Informationen oder Daten, die als ______ klassifiziert sind, bedürfen keiner Kennzeichnung.

• A. Öffentlich
• B. Intern
• C. Vertraulich
• D. Streng vertraulich

Sie führen ein ISMS-Audit in einem Pflegeheim namens ABC durch, das Gesundheitsdienstleistungen anbietet.
Der nächste Schritt in Ihrem Prüfplan besteht darin, die Informationssicherheit der Entwicklung, des Supports und des Lebenszyklusprozesses der mobilen Apps für das Gesundheitswesen von ABC zu überprüfen. Während des Audits haben Sie erfahren, dass das Unternehmen die Entwicklung mobiler Apps an ein professionelles Softwareentwicklungsunternehmen mit Zertifizierungen nach CMMI Level 5, ITSM (ISO/IEC 20000-1), BCMS (ISO 22301) und ISMS (ISO/IEC 27001) ausgelagert hat.
Der IT-Manager stellt das Software-Sicherheitsmanagementverfahren vor und fasst den Prozess wie folgt zusammen:
Bei der Entwicklung mobiler Apps müssen mindestens die Grundsätze „Security by Design“ und „Security by Default“ berücksichtigt werden. Folgende Sicherheitsfunktionen zum Schutz personenbezogener Daten stehen zur Verfügung:
Zugangskontrolle.
Verschlüsselung personenbezogener Daten, d. h. Advanced Encryption Standard (AES)-Algorithmus, Schlüssellängen: 256 Bit; und Pseudonymisierung personenbezogener Daten.
Auf Schwachstelle geprüft und keine Sicherheits-Hintertür vorhanden
Sie probieren den neuesten Testbericht für mobile Apps aus – Referenz-ID: 0098, Details wie folgt:


Sie möchten andere Bereiche weiter untersuchen, um mehr Prüfungsnachweise zu sammeln. Wählen Sie drei Optionen aus, die nicht in Ihrem Audit-Trail enthalten sein werden.

• A. Sammeln Sie mehr Beweise darüber, wie die Organisation die Informationssicherheit bei der Auswahl eines externen Dienstleisters verwaltet. (Relevant für Kontrolle A.5.19)
• B. Sammeln Sie weitere Nachweise, um die Zertifizierung des Entwicklers nach CMMI Level 5, ITSM (ISO/IEC 20000-1), BCMS (ISO 22301) und ISMS (ISO/IEC 27001) zu überprüfen. (Relevant für Kontrolle A.5.21)
• C. Sammeln Sie weitere Beweise zur Geschäftskontinuitätsrichtlinie der Organisation. (Relevant für Kontrolle A.5.30)
• D. Sammeln Sie weitere Beweise, um die Anzahl der Benutzer der mobilen Gesundheits-App von ABC zu ermitteln. (relevant für Abschnitt 4.2)
• E. Sammeln Sie weitere Belege darüber, wie viel die Familienangehörigen der Bewohner für die Installation der mobilen Gesundheits-App von ABC zahlen. (Bezogen auf Abschnitt 4.2)
• F. Sammeln Sie mehr Beweise darüber, wie die Organisation Tests zum Umgang mit personenbezogenen Daten durchführt. (Relevant für Kontrolle A.5.34)
• G. Sammeln Sie weitere Beweise, indem Sie die mobile App auf Ihr Telefon herunterladen und testen. (Relevant für Kontrolle A.8.1)
• H. Sammeln Sie mehr Beweise darüber, wie der Entwickler sein Produktsupportpersonal schult. (Bezogen auf Abschnitt 7.2)

Szenario 2:
Clinic, gegründet in den 1990er-Jahren, ist ein Medizintechnikunternehmen, das sich auf die Behandlung von Herzerkrankungen und komplexe chirurgische Eingriffe spezialisiert hat. Das in Europa ansässige Unternehmen betreut sowohl Patienten als auch medizinisches Fachpersonal. Clinic erfasst Patientendaten, um Behandlungen individuell anzupassen, Behandlungsergebnisse zu überwachen und die Gerätefunktionalität zu verbessern. Zur Erhöhung der Datensicherheit und zum Aufbau von Vertrauen implementiert Clinic ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001. Diese Initiative unterstreicht das Engagement von Clinic für den sicheren Umgang mit sensiblen Patientendaten und firmeneigenen Technologien.
Die Klinik legte den Geltungsbereich ihres Informationssicherheitsmanagementsystems (ISMS) ausschließlich unter Berücksichtigung interner Belange, Schnittstellen, Abhängigkeiten zwischen internen und ausgelagerten Aktivitäten sowie der Erwartungen der beteiligten Parteien fest. Dieser Geltungsbereich wurde sorgfältig dokumentiert und öffentlich zugänglich gemacht. Bei der Definition ihres ISMS konzentrierte sich die Klinik insbesondere auf Schlüsselprozesse in kritischen Abteilungen wie Forschung und Entwicklung, Patientendatenmanagement und Kundensupport.
Trotz anfänglicher Herausforderungen hielt die Klinik an der Implementierung ihres ISMS fest und passte die Sicherheitsmaßnahmen an ihre spezifischen Bedürfnisse an. Das Projektteam schloss bestimmte Kontrollen aus Anhang A der ISO/IEC 27001 aus und integrierte stattdessen zusätzliche branchenspezifische Kontrollen zur Erhöhung der Sicherheit. Das Team bewertete die Anwendbarkeit dieser Kontrollen anhand interner und externer Faktoren und erstellte schließlich eine umfassende Anwendbarkeitserklärung (Statement of Applicability, SoA), die die Gründe für die Auswahl und Implementierung der Kontrollen detailliert darlegt.
Im Zuge der Zertifizierungsvorbereitungen wandte Brian, der zum Teamleiter ernannt wurde, eine eigenständige Risikobewertungsmethodik an, um die strategischen Herausforderungen und Sicherheitspraktiken des Unternehmens zu identifizieren und zu bewerten. Dieser proaktive Ansatz stellte sicher, dass die Risikobewertung der Klinik mit ihren Zielen und ihrer Mission übereinstimmte.
Frage:
Welche Methodik wählte Brian im Kontext von Szenario 2 zur Durchführung einer Risikobewertung?

• A. EBIOS
• B. MEHARI
• C. Oktave

Prüfungsmethoden können entweder mit oder ohne Interaktion mit Personen erfolgen, die die geprüfte Stelle vertreten. Welche zwei der folgenden Methoden sind mit Interaktion verbunden?

• A. Probenahme (z. B. Produkte)
• B. Durchführung von Interviews
• C. Überprüfung der Einhaltung gesetzlicher Vorschriften durch lokale Behörden
• D. Analyse der im Vorfeld des Audits vorgelegten Unterlagen
• E. Überprüfung der Checklisten mit der geprüften Stelle
• F. Beobachten der durchgeführten Arbeiten per Live-Videostreaming

Szenario 7: Lawsy ist eine führende Anwaltskanzlei mit Niederlassungen in New Jersey und New York City. Über 50 Anwälte bieten ihren Mandanten anspruchsvolle Rechtsdienstleistungen in den Bereichen Wirtschafts- und Handelsrecht, geistiges Eigentum, Bank- und Finanzdienstleistungen an. Sie glauben, dass sie dank ihres Engagements, Best Practices für die Informationssicherheit umzusetzen und über die technologischen Entwicklungen auf dem Laufenden zu bleiben, eine komfortable Marktposition einnehmen.
Lawsy implementiert, bewertet und führt seit zwei Jahren konsequent interne Audits für ein ISMS durch.
Jetzt haben sie die ISO/IEC 27001-Zertifizierung bei ISMA, einer bekannten und vertrauenswürdigen Zertifizierungsstelle, beantragt.
Während des Audits der Stufe 1 überprüfte das Auditteam alle während der Implementierung erstellten ISMS-Dokumente.
Sie überprüften und bewerteten auch die Aufzeichnungen aus Managementbewertungen und internen Audits.
Lawsy legte Nachweise darüber vor, dass bei Bedarf Korrekturmaßnahmen bei Nichtkonformitäten durchgeführt wurden, sodass das Auditteam den internen Prüfer befragte. Das Interview bestätigte die Angemessenheit und Häufigkeit der internen Audits, indem es detaillierte Einblicke in den internen Auditplan und die internen Auditverfahren gab.
Das Auditteam setzte die Überprüfung strategischer Dokumente fort, einschließlich der Informationssicherheitsrichtlinie und der Risikobewertungskriterien. Während der Überprüfung der Informationssicherheitsrichtlinien stellte das Team Inkonsistenzen zwischen den dokumentierten Informationen zur Beschreibung des Governance-Rahmens (dh der Informationssicherheitsrichtlinie) und den Verfahren fest.
Obwohl es den Mitarbeitern erlaubt war, die Laptops außerhalb des Arbeitsplatzes mitzunehmen, verfügte Lawsy nicht über Verfahren für die Verwendung von Laptops in solchen Fällen. Die Richtlinie enthielt lediglich allgemeine Informationen zur Nutzung von Laptops. Das Unternehmen verließ sich auf das Allgemeinwissen der Mitarbeiter, um die Vertraulichkeit und Integrität der auf den Laptops gespeicherten Informationen zu schützen. Dieses Problem wurde im Auditbericht der Stufe 1 dokumentiert.
Nach Abschluss der Prüfung der Stufe 1 erstellte der Leiter des Prüfungsteams den Prüfungsplan, der die Prüfungsziele, den Umfang, die Kriterien und die Verfahren berücksichtigte.
Während der Prüfung der Stufe 2 befragte das Prüfungsteam den Informationssicherheitsmanager, der die Informationssicherheitsrichtlinie entworfen hatte. Er begründete das in Stufe 1 festgestellte Problem damit, dass Lawsy alle drei Monate obligatorische Informationssicherheitsschulungen und Sensibilisierungssitzungen durchführt.
Im Anschluss an das Interview untersuchte das Auditteam 15 Mitarbeiterschulungsaufzeichnungen (von 50) und kam zu dem Schluss, dass Lawsy die Anforderungen von ISO/IEC 27001 in Bezug auf Schulung und Sensibilisierung erfüllt. Um diese Schlussfolgerung zu untermauern, fotokopierten sie die untersuchten Schulungsunterlagen der Mitarbeiter.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Lawsy verfügt nicht über ein Verfahren zur Nutzung von Laptops außerhalb des Arbeitsplatzes und verlässt sich auf das allgemeine Wissen der Mitarbeiter, um die Vertraulichkeit der auf den Laptops gespeicherten Informationen zu schützen. Das präsentiert:

• A. Eine Anomalie
• B. Eine Nichtkonformität
• C. Eine Konformität