OrgXY는 ISO/IEC 27001 인증을 받은 소프트웨어 개발 회사입니다. 인증을 받은 지 1년 후, OrgXY의 최고 경영진은 인증 기관에 회사가 감시 감사를 실시할 준비가 되지 않았다고 알렸습니다. 이 경우 어떻게 되나요?

• A. 현재 인증은 다음 감시 감사까지 사용됩니다.
• B. 인증이 정지되었습니다.
• C. OrgXY가 등록을 다른 인증기관으로 이전합니다.

解説: (CertJuken メンバーにのみ表示されます)

시나리오 7: Lawsy는 뉴저지와 뉴욕시에 사무실을 둔 선도적인 로펌입니다. 50명 이상의 변호사가 기업 및 상법, 지적 재산권, 은행 및 금융 서비스 분야에서 고객에게 정교한 법률 서비스를 제공합니다. 그들은 정보 보안 모범 사례를 구현하고 기술 개발에 대한 최신 정보를 유지하려는 노력 덕분에 시장에서 편안한 입지를 확보했다고 믿습니다.
Lawsy는 지난 2년간 ISMS에 대한 내부 감사를 엄격하게 시행, 평가하고 수행해 왔습니다.
이제 그들은 널리 알려지고 신뢰받는 인증기관인 ISMA에 ISO/IEC 27001 인증을 신청했습니다.
1단계 감사 동안 감사팀은 구현 중에 작성된 모든 ISMS 문서를 검토했습니다.
또한 그들은 경영진 검토와 내부 감사의 기록을 검토하고 평가했습니다.
Lawsy는 필요한 경우 불일치에 대한 시정 조치가 수행되었다는 증거 기록을 제출했으므로 감사팀은 내부 감사자를 인터뷰했습니다. 인터뷰는 내부 감사 계획 및 절차에 대한 자세한 통찰력을 제공하여 내부 감사의 적절성과 빈도를 검증했습니다.
감사팀은 정보 보안 정책 및 위험 평가 기준을 포함한 전략적 문서의 검증을 계속했습니다. 정보 보안 정책 검토 중에 팀은 거버넌스 프레임워크(즉, 정보 보안 정책)를 설명하는 문서화된 정보와 절차 사이에 불일치가 있음을 발견했습니다.
직원들이 노트북을 직장 밖으로 가지고 나갈 수 있었지만 Lawsy는 그러한 경우 노트북 사용에 대한 절차를 마련하지 않았습니다. 정책은 노트북 사용에 대한 일반적인 정보만 제공했습니다. 회사는 직원들의 상식에 의존하여 노트북에 저장된 정보의 기밀성과 무결성을 보호했습니다. 이 문제는 1단계 감사 보고서에 기록되었습니다.
1단계 감사를 완료한 후 감사팀장은 감사 목표, 범위, 기준, 절차 등을 다룬 감사 계획을 준비했습니다.
2단계 감사에서 감사팀은 정보 보안 정책을 초안한 정보 보안 관리자를 인터뷰했습니다. 그는 Lawsy가 3개월마다 의무적인 정보 보안 교육 및 인식 세션을 실시한다는 말로 1단계에서 발견된 문제를 정당화했습니다.
인터뷰 후 감사팀은 15개의 직원 교육 기록(50개 중)을 검토하고 Lawsy가 교육 및 인식과 관련된 ISO/IEC 27001 요구 사항을 충족한다는 결론을 내렸습니다. 이 결론을 뒷받침하기 위해 감사팀은 검토한 직원 교육 기록을 복사했습니다.
위의 시나리오를 토대로 다음 질문에 답하세요.
감사팀은 시나리오 7에 제공된 대로 50개의 직원 교육 기록 중 15개를 검토하여 Lawsy가 교육 및 인식과 관련된 ISO/IEC 27001 요구 사항을 충족한다는 결론을 내렸습니다. 이는 다음과 관련된 위험 또는 오류입니다.

• A. 감사원
• B. 샘플링
• C. 샘플 크기

解説: (CertJuken メンバーにのみ表示されます)

감사인은 감사 대상자와 효과적으로 소통해야 합니다. 따라서 감사 대상자의 개인적 행동은 성공적인 감사를 보장하는 데 필요한 핵심 특성입니다. 아래에 특성과 간단한 관련 설명이 있습니다. 특성을 설명과 매치하세요.

Explanation:
The possible matches of the characteristics to the descriptions are:
* Tenacious: Persistent and focused on objectives
* Ethical: Fair, truthful, sincere, honest, discreet
* Diplomatic: Tactful in dealing with individuals
* Observant: Actively observing surroundings/activities
* Perceptive: Aware of and able to understand situations
* Open to improvement: Willing to learn from situations
Actively observing surroundings/activities = Observant
Fair, truthful, sincere, honest, discreet = Ethical
Persistent and focused on objectives = Tenacious
Willing to learn from situations = Open to improvement
Tactful in dealing with individuals = Diplomatic
Aware of and able to understand situations = Perceptive
These are the auditor's characteristics and their descriptions as defined by ISO 19011:2022, Clause
7.2.21. The auditor's personal behaviour is essential for building trust and confidence with the auditee and for ensuring the credibility and effectiveness of the audit12. References: 1: ISO 19011:2022, Guidelines for auditing management systems, Clause 7.2.2 \n2: PECB Certified ISO/IEC 27001 Lead Auditor Exam Preparation Guide, Domain 3: Fundamental audit concepts and principles

마케팅 기관이 ISMS 구현의 일환으로 자체 위험 평가 접근 방식을 개발했습니다. 이것이 허용될 수 있습니까?

• A. 예, 위험 평가 방법론이 인정된 위험 평가 방법론과 일치하는 경우에만 해당됩니다.
• B. 예, ISO/IEC 27001 요구 사항을 준수하는 모든 위험 평가 방법론을 사용할 수 있습니다.
• C. 아니요, ISMS를 구현할 때는 ISO/IEC 27001에서 제공하는 위험 평가 방법론을 사용해야 합니다.

解説: (CertJuken メンバーにのみ表示されます)

다음 진술을 검토하고 거짓인 두 가지를 판별하십시오.

• A. 현장 감사를 실시하도록 승인된 감사원은 가상 감사에 대해 추가 교육을 요구하지 않습니다. 필요한 기술 세트에 큰 차이가 없기 때문입니다.
• B. 현장, 가상 또는 조합 감사를 선택할 때는 과거 실적과 이전 감사 결과를 고려해야 합니다.
• C. 가상 감사 중에 인터뷰에 참여하는 감사 대상자는 웹캠을 활성화해 두는 것이 강력히 권장됩니다.
• D. 기밀성 및 보안 문제로 인해 가상 감사 중 화면 공유는 감사팀이 감사 대상자의 문서를 검토할 수 있는 한 가지 방법입니다.
• E. 가상 감사에 앞서 기술 점검을 실시하면 감사의 효과성과 효율성을 개선할 수 있습니다.
• F. 제3자 감사에 할당되는 일수는 감사 대상자의 가용성에 따라 결정됩니다.

解説: (CertJuken メンバーにのみ表示されます)