Welche der folgenden Aussagen beschreibt den möglichen Umfang eines Managementsystems gemäß ISO/IEC 27000 am besten?

• A. Es ist auf die IT-Infrastruktur beschränkt und kann nicht-technische Abteilungen nicht einschließen
• B. Es kann je nach Bedarf variieren und die gesamte Organisation oder bestimmte Bereiche einbeziehen.
• C. Es sollte die gesamte Organisation ohne Ausnahmen abdecken

Szenario 5: OperazelT ist ein Softwareentwicklungsunternehmen, das Anwendungen für verschiedene Unternehmen weltweit entwickelt. Vor Kurzem führte das Unternehmen als Reaktion auf die sich entwickelnde digitale Landschaft und die neuen Herausforderungen im Bereich der Informationssicherheit eine Risikobewertung durch. Durch strenge Testverfahren wie Penetrationstests und Code-Reviews identifizierte das Unternehmen Probleme in seinen IT-Systemen, darunter unzulässige Benutzerberechtigungen, falsch konfigurierte Sicherheitseinstellungen und unsichere Netzwerkkonfigurationen. Um diese Probleme zu beheben und die Informationssicherheit zu verbessern, implementierte OperazelT ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001.
In Zusammenarbeit mit dem Implementierungsteam bewertete OperazelT seine Geschäftsanforderungen sowie sein internes und externes Umfeld gründlich, identifizierte seine wichtigsten Prozesse und Aktivitäten und identifizierte und analysierte die interessierten Parteien, um den vorläufigen Umfang des ISMS festzulegen. Anschließend führte das Implementierungsteam eine umfassende Überprüfung der Funktionseinheiten des Unternehmens durch und entschied sich dafür, die meisten Abteilungen des Unternehmens in den ISMS-Umfang einzubeziehen. Darüber hinaus beschloss das Team, interne und externe physische Standorte, sowohl externe als auch interne Aspekte gemäß Abschnitt 4.1, die Anforderungen in Abschnitt 4.2 sowie die Schnittstellen und Abhängigkeiten zwischen den vom Unternehmen durchgeführten Aktivitäten einzubeziehen. Der IT-Manager spielte eine zentrale Rolle bei der Genehmigung des endgültigen Umfangs, was OperazelTs Engagement für Informationssicherheit widerspiegelt.
Das Informationssicherheitsteam von OperazelT entwickelte eine umfassende Informationssicherheitsrichtlinie, die auf die strategische Ausrichtung und die rechtlichen Anforderungen des Unternehmens abgestimmt war und auf den Ergebnissen der Risikobewertung und den Geschäftsstrategien basierte. Diese Richtlinie wurde zusammen mit spezifischen Richtlinien, die Sicherheitsaspekte detailliert beschreiben und Rollen und Verantwortlichkeiten zuweisen, intern kommuniziert und extern weitergegeben. Die Ausarbeitung, Überprüfung und Genehmigung dieser Richtlinien erfolgte unter aktiver Beteiligung des oberen Managements, wodurch ein robuster Rahmen für den Informationsschutz aller Beteiligten gewährleistet wurde.
Im Zuge der Weiterentwicklung von OperazelT begann das Unternehmen mit der Umsetzung der Richtlinien. Dabei wurde ein detaillierter Plan entwickelt, der Sicherheitsdefinitionen, Rollenzuweisungen und Schulungen umfasste. Abschließend wurde die Phase der Richtlinienüberwachung und -pflege durchgeführt. Dabei wurden Überwachungsmechanismen eingerichtet, um sicherzustellen, dass die Informationssicherheitsrichtlinien des Unternehmens eingehalten werden und alle Mitarbeiter die Anforderungen erfüllen.
Um sein Informationssicherheitskonzept weiter zu stärken, leitete OperazelT im Rahmen der ISMS-Implementierung eine umfassende Lückenanalyse ein. Anstatt sich ausschließlich auf interne Bewertungen zu verlassen, entschied sich OperazelT, externe Berater zur Bewertung des ISMS-Zustands hinzuzuziehen. Die Zusammenarbeit mit externen Beratern brachte neue Perspektiven und wertvolle Erkenntnisse in die Lückenanalyse ein und ermöglichte es OperazelT, Schwachstellen und Verbesserungspotenziale objektiver zu identifizieren. Schließlich richtete OperazelT ein Komitee ein, dessen Aufgabe es ist, den ordnungsgemäßen Betrieb des ISMS sicherzustellen, den Risikobewertungsprozess des Unternehmens zu überwachen, Probleme der Informationssicherheit zu bewältigen, Lösungen für Abweichungen zu empfehlen und die Umsetzung von Korrekturen und Abhilfemaßnahmen zu überwachen.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Gab es Probleme damit, wie OperazelT seinen aktuellen ISMS-Status ermittelt hat?

• A. Ja, da es in der Verantwortung des Top-Managements liegt, den ISMS-Status zu bestimmen
• B. Nein, da der ISMS-Zustand durch externe Berater ermittelt werden kann
• C. Ja, da der ISMS-Status vom Implementierungsteam bestimmt werden muss

Szenario 2: Beauty ist ein Kosmetikunternehmen, das kürzlich vom traditionellen Einzelhandel auf E-Commerce umgestiegen ist. Die Geschäftsleitung hat beschlossen, eine eigene Plattform zu entwickeln und den Zahlungsprozess an einen externen Anbieter auszulagern, der Online-Zahlungssysteme betreibt, die Online-Überweisungen unterstützen.
Aufgrund dieser Umgestaltung des Geschäftsmodells wurden basierend auf den identifizierten Bedrohungen und Schwachstellen kritischer Ressourcen zahlreiche Sicherheitskontrollen implementiert. Zum Schutz der Kundendaten mussten die Mitarbeiter von Beauty eine Vertraulichkeitsvereinbarung unterzeichnen. Darüber hinaus überprüfte das Unternehmen alle Benutzerzugriffsrechte, sodass nur autorisiertes Personal Zugriff auf vertrauliche Dateien hat, und erstellte ein neues Diagramm zur Aufgabentrennung.
Der Übergang gestaltete sich für das IT-Team jedoch schwierig, da es kurz nach der Umstellung auf das E-Commerce-Modell einen Sicherheitsvorfall zu bewältigen hatte. Nach der Untersuchung des Vorfalls kam das Team zu dem Schluss, dass sich ein Angreifer aufgrund der veralteten Anti-Malware-Software den Zugriff auf die Dateien erschlichen und Kundeninformationen, einschließlich Namen und Privatadressen, offengelegt hatte.
Das IT-Team beschloss, die alte Anti-Malware-Software nicht mehr zu verwenden und eine neue zu installieren, die bei ähnlichen Vorfällen Schadcode automatisch entfernen würde. Die neue Software wurde auf allen Arbeitsplätzen im Unternehmen installiert. Anschließend aktualisierte das Team die Software mit den neuesten Malware-Definitionen und aktivierte die automatische Update-Funktion, um sie stets auf dem neuesten Stand zu halten. Zusätzlich wurde ein Authentifizierungsprozess eingerichtet, der für den Zugriff auf vertrauliche Informationen eine Benutzerkennung und ein Kennwort erfordert.
Darüber hinaus hat Beauty eine Reihe von Schulungen zur Informationssicherheit für das IT-Team und andere Mitarbeiter mit Zugriff auf vertrauliche Informationen durchgeführt, um das Bewusstsein für die Bedeutung der System- und Netzwerksicherheit zu schärfen.
Gemäß Szenario 2. Beauty hat alle Benutzerzugriffsrechte überprüft. Um welche Art von Kontrolle handelt es sich dabei?

• A. Rechtliche und technische
• B. Detektiv- und Verwaltungs
• C. Korrektive und leitende

Welchen Zweck hat Abschnitt 8.28 der Norm ISO/IEC 27002:2022?

• A. Um sicherzustellen, dass alle Sicherheitsanforderungen während der Anwendungsentwicklung berücksichtigt werden
• B. Um sicherzustellen, dass Software sicher geschrieben wird, um Informationssicherheitslücken zu reduzieren
• C. Um sicherzustellen, dass die Grundsätze für sicheres Systemdesign eingehalten werden

Eine Organisation mit einem ISMS führt in geplanten Abständen Management-Reviews durch, dokumentiert die Ergebnisse jedoch nicht. Entspricht dies den Anforderungen der ISO/IEC 27001?

• A. Ja. ISO/IEC 27001 verlangt von Organisationen nicht, die Ergebnisse von Management-Reviews zu dokumentieren.
• B. Nein, ISO/IEC 27001 verlangt von Organisationen, die Ergebnisse von Management-Reviews zu dokumentieren
• C. Ja. ISO/IEC 27001 verlangt von Organisationen, die Ergebnisse von Managementbewertungen nur dann zu dokumentieren, wenn diese ad hoc durchgeführt werden.