert, dass jeder, der Zutritt benötigt, jederzeit seine Magnetkarte verwenden muss
• C. Bieten Sie eine Verbesserungsmöglichkeit an, indem Sie Auftragnehmer beim Zugang zu sicheren Einrichtungen jederzeit begleiten müssen
• D. Melden Sie eine Nichtkonformität gegen Kontrolle A.7.2 „Physischer Zutritt“, da ein sicherer Bereich nicht ausreichend geschützt ist
• E. Melden Sie eine Nichtkonformität gegenüber der Kontrolle A.5.20 „Adressierung der Informationssicherheit in Lieferantenbeziehungen“, da mit dem Lieferanten keine Anforderungen an die Informationssicherheit vereinbart wurden
• F. Stellen Sie fest, ob zusätzliche wirksame Vorkehrungen getroffen wurden, um den individuellen Zugang zu sicheren Bereichen, z. B. Videoüberwachung, zu überprüfen
• G. Melden Sie einen Verstoß gegen die Kontrolle A.7.6 „Arbeiten in sicheren Bereichen“, da keine Sicherheitsmaßnahmen für das Arbeiten in sicheren Bereichen definiert wurden
• H. Ergreifen Sie keine Maßnahmen. Unabhängig von etwaigen Empfehlungen werden Auftragnehmer stets auf diese Weise vorgehen

Szenario:
Nach einem Informationssicherheitsvorfall hat eine Organisation ein umfassendes Backup-Verfahren eingeführt, das regelmäßige, automatisierte Backups aller kritischen Daten an externen Speicherorten umfasst. Welches Prinzip der Informationssicherheit wendet die Organisation in diesem Fall an?

• A. Verfügbarkeit
• B. Integrität
• C. Vertraulichkeit

Szenario 9: UpNet, ein Netzwerkunternehmen, wurde nach ISO/IEC 27001 zertifiziert. Es bietet Netzwerksicherheit, Virtualisierung, Cloud Computing, Netzwerkhardware, Netzwerkverwaltungssoftware und Netzwerktechnologien.
Der Bekanntheitsgrad des Unternehmens ist seit der ISO/IEC 27001-Zertifizierung drastisch gestiegen. Die Zertifizierung bestätigte die Reife des UpNefs-Betriebs und die Einhaltung eines weithin anerkannten und akzeptierten Standards.
Doch nicht alles endete nach der Zertifizierung. UpNet überprüfte und verbesserte kontinuierlich seine Sicherheitskontrollen sowie die allgemeine Wirksamkeit und Effizienz des ISMS durch die Durchführung interner Audits. Das Top-Management war nicht bereit, ein Vollzeitteam interner Prüfer zu beschäftigen, und beschloss daher, die interne Prüffunktion auszulagern. Diese Form der internen Audits gewährleistete Unabhängigkeit, Objektivität und eine beratende Funktion hinsichtlich der kontinuierlichen Verbesserung des ISMS.
Nicht lange nach dem ersten Zertifizierungsaudit gründete das Unternehmen eine neue Abteilung, die auf Daten- und Speicherprodukte spezialisiert war. Sie boten Router und Switches an, die für Rechenzentren und softwarebasierte Netzwerkgeräte wie Netzwerkvirtualisierungs- und Netzwerksicherheits-Appliances optimiert waren. Dies führte zu Änderungen in den Abläufen der anderen Abteilungen, die bereits vom ISMS-Zertifizierungsumfang abgedeckt sind.
Daher. UpNet hat einen Risikobewertungsprozess und ein internes Audit eingeleitet. Nach dem Ergebnis der internen Revision bestätigte das Unternehmen die Wirksamkeit und Effizienz der bestehenden und neuen Prozesse und Kontrollen.
Das Top-Management hat beschlossen, die neue Abteilung in den Zertifizierungsbereich aufzunehmen, da sie den Anforderungen der ISO/IEC 27001 entspricht. UpNet gab bekannt, dass es nach ISO/IEC 27001 zertifiziert ist und der Zertifizierungsumfang das gesamte Unternehmen umfasst.
Ein Jahr nach dem ersten Zertifizierungsaudit führte die Zertifizierungsstelle ein weiteres Audit des UpNefs ISMS durch.
Ziel dieser Prüfung war es, die Erfüllung der festgelegten ISO/IEC 27001-Anforderungen durch das UpNefs ISMS festzustellen und sicherzustellen, dass das ISMS kontinuierlich verbessert wird. Das Auditteam bestätigte, dass das zertifizierte ISMS weiterhin die Anforderungen des Standards erfüllt. Dennoch hatte die neue Abteilung erhebliche Auswirkungen auf die Steuerung des Managementsystems. Darüber hinaus wurden der Zertifizierungsstelle keine Änderungen mitgeteilt. Daher wurde die UpNefs-Zertifizierung ausgesetzt.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
UpNet stellte die Unabhängigkeit, Objektivität und Beratungstätigkeit der internen Revision sicher. Ist diese Aktion akzeptabel?

• A. Ja, denn interne Audits haben eine beratende Funktion
• B. Nein, denn interne Audits sollten unabhängig von den geprüften Aktivitäten sein
• C. Nein, da die interne Revisionsfunktion ausgelagert wurde

Was versteht man unter dem Begriff „Korrekturmaßnahme“? Wähle eins

• A. Es werden Maßnahmen ergriffen, um das Auftreten einer Nichtkonformität oder eines Vorfalls zu verhindern
• B. Es werden Maßnahmen ergriffen, um eine Nichtkonformität oder einen Vorfall zu beheben
• C. Das Management ergreift Maßnahmen, um auf eine Nichtkonformität zu reagieren
• D. Es werden Maßnahmen ergriffen, um die Ursache(n) einer Nichtkonformität oder eines Vorfalls zu beseitigen