Sie sind ein erfahrener Audit-Teamleiter, der einen Auditor in der Schulung leitet.
Ihr Team führt derzeit ein Überwachungsaudit durch Dritte bei einer Organisation durch, die Daten im Auftrag externer Kunden speichert. Der Auditor in der Schulung wurde damit beauftragt, die in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) aufgeführten und am Standort implementierten ORGANISATORISCHEN Kontrollen zu überprüfen.
Wählen Sie aus den folgenden vier Kontrollen aus, die der Auditor in der Schulung Ihrer Meinung nach überprüfen sollte.

• A. Wie Strom- und Datenkabel in das Gebäude gelangen
• B. Vertraulichkeits- und Geheimhaltungsvereinbarungen
• C. Der Betrieb der CCTV- und Türkontrollsysteme am Standort
• D. Wie die Informationssicherheit in Lieferantenvereinbarungen geregelt wurde
• E. Regeln für die Übermittlung von Informationen innerhalb der Organisation und an andere Organisationen
• F. Zugang zur und von der Laderampe
• G. Die Entwicklung und Pflege eines Informationsressourceninventars
• H. Die Geschäftskontinuitätsvereinbarungen der Organisation

Szenario 6: Cyber ​​ACrypt ist ein Cybersicherheitsunternehmen, das Endpunktschutz durch Malware-Abwehr, Gerätesicherheit, Asset-Lifecycle-Management und Geräteverschlüsselung anbietet. Um sein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 zu validieren und sein Engagement für höchste Cybersicherheitsstandards zu demonstrieren, unterzog sich das Unternehmen einem sorgfältigen Auditprozess unter der Leitung von John, dem beauftragten Audit-Teamleiter.
Nach Annahme des Prüfungsauftrags organisierte John umgehend ein Treffen, um den Prüfungsplan und die Teamrollen zu erläutern. Diese Phase war entscheidend, um das Team auf die Ziele und den Umfang der Prüfung auszurichten. Die erste Präsentation vor den Mitarbeitern von Cyber ​​ACrypt offenbarte jedoch eine erhebliche Lücke im Verständnis des Prüfungsumfangs und der Prüfungsziele, was auf potenzielle Herausforderungen hinsichtlich der Vorbereitung innerhalb des Unternehmens hindeutete. Mit Beginn der Phase-1-Prüfung bereitete sich das Team auf die Aktivitäten vor Ort vor. Sie überprüften die dokumentierten Informationen von Cyber ​​ACrypt, einschließlich der Informationssicherheitsrichtlinie und der betrieblichen Verfahren, und stellten sicher, dass jedes Dokument den Standards entsprach und in Bezug auf Format, Autor, Erstellungsdatum, Versionsnummer und Genehmigungsdatum standardisiert war. Darüber hinaus stellte das Auditteam sicher, dass jedes Dokument die in der jeweiligen Klausel der Norm geforderten Informationen enthielt. Diese Phase ergab, dass ein detailliertes Audit der Dokumentation zur Aufgabenausführung nicht erforderlich war, wodurch der Prozess optimiert und die Bemühungen des Teams auf kritische Bereiche konzentriert wurden. Während der Vor-Ort-Aktivitäten bewertete das Team die Managementverantwortung für die Richtlinien von Cyber ​​ACrypt. Diese gründliche Prüfung zielte darauf ab, kontinuierliche Verbesserungen und die Einhaltung der ISMS-Anforderungen sicherzustellen. Anschließend dokumentierte das Auditteam in der Dokumentation der Ergebnisse der ersten Phase seine Feststellungen sorgfältig und unterstrich seine Schlussfolgerungen hinsichtlich der Erfüllung der Ziele der ersten Phase. Diese Dokumentation war für das Auditteam und Cyber ​​ACrypt unerlässlich, um die vorläufigen Auditergebnisse und die Handlungsfelder zu verstehen.
Das Auditteam beschloss außerdem, Interviews mit wichtigen Interessengruppen zu führen. Diese Entscheidung wurde durch das Ziel motiviert, aussagekräftige Auditnachweise zu sammeln, um die Konformität des Managementsystems mit der ISO zu bestätigen.
Die Anforderungen der IEC 27001 wurden erfüllt. Der Austausch mit Interessengruppen auf verschiedenen Ebenen von Cyber ​​ACrypt lieferte dem Auditteam wertvolle Einblicke und ein Verständnis für die Implementierung und Wirksamkeit des ISMS.
Der Prüfbericht der ersten Phase deckte gravierende Mängel auf. Die Anwendbarkeitserklärung (SoA) und die ISMS-Richtlinie wiesen in mehreren Punkten Defizite auf, darunter eine unzureichende Risikobewertung, ungenügende Zugriffskontrollen und fehlende regelmäßige Richtlinienüberprüfungen. Dies veranlasste Cyber ​​ACrypt zu sofortigen Maßnahmen, um diese Mängel zu beheben. Die prompte Reaktion und die vorgenommenen Anpassungen der strategischen Dokumente zeugten von einem starken Engagement für die Einhaltung der Vorschriften.
Die technische Expertise, die zur Schließung der Wissenslücken des Audit-Teams im Bereich Cybersicherheit hinzugezogen wurde, spielte eine entscheidende Rolle bei der Identifizierung von Schwächen in der Risikobewertungsmethodik und der Überprüfung der Netzwerkarchitektur. Dies umfasste die Bewertung von Firewalls, Intrusion-Detection- und -Prevention-Systemen sowie anderer Netzwerksicherheitsmaßnahmen. Außerdem wurde geprüft, wie Cyber ​​ACrypt externe und interne Bedrohungen erkennt, darauf reagiert und sich davon erholt. Unter Johns Leitung übermittelte der technische Experte die Ergebnisse des Audits an die Vertreter von Cyber ​​ACrypt. Das Audit-Team stellte jedoch fest, dass die Objektivität des Experten möglicherweise durch den Erhalt von Beratungsgebühren vom Auditierten beeinträchtigt war. Angesichts des Verhaltens des technischen Experten während des Audits beschloss der Leiter des Audit-Teams, diesen Sachverhalt mit der Zertifizierungsstelle zu besprechen.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Ist die Entscheidung des Audit-Teamleiters hinsichtlich des Verhaltens des technischen Experten auf Grundlage von Szenario 6 akzeptabel?

• A. Ja, wenn der Auditor Zweifel an der Objektivität des technischen Experten hat, muss er seine Bedenken mit der Zertifizierungsstelle besprechen.
• B. Nein, der Leiter des Prüfungsteams hätte den Sachverhalt direkt der Geschäftsleitung melden müssen.
• C. Nein, die Objektivität des Experten in Frage zu stellen, ist kein triftiger Grund für den Leiter des Auditteams, die Angelegenheit mit der Zertifizierungsstelle zu besprechen.

Wählen Sie zwei der folgenden Optionen aus, die während eines Zertifizierungsaudits in den Verantwortungsbereich eines rechtlich-technischen Experten im Auditteam fallen.
* Beurteilung der Rechtskenntnisse des Geprüften

• A. Beratung zu rechtlichen Prüfpunkten für das Prüfungsteam
• B. Treffen mit dem Rechtsvertreter der Organisation
• C. Überprüfung des Rechtsstatus der Organisation
• D. Kritik an den Problemen der Organisation hinsichtlich der Einhaltung gesetzlicher Bestimmungen
• E. Erörterung komplexer Rechtsfragen mit dem Geprüften

Was ist die beste Vorgehensweise bei der akzeptablen Nutzung von Informationsressourcen?

• A. Störung oder Verweigerung des Dienstes für einen anderen Benutzer als den Host des Mitarbeiters
• B. Zugriff auf Telefon- oder Netzwerkübertragungen, einschließlich drahtloser oder WLAN-Übertragungen
• C. Spielen von Computerspielen während der Bürozeiten
• D. Der Zugang zu Informations- und Kommunikationssystemen wird nur für geschäftliche Zwecke gewährt