Während einer Eröffnungsbesprechung eines Stage-2-Audits lädt der Geschäftsführer der Kundenorganisation das Auditteam ein, sich ein 45-minütiges neues Organisationsvideo anzusehen.
Welche zwei der folgenden Antworten sollte der Leiter des Prüfungsteams geben?

• A. Weisen Sie den Geschäftsführer darauf hin, dass das Prüfungsteam den geplanten Zeitplan einhalten muss.
• B. Geben Sie an, dass der Leiter des Prüfungsteams nach der Eröffnungsbesprechung zur Videoanalyse im Namen des Teams anwesend sein wird.
• C. Schlagen Sie vor, dass das Video während einer Erfrischungspause angesehen werden könnte.
• D. Schlagen Sie vor, die letzten fünf Minuten des Videos anzusehen, um einen Eindruck von dessen Inhalt zu erhalten.
• E. Teilen Sie dem Geschäftsführer mit, dass das Prüfungsteam seiner Anfrage zustimmt.
• F. Laden Sie den Geschäftsführer am selben Abend zu einer Besichtigung in das Hotel des Wirtschaftsprüfers ein.

Was ist die Standarddefinition von ISMS?

• A. Ein systematischer Ansatz zur Einrichtung, Implementierung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung der Informationssicherheit einer Organisation, um die Geschäftsziele zu erreichen.
• B. Ist ein systematischer Ansatz der Informationssicherheit, um Geschäftsziele für die Implementierung, den Aufbau, die Überprüfung, den Betrieb und die Aufrechterhaltung des Rufs der Organisation zu erreichen.
• C. Ein projektbasierter Ansatz zum Erreichen von Geschäftszielen für die Einrichtung, Implementierung, den Betrieb, die Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung der Informationssicherheit einer Organisation
• D. Ein unternehmensweites Geschäftsziel, um ein Bewusstsein für die Informationssicherheit für die Einrichtung, Implementierung, den Betrieb, die Überwachung, Überprüfung, Wartung und Verbesserung zu erreichen

Welche zwei der folgenden Ausdrücke würden auf „Handeln“ in Bezug auf den Plan-Do-Check-Act-Zyklus für einen Geschäftsprozess zutreffen?

• A. Messziele
• B. Ziele zurücksetzen
• C. Änderungen geplant
• D. Verbesserungen erzielen
• E. Auditing-Prozesse
• F. Training überprüfen

Sie sind ein erfahrener ISMS-Prüfungsteamleiter, der einen Prüfer in der Schulung leitet. Sie fragt Sie nach der Einstufung von Abweichungen in Auditberichten. Sie beschließen, ihr Wissen zu testen, indem Sie sie fragen, welche vier der folgenden Aussagen wahr sind.

• A. Sehr geringfügige Abweichungen sollten als Verbesserungsmöglichkeiten neu bewertet werden
• B. Die Einstufung von Nichtkonformitäten muss dem geprüften Unternehmen in der Eröffnungsbesprechung erläutert werden
• C. Abweichungen dürfen nur mit den Begriffen „major“ oder „minor“ bewertet werden.
• D. Mehrere geringfügige Nichtkonformitäten können zu einer großen Nichtkonformität zusammengefasst werden
• E. Schwerwiegende Nichtkonformitäten können einer Nachverfolgung vor Ort unterliegen
• F. Nichtkonformitäten können bewertet werden, um ihre Bedeutung anzuzeigen
• G. Für die Festlegung der Kriterien zur Einstufung von Nichtkonformitäten ist stets das geprüfte Unternehmen verantwortlich
• H. Die zur Behebung schwerwiegender Nichtkonformitäten ergriffenen Maßnahmen sind in der Regel umfangreicher als die zur Behebung geringfügiger Nichtkonformitäten ergriffenen Maßnahmen

Szenario 8
Trustingo bietet seit 2010 Bank- und Finanzdienstleistungen in Estland an. Das Unternehmen verfügt über ein landesweites Netzwerk von 30 Filialen mit über 100 Geldautomaten. Um die strengen Datenschutzbestimmungen zu erfüllen, implementierte Trustingo ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001. Dies gewährleistet eine höhere Sicherheit, ein verbessertes Risikomanagement und die Einhaltung gesetzlicher Vorgaben.
Neun Monate nach der erfolgreichen Implementierung des ISMS entschied sich Trustingo, eine Zertifizierung ihres ISMS nach ISO/IEC 27001 durch eine unabhängige Zertifizierungsstelle anzustreben. Das Zertifizierungsaudit umfasste die Systeme, Prozesse und Technologien von Trustingo.
Das Auditteam führte die Audits der Stufen 1 und 2 gemeinsam durch, und es wurden mehrere Abweichungen festgestellt.
Die erste Abweichung betraf die Kennzeichnung von Informationen durch Trustingo. Das Unternehmen verfügte zwar über ein Klassifizierungssystem für Informationen, aber über kein Verfahren zur Informationskennzeichnung. Daher wurden Dokumente, die denselben Schutz erforderten, unterschiedlich gekennzeichnet.
Die Abweichung wirkte sich auch auf die Medienhandhabung aus. Das Prüfteam führte Stichproben durch und kam zu dem Schluss, dass 50 % der Medien beschädigt waren.
200 Wechseldatenträger enthielten sensible Informationen, die fälschlicherweise als vertraulich eingestuft wurden. Gemäß dem Klassifizierungsschema für Informationen dürfen vertrauliche Informationen auf Wechseldatenträgern gespeichert werden, während die Speicherung sensibler Informationen strengstens verboten ist.
Das Auditteam erstellte den Abweichungsbericht und besprach die Ergebnisse des Audits mit den Vertretern von Trustingo, die zustimmten, innerhalb von zwei Monaten einen Maßnahmenplan für die festgestellten Abweichungen vorzulegen.
Da die Zertifizierungsempfehlung an die Einreichung von Korrekturmaßnahmen geknüpft ist, muss Trustingo Korrekturmaßnahmenpläne vorlegen, aus denen hervorgeht, wie die festgestellten Abweichungen behoben werden. Trustingo akzeptierte den Lösungsvorschlag des Audit-Teamleiters und ging die Abweichungen durch die Erstellung eines Verfahrens zur Informationskennzeichnung und die Aktualisierung des Verfahrens für Wechseldatenträger an.
Zwei Wochen nach Abschluss des Audits reichte Trustingo einen allgemeinen Maßnahmenplan ein. Dieser Plan behandelte zwar die festgestellten Abweichungen und die ergriffenen Korrekturmaßnahmen, enthielt jedoch keine detaillierten Handlungsschritte für jede einzelne Abweichung und keine spezifischen Angaben zu den betroffenen Systemen, Kontrollen oder Abläufen. Das Auditteam bewertete den Maßnahmenplan. Dennoch erhielt Trustingo eine negative Empfehlung für die Zertifizierung.
Frage
Welche Option rechtfertigt die negative Empfehlung zur Zertifizierung? Siehe Szenario 8.

• A. Die geringfügige Abweichung betrifft das fehlende Informationskennzeichnungsverfahren.
• B. Die Entscheidung des Unternehmens, den Aktionsplan innerhalb von zwei Wochen einzureichen, obwohl ein anderer Zeitplan zur Verfügung stand
• C. Die wichtigste Abweichung betrifft die Speicherung sensibler Informationen auf Wechseldatenträgern.