Eine Organisation, die ein ISMS nach ISO/IEC 27001 implementiert, hat sichere Systemarchitektur- und Engineering-Prinzipien definiert und kommuniziert. Es gibt jedoch keine dokumentierten Informationen zu diesen Prinzipien. Ist das akzeptabel?

• A. Ja, der Standard verlangt von Organisationen, nur sichere Systemarchitektur- und Engineering-Prinzipien zu kommunizieren
• B. Ja, dokumentierte Informationen zur sicheren Systemarchitektur und zu technischen Prinzipien werden vom Standard nicht direkt gefordert
• C. Nein, die Dokumentation sicherer Systemarchitektur und technischer Prinzipien ist durch den Standard vorgeschrieben

Szenario 8: SunDee ist ein biopharmazeutisches Unternehmen mit Hauptsitz in Kalifornien, USA. SunDee ist bekannt für seine Pionierarbeit im Bereich der Humantherapie und legt großen Wert auf die Behandlung kritischer Gesundheitsprobleme, insbesondere in den Bereichen Herz-Kreislauf-Erkrankungen, Onkologie, Knochengesundheit und Entzündungen. SunDee hat sein Engagement für Datensicherheit und -integrität unter Beweis gestellt, indem es seit zwei Jahren ein effektives Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 unterhält.
Zur Vorbereitung auf das Rezertifizierungsaudit führte SunDee ein internes Audit durch. Die Unternehmensleitung ernannte Alex, der in den letzten sechs Monaten das Tagesgeschäft der Compliance-Abteilung aktiv geleitet hatte, zum internen Auditor. In dieser Doppelrolle ist Alex damit beauftragt, ein Audit durchzuführen, das die Compliance sicherstellt und wertvolle Empfehlungen zur Verbesserung der Betriebseffizienz liefert.
Während des internen Audits wurden einige Abweichungen festgestellt. Um diese umfassend zu beheben, erstellte das Unternehmen in enger Zusammenarbeit mit dem Leiter des Auditteams für jede Abweichung einen Aktionsplan.
Die Geschäftsleitung von SunDee führte eine umfassende Überprüfung des ISMS durch, um dessen Angemessenheit, Zulänglichkeit und Effizienz zu bewerten. Diese Überprüfung wurde in die regelmäßigen Management-Meetings integriert. Wichtige Dokumente, darunter Auditberichte, Aktionspläne und Ergebnisse der Überprüfung, wurden vor der Sitzung an alle Mitglieder verteilt. Die Tagesordnung umfasste den Status früherer Überprüfungsmaßnahmen, Änderungen am ISMS, Feedback, Stakeholder-Input und Verbesserungsmöglichkeiten. Entscheidungen und Maßnahmen zur Verbesserung des ISMS wurden getroffen. Der ISMS-Koordinator und das interne Audit-Team spielten eine wichtige Rolle bei der Ausarbeitung von Folgeaktionsplänen, die anschließend vom oberen Management genehmigt wurden.
Als Reaktion auf die Ergebnisse der Überprüfung ergriff SunDee umgehend Korrekturmaßnahmen und stärkte seine Informationssicherheitsmaßnahmen. Zusätzlich wurden Dashboard-Tools eingeführt, die einen umfassenden Überblick über die wichtigsten Leistungsindikatoren bieten, die für die Überwachung des Informationssicherheitsmanagements des Unternehmens unerlässlich sind. Diese Indikatoren umfassten Kennzahlen zu Sicherheitsvorfällen, deren Kosten, Systemschwachstellentests, der Erkennung von Abweichungen und Lösungszeiten und ermöglichten so eine effektive Aufzeichnung, Berichterstattung und Nachverfolgung der Überwachungsaktivitäten. Darüber hinaus startete SunDee einen umfassenden Messprozess, um den Fortschritt und die Ergebnisse laufender Projekte zu bewerten und implementierte umfangreiche Maßnahmen in allen Prozessen. Die Geschäftsleitung legte fest, dass die für die Informationen verantwortliche Person nicht nur Eigentümer der zu den Maßnahmen beitragenden Daten, sondern auch für die Durchführung dieser Messaktivitäten verantwortlich ist.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Welches der folgenden Dashboards hat SunDee basierend auf Szenario 8 verwendet?

• A. Strategische Dashboards
• B. Operative Dashboards
• C. Taktische Dashboards

Hat Infralink sich gemäß Szenario 3 angemessen auf die Implementierung der Informationssicherheitskontrollen vorbereitet?

• A. Nein, es wurden lediglich technische Spezifikationen erstellt.
• B. Nein, es hätte die beabsichtigten Ergebnisse nicht vor der Implementierung identifizieren sollen.
• C. Ja, es wurden entsprechende Vorbereitungen getroffen.

解説: (CertJuken メンバーにのみ表示されます)

Welche Aussage zu organisatorischen Rollen, Verantwortlichkeiten und Befugnissen ist NICHT richtig?

• A. Ein Projektmanager kann auch Verantwortung für die Informationssicherheit tragen
• B. Die oberste Leitung ist für die Berichterstattung über die Leistung des ISMS verantwortlich und kann diese Verantwortung nicht an jemand anderen delegieren.
• C. Die oberste Leitung muss die Verantwortung dafür übertragen, dass das ISMS der ISO/IEC 27001 entspricht.

解説: (CertJuken メンバーにのみ表示されます)

Wer sollte gemäß den ISO/IEC 27001-Kontrollen bei der Planung von Audittests und Sicherungsaktivitäten, die operative Systeme betreffen, außer dem Tester in den Vereinbarungsprozess einbezogen werden?

• A. Der Vorstand
• B. Das entsprechende Management
• C. Das Top-Management