Szenario 5: Cobt, ein Versicherungsunternehmen in London, bietet verschiedene Gewerbe-, Industrie- und Lebensversicherungslösungen an. In den letzten Jahren ist die Kundenzahl von Cobt enorm gestiegen. Angesichts der großen Datenmengen, die verarbeitet werden müssen, entschied sich das Unternehmen für eine Zertifizierung nach ISO/IEC 27001, da diese viele Vorteile für die Informationssicherheit mit sich bringen und das Engagement für kontinuierliche Verbesserung unterstreichen würde. Obwohl das Unternehmen bereits Erfahrung mit der Durchführung regelmäßiger Risikobewertungen hatte, führte die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) zu grundlegenden Veränderungen im Tagesgeschäft. Im Rahmen der Risikobewertung wurde ein Risiko identifiziert, bei dem erhebliche Mängel auftraten, ohne von den internen Kontrollmechanismen des Unternehmens erkannt oder verhindert zu werden.
Das Unternehmen befolgte eine Methodik zur Implementierung des ISMS und hatte bereits nach wenigen Monaten ein betriebsbereites ISMS eingerichtet. Nach erfolgreicher Implementierung des ISMS beantragte Cobt die ISO/IEC 27001-Zertifizierung. Sarah, eine erfahrene Auditorin, wurde mit dem Audit beauftragt. Nach gründlicher Analyse des Auditangebots übernahm Sarah die Verantwortung als Audit-Teamleiterin und begann umgehend, allgemeine Informationen über Cobt einzuholen. Sie legte die Auditkriterien und -ziele fest, plante das Audit und wies den Mitgliedern des Audit-Teams die Aufgaben zu.
Sarah räumte ein, dass Cobt zwar durch das Angebot vielfältiger Lösungen für Unternehmen und Versicherungen deutlich expandiert hat, aber weiterhin auf einige manuelle Prozesse angewiesen ist. Daher konzentrierte sie sich zunächst darauf, Informationen darüber zu sammeln, wie das Unternehmen seine Informationssicherheitsrisiken managt. Sarah kontaktierte die Vertreter von Cobt, um Zugang zu den Informationen zum Risikomanagement für die ursprünglich vereinbarte externe Prüfung zu erhalten. Cobt lehnte dies jedoch ab und argumentierte, die Informationen seien zu sensibel für den Zugriff außerhalb des Unternehmens. Diese Ablehnung weckte Bedenken hinsichtlich der Durchführbarkeit der Prüfung, insbesondere im Hinblick auf die Verfügbarkeit und Kooperation des Geprüften sowie den Zugang zu den erforderlichen Nachweisen. Darüber hinaus beanstandete Cobt den Prüfungsplan, da dieser die jüngsten Änderungen im Unternehmen nicht ausreichend widerspiegele. Die geplanten Maßnahmen bezögen sich lediglich auf den ursprünglichen Prüfungsumfang und umfassten nicht die jüngsten Änderungen. Sarah bewertete zudem die Wesentlichkeit der Situation unter Berücksichtigung der Bedeutung der verweigerten Informationen für die Prüfungsziele. Die Ablehnung durch Cobt warf somit Fragen hinsichtlich der Vollständigkeit der Prüfung und ihrer Fähigkeit auf, eine angemessene Sicherheit zu gewährleisten. Nach diesen Vorkommnissen beschloss Sarah, vor Unterzeichnung des Zertifizierungsvertrags vom Audit zurückzutreten und teilte Cobt sowie der Zertifizierungsstelle ihre Entscheidung mit. Diese Entscheidung traf sie, um die Einhaltung der Auditgrundsätze zu gewährleisten und Transparenz zu wahren. Sie unterstreicht damit ihr Engagement für die konsequente Wahrung dieser Grundsätze.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Basierend auf Szenario 5 beschloss Sarah, vor Unterzeichnung einer Zertifizierungsvereinbarung vom Audit zurückzutreten. Ist dies akzeptabel?

• A. Nein, die Zertifizierungsvereinbarung ist direkt an die Anwesenheit des Auditors gebunden.
• B. Ja, es besteht kein Zusammenhang zwischen Sarahs Rücktritt vom Audit und der Zertifizierungsvereinbarung.
• C. Ja, Sarah kann sich von dem Audit zurückziehen, jedoch nur, wenn die Zertifizierungsstelle ihrem Rückzug zustimmt.

Frage
Das nach ISO/IEC 27001 zertifizierte Softwareentwicklungsunternehmen XYZ teilt der Zertifizierungsstelle ein Jahr nach der Zertifizierung mit, dass es für das geplante Überwachungsaudit nicht vorbereitet sei und sich weigere, daran teilzunehmen. Welche unmittelbaren Konsequenzen hat diese Situation?

• A. Die Zertifizierung ist ausgesetzt
• B. Das Unternehmen muss einen formellen Übergang der Zertifizierung an eine andere Zertifizierungsstelle einleiten.
• C. Die aktuelle Zertifizierung bleibt bis zum nächsten Überwachungsaudit gültig.

Sie führen ein ISMS-Audit in einem Pflegeheim (ABC) durch, das Gesundheitsdienstleistungen anbietet. Der nächste Schritt in Ihrem Prüfplan besteht darin, die Informationssicherheit der Entwicklung, des Supports und des Lebenszyklusprozesses der mobilen Apps für das Gesundheitswesen von ABC zu überprüfen. Während des Audits haben Sie erfahren, dass die Organisation die Entwicklung mobiler Apps an ein professionelles Softwareentwicklungsunternehmen mit CMMI Level 5, ITSM (ISO/IEC 20000-1), BCMS (ISO) ausgelagert hat
22301) und
ISMS (ISO/IEC 27001) zertifiziert.
Der IT-Manager stellte das Software-Sicherheitsmanagementverfahren vor und fasste den Prozess wie folgt zusammen:
Bei der Entwicklung mobiler Apps müssen mindestens die Grundsätze „Security by Design“ und „Security by Default“ berücksichtigt werden.
Folgende Sicherheitsfunktionen zum Schutz personenbezogener Daten stehen zur Verfügung:
Zugangskontrolle.
Verschlüsselung personenbezogener Daten, d. h. Advanced Encryption Standard (AES)-Algorithmus, Schlüssellängen: 256 Bit; und Pseudonymisierung personenbezogener Daten.
Auf Schwachstelle geprüft und keine Sicherheits-Hintertür vorhanden
Sie probieren den neuesten Mobile-App-Testbericht mit den folgenden Details aus:

Der IT-Manager erklärt, dass die Testergebnisse gemäß dem Software-Sicherheitsmanagementverfahren von ihm genehmigt werden sollten. Der Grund für das Scheitern der Verschlüsselungs- und Pseudonymisierungsfunktionen liegt darin, dass diese Funktionen die System- und Dienstleistung stark verlangsamten. Um dies zu decken, sind zusätzliche 150 % der Ressourcen erforderlich. Der Servicemanager stimmte zu, dass die Zugangskontrolle gut genug und akzeptabel ist. Deshalb hat der Servicemanager die Genehmigung unterzeichnet.
Sie bereiten die Prüfungsergebnisse vor. Wählen Sie die richtige Option aus.

• A. Es liegt eine Nichtkonformität (NC) vor. Der Service Manager hält sich nicht an das Software-Sicherheitsmanagementverfahren. (Bezogen auf Abschnitt 8.1, Regelung A.8.30)
• B. Es liegt eine Nichtkonformität (NC) vor. Die Organisation und der Entwickler führen keine Abnahmetests durch.
  (Bezogen auf Abschnitt 8.1, Regelung A.8.29)
• C. Es liegt eine Nichtkonformität (NC) vor. Die Organisation und der Entwickler führen Sicherheitstests durch, die fehlschlagen.
  (Bezogen auf Abschnitt 8.1, Regelung A.8.29)
• D. Es liegt KEINE Nichtkonformität vor (NC). Der Servicemanager trifft eine gute Entscheidung, den Service fortzusetzen.
  (Bezogen auf Abschnitt 8.1, Regelung A.8.30)

Welches ist ein Beispiel für einen qualitativen Beweis?

• A. Ein Interview mit dem Informationssicherheitspersonal, um zu überprüfen, ob der Informationssicherheitsprozess den Standardanforderungen entspricht
• B. Die dokumentierten Ergebnisse eines Intrusion-Detection-Tests durch einen Informationssicherheitsexperten einer externen Organisation
• C. Eine definierte Stichprobenanalyse von Nichtkonformitätsberichten, die von der geprüften Organisation zum Zeitpunkt der Implementierung ihres ISMS erstellt wurden

Sie führen ein ISMS-Audit in einem Pflegeheim durch, das Gesundheitsdienstleistungen anbietet.
Der nächste Schritt in Ihrem Auditplan ist die Überprüfung des Prozesses zum Umgang mit Informationssicherheitsvorfällen.
Der IT-Sicherheitsmanager stellt das Verfahren zum Management von Informationssicherheitsvorfällen vor (Dokumentreferenz-ID: ISMS_L2_16, Version 4).
Sie prüfen das Dokument und stoßen auf die Aussage: „Jegliche Schwachstelle, jedes Ereignis und jeder Vorfall im Bereich der Informationssicherheit ist innerhalb einer Stunde nach Feststellung dem Ansprechpartner zu melden.“ Bei Befragungen der Mitarbeiter stellten Sie fest, dass es unterschiedliche Auffassungen zur Bedeutung der Begriffe „Schwachstelle, Ereignis und Vorfall“ gab.
Der IT-Sicherheitsmanager erklärte, dass vor sechs Monaten ein Online-Seminar zum Thema „Umgang mit Informationssicherheit“ stattgefunden habe. Alle Befragten hätten an der Übung zur Berichtserstellung und der Kursprüfung teilgenommen und diese bestanden.
Sie möchten weitere Bereiche genauer untersuchen, um zusätzliche Prüfnachweise zu sammeln. Wählen Sie drei Optionen aus, die keine gültigen Prüfprotokolle darstellen würden.

• A. Sammeln Sie weitere Belege darüber, wie die Organisation die Kontaktstelle (Point of Contact, PoC) verwaltet, die Schwachstellen überwacht. (Relevant für Klausel 8.1)
• B. Sammeln Sie weitere Belege darüber, wie die Organisation den Notfallplan testet. (Relevant für Kontrollpunkt A.5.30)
• C. Sammeln Sie weitere Belege dafür, wie Bereiche, die von Informationssicherheitsvorfällen betroffen sind, unter Quarantäne gestellt werden, um die Informationssicherheit während Störungen aufrechtzuerhalten (relevant für Kontrolle A.5.29).
• D. Sammeln Sie weitere Belege dafür, wie die Organisation aus Informationssicherheitsvorfällen lernt und Verbesserungen vornimmt. (Relevant für Kontrollmaßnahme A.5.27)
• E. Sammeln Sie weitere Belege darüber, wie Informationssicherheitsvorfälle über geeignete Kanäle gemeldet werden (relevant für Kontrollmaßnahme A.6.8).
• F. Sammeln Sie weitere Belege dafür, wie die Organisation Schulungen zu Informationssicherheitsvorfällen durchführt und deren Wirksamkeit bewertet. (Bezieht sich auf Klausel 7.2)
• G. Sammeln Sie weitere Nachweise, um festzustellen, ob ISO 27035 (Management von Informationssicherheitsvorfällen) als Kriterium für interne Audits verwendet wird. (Relevant für Abschnitt 8.13)
• H. Sammeln Sie weitere Belege dafür, ob Begriffe und Definitionen in der Informationssicherheitsrichtlinie enthalten sind. (Relevant für Kontrolle 5.32)