Eine Organisation ist auf der Suche nach einer Erstzertifizierung für ein Managementsystem. Bitte geben Sie die Reihenfolge der von der Organisation durchzuführenden Aktivitäten an.
Um die Sequenz abzuschließen, klicken Sie auf den leeren Abschnitt, den Sie vervollständigen möchten, sodass er rot hervorgehoben wird, und klicken Sie dann auf den entsprechenden Text in den Optionen unten. Alternativ können Sie die Optionen auch per Drag-and-Drop in den entsprechenden leeren Abschnitt ziehen.

Frage:
Vor Beginn der Prüfungstätigkeiten berücksichtigten die Prüfer den Kontext, die kritischen Prozesse und die Erwartungen des Geprüften. Welcher Prüfungsgrundsatz wurde angewendet?

• A. Professionelle Skepsis
• B. Angemessene professionelle Betreuung
• C. Integrität

Szenario 4: Branding ist eine Marketingagentur, die mit einigen der bekanntesten Unternehmen in den USA zusammenarbeitet.
Um interne Kosten zu senken, hat Branding die Softwareentwicklung und den IT-Helpdesk seit über zwei Jahren an Techvology ausgelagert. Techvology verfügt über die notwendige Expertise und betreut Brandings Software-, Netzwerk- und Hardware-Anforderungen. Branding hat ein Informationssicherheits-Managementsystem (ISMS) implementiert und ist nach ISO/IEC 27001 zertifiziert. Dies unterstreicht das Engagement des Unternehmens für hohe Standards der Informationssicherheit. Branding führt regelmäßig Audits bei Techvology durch, um sicherzustellen, dass die Sicherheit der ausgelagerten Prozesse den Anforderungen der ISO/IEC 27001-Zertifizierung entspricht.
Im Rahmen des letzten Audits definierte das Auditteam von Branding die zu prüfenden Prozesse und den Auditplan. Sie wählten einen evidenzbasierten Ansatz, insbesondere angesichts zweier Informationssicherheitsvorfälle, die Techvology im vergangenen Jahr gemeldet hatte. Der Fokus lag auf der Bewertung des Umgangs mit diesen Vorfällen und der Sicherstellung der Einhaltung der Bedingungen des Outsourcing-Vertrags. Das Audit begann mit einer umfassenden Überprüfung der Methoden von Techvology zur Überwachung der Qualität ausgelagerter Prozesse. Dabei wurde bewertet, ob die erbrachten Leistungen den Erwartungen von Branding und den vereinbarten Standards entsprachen. Die Auditoren überprüften außerdem, ob Techvology die zwischen den beiden Unternehmen festgelegten vertraglichen Anforderungen erfüllte. Dies beinhaltete eine gründliche Prüfung der Vertragsbedingungen, um sicherzustellen, dass alle Aspekte, einschließlich der Informationssicherheitsmaßnahmen, eingehalten werden.
Darüber hinaus umfasste das Audit eine kritische Bewertung der Governance-Prozesse, die Techvology zur Steuerung seiner ausgelagerten Geschäftsbereiche und anderer Organisationen anwendet. Dieser Schritt ist für Branding von entscheidender Bedeutung, um sicherzustellen, dass angemessene Kontroll- und Aufsichtsmechanismen vorhanden sind, um potenzielle Risiken im Zusammenhang mit der Auslagerungsvereinbarung zu minimieren.
Die Prüfer führten Interviews mit Mitarbeitern verschiedener Hierarchieebenen von Techvology und analysierten die Protokolle zur Vorfallsbehebung. Techvology legte außerdem Unterlagen vor, die belegten, dass Schulungen zum Thema Vorfallsmanagement für die Mitarbeiter durchgeführt worden waren. Auf Grundlage der gesammelten Informationen gingen die Prüfer davon aus, dass beide IT-Sicherheitsvorfälle durch inkompetentes Personal verursacht wurden. Daher baten sie um Einsicht in die Personalakten der beteiligten Mitarbeiter, um deren Kompetenznachweise, wie einschlägige Berufserfahrung, Zertifikate und Teilnahmebescheinigungen an Schulungen, zu überprüfen.
Die Prüfer von Branding führten eine kritische Bewertung der Gültigkeit der erhobenen Beweise durch und achteten aufmerksam auf Hinweise, die die Zuverlässigkeit der dokumentierten Informationen in Frage stellen oder widerlegen könnten. Während des Audits bei Techvology setzten die Prüfer diesen Ansatz fort, indem sie die Protokolle zur Vorfallbearbeitung kritisch prüften und ausführliche Interviews mit Mitarbeitern verschiedener Ebenen und Funktionen führten. Sie verließen sich nicht allein auf die Aussagen der Techvology-Vertreter, sondern suchten nach konkreten Beweisen, die deren Behauptungen zu den Prozessen des Vorfallmanagements untermauerten.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Welcher Prüfungsgrundsatz wird im letzten Absatz von Szenario 4 erläutert?

• A. Professionelle Skepsis
• B. Faire Präsentation
• C. Risikobasierter Ansatz

Wählen Sie die Wörter aus, die den Satz am besten vervollständigen:
Um den Satz mit den Wörtern zu vervollständigen, klicken Sie auf den leeren Abschnitt, den Sie vervollständigen möchten, sodass er rot hervorgehoben wird, und klicken Sie dann in den folgenden Optionen auf den Anwendungstext. Alternativ können Sie die Option per Drag-and-Drop in den entsprechenden leeren Abschnitt ziehen.

Szenario 6: Cyber ​​ACrypt ist ein Cybersicherheitsunternehmen, das Endpunktschutz durch Malware-Abwehr, Gerätesicherheit, Asset-Lifecycle-Management und Geräteverschlüsselung anbietet. Um sein Informationssicherheitsmanagementsystem (ISMS) gemäß ISO/IEC 27001 zu validieren und sein Engagement für höchste Cybersicherheitsstandards zu demonstrieren, unterzog sich das Unternehmen einem sorgfältigen Auditprozess unter der Leitung von John, dem beauftragten Audit-Teamleiter.
Nach Annahme des Prüfungsauftrags organisierte John umgehend ein Treffen, um den Prüfungsplan und die Teamrollen zu erläutern. Diese Phase war entscheidend, um das Team auf die Ziele und den Umfang der Prüfung auszurichten. Die erste Präsentation vor den Mitarbeitern von Cyber ​​ACrypt offenbarte jedoch eine erhebliche Lücke im Verständnis des Prüfungsumfangs und der Prüfungsziele, was auf potenzielle Herausforderungen hinsichtlich der Vorbereitung innerhalb des Unternehmens hindeutete. Mit Beginn der Phase-1-Prüfung bereitete sich das Team auf die Aktivitäten vor Ort vor. Sie überprüften die dokumentierten Informationen von Cyber ​​ACrypt, einschließlich der Informationssicherheitsrichtlinie und der betrieblichen Verfahren, und stellten sicher, dass jedes Dokument den Standards entsprach und in Bezug auf Format, Autor, Erstellungsdatum, Versionsnummer und Genehmigungsdatum standardisiert war. Darüber hinaus stellte das Auditteam sicher, dass jedes Dokument die in der jeweiligen Klausel der Norm geforderten Informationen enthielt. Diese Phase ergab, dass ein detailliertes Audit der Dokumentation zur Aufgabenausführung nicht erforderlich war, wodurch der Prozess optimiert und die Bemühungen des Teams auf kritische Bereiche konzentriert wurden. Während der Vor-Ort-Aktivitäten bewertete das Team die Managementverantwortung für die Richtlinien von Cyber ​​ACrypt. Diese gründliche Prüfung zielte darauf ab, kontinuierliche Verbesserungen und die Einhaltung der ISMS-Anforderungen sicherzustellen. Anschließend dokumentierte das Auditteam in der Dokumentation der Ergebnisse der ersten Phase seine Feststellungen sorgfältig und unterstrich seine Schlussfolgerungen hinsichtlich der Erfüllung der Ziele der ersten Phase. Diese Dokumentation war für das Auditteam und Cyber ​​ACrypt unerlässlich, um die vorläufigen Auditergebnisse und die Handlungsfelder zu verstehen.
Das Auditteam beschloss außerdem, Interviews mit wichtigen Interessengruppen zu führen. Diese Entscheidung wurde durch das Ziel motiviert, aussagekräftige Auditnachweise zu sammeln, um die Konformität des Managementsystems mit der ISO zu bestätigen.
Die Anforderungen der IEC 27001 wurden erfüllt. Der Austausch mit Interessengruppen auf verschiedenen Ebenen von Cyber ​​ACrypt lieferte dem Auditteam wertvolle Einblicke und ein Verständnis für die Implementierung und Wirksamkeit des ISMS.
Der Prüfbericht der ersten Phase deckte gravierende Mängel auf. Die Anwendbarkeitserklärung (SoA) und die ISMS-Richtlinie wiesen in mehreren Punkten Defizite auf, darunter eine unzureichende Risikobewertung, ungenügende Zugriffskontrollen und fehlende regelmäßige Richtlinienüberprüfungen. Dies veranlasste Cyber ​​ACrypt zu sofortigen Maßnahmen, um diese Mängel zu beheben. Die prompte Reaktion und die vorgenommenen Anpassungen der strategischen Dokumente zeugten von einem starken Engagement für die Einhaltung der Vorschriften.
Die technische Expertise, die zur Schließung der Wissenslücken des Audit-Teams im Bereich Cybersicherheit hinzugezogen wurde, spielte eine entscheidende Rolle bei der Identifizierung von Schwächen in der Risikobewertungsmethodik und der Überprüfung der Netzwerkarchitektur. Dies umfasste die Bewertung von Firewalls, Intrusion-Detection- und -Prevention-Systemen sowie anderer Netzwerksicherheitsmaßnahmen. Außerdem wurde geprüft, wie Cyber ​​ACrypt externe und interne Bedrohungen erkennt, darauf reagiert und sich davon erholt. Unter Johns Leitung übermittelte der technische Experte die Ergebnisse des Audits an die Vertreter von Cyber ​​ACrypt. Das Audit-Team stellte jedoch fest, dass die Objektivität des Experten möglicherweise durch den Erhalt von Beratungsgebühren vom Auditierten beeinträchtigt war. Angesichts des Verhaltens des technischen Experten während des Audits beschloss der Leiter des Audit-Teams, diesen Sachverhalt mit der Zertifizierungsstelle zu besprechen.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Gemäß Szenario 6 hat Cyber ​​ACrypt nach dem Auditbericht der Phase 1 die SoA und die ISMS-Richtlinie geändert.
Wie definieren Sie diese Situation?

• A. Zulässige, geringfügige Änderungen an der SoA und der ISMS-Richtlinie können bis zur Einreichung des endgültigen Prüfberichts vorgenommen werden.
• B. Akzeptabel; Situationen, die während des Phase-2-Audits zu schwerwiegenden Abweichungen führen, sollten korrigiert werden.
• C. Nicht akzeptabel, sobald das externe Audit Phase 1 bestanden hat, können die SoA und die ISMS-Richtlinie nicht mehr geändert werden.