Sie sind ein erfahrener Audit-Teamleiter, der einen Auditor in der Ausbildung leitet. Ihr Team führt derzeit ein externes Überwachungsaudit einer Organisation durch, die Daten im Auftrag externer Kunden speichert. Der Auditor in der Ausbildung wurde damit beauftragt, die in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) aufgeführten und am Standort implementierten TECHNOLOGISCHEN Kontrollen zu überprüfen.
Wählen Sie aus den folgenden vier Kontrollen aus, die der Auditor in der Schulung Ihrer Meinung nach überprüfen sollte.

• A. Der Betrieb der CCTV- und Türkontrollsysteme am Standort
• B. Wie der Schutz vor Malware implementiert wird
• C. Wie die Organisation ihre Gefährdung durch technische Schwachstellen bewertet
• D. Die Entwicklung und Pflege eines Informationsressourceninventars
• E. Die Vereinbarungen der Organisation zur Wartung der Ausrüstung
• F. Vertraulichkeits- und Geheimhaltungsvereinbarungen
• G. Fernarbeitsvereinbarungen
• H. Regeln für die Übermittlung von Informationen innerhalb der Organisation und an andere Organisationen
• I. Die Vereinbarungen der Organisation zur Löschung von Informationen
• J. Die Durchführung von Überprüfungen des Personals
• K. Die Geschäftskontinuitätsvereinbarungen der Organisation
• L. Wie Strom- und Datenkabel in das Gebäude gelangen
• M. Wie der Zugriff auf Quellcode und Entwicklungstools verwaltet wird
• N. Bewusstsein für Informationssicherheit, Bildung und Schulung
• O. Zugang zur und von der Laderampe
• P. Wie die Informationssicherheit in Lieferantenvereinbarungen behandelt wurde

Sie sind ein erfahrener Leiter eines ISMS-Prüfungsteams und sprechen mit einem Auditor in Ausbildung, der Ihrem Prüfungsteam zugewiesen wurde. Sie möchten sicherstellen, dass sie die Bedeutung der Prüfphase des Plan-Do-Check-Act-Zyklus im Hinblick auf den Betrieb des Informationssicherheitsmanagementsystems verstehen.
Dazu bitten Sie ihn, die Wörter auszuwählen, die den Satz am besten vervollständigen:
Um den Satz mit den besten Wörtern zu vervollständigen, klicken Sie auf den leeren Abschnitt, den Sie vervollständigen möchten, sodass er rot hervorgehoben wird, und klicken Sie dann auf den entsprechenden Text in den folgenden Optionen. Alternativ können Sie die Option per Drag-and-Drop in den entsprechenden leeren Abschnitt ziehen.

Im Folgenden finden Sie die Richtlinien zum Schutz Ihres Passworts, mit Ausnahme von:

• A. Passwörter mit niemandem teilen
• B. Verwenden Sie nicht dasselbe Passwort für den Sicherheitszugriff auf verschiedene Unternehmenssysteme
• C. Verwenden Sie zum einfachen Abrufen dasselbe Passwort für Firmen- und Privatkonten
• D. Ändern Sie ein temporäres Passwort bei der ersten Anmeldung

Szenario 7: Webvue, ein japanisches Technologieunternehmen, ist auf die Entwicklung, den Support und die Wartung von Computersoftware spezialisiert. Webvue bietet Lösungen für verschiedene Technologiebereiche und Branchen. Das Flaggschiffprodukt ist CloudWebvue, eine umfassende Cloud-Computing-Plattform mit Speicher-, Netzwerk- und Virtualisierungsdiensten. CloudWebvue ist sowohl für Unternehmen als auch für Privatanwender konzipiert und bekannt für seine Flexibilität, Skalierbarkeit und Zuverlässigkeit.
Webvue hat beschlossen, CloudWebvue ausschließlich in den Geltungsbereich der ISO/IEC 27001-Zertifizierung aufzunehmen. Daher wurden die Audits der Stufen 1 und 2 parallel durchgeführt. Webvue legt großen Wert auf die Vertraulichkeit seiner Assets. Die in CloudWebvue gespeicherten Informationen werden durch geeignete kryptografische Verfahren geschützt. Jede Information, unabhängig von der Klassifizierungsstufe (intern, eingeschränkt oder vertraulich), wird zunächst mit einem eindeutigen Hashwert verschlüsselt und anschließend in der Cloud gespeichert. Das Auditteam bestand aus fünf Personen: Keith, Sean, Layla, Sam und Tina. Keith, der erfahrenste Auditor im IT- und Informationssicherheits-Auditteam, leitete das Auditteam. Zu seinen Aufgaben gehörten die Planung des Audits und die Führung des Teams. Sean und Layla verfügten über Erfahrung in Projektplanung, Geschäftsanalyse und IT-Systemen (Hardware und Anwendungen). Zu ihren Aufgaben gehörte die Auditplanung gemäß den internen Systemen und Prozessen von Webvue. Sam und Tina hingegen, die erst kürzlich ihr Studium abgeschlossen hatten, waren für die Erledigung der täglichen Aufgaben zuständig und entwickelten gleichzeitig ihre Audit-Kompetenzen weiter. Bei der Überprüfung der Konformität mit Kontrollpunkt 8.24 „Verwendung von Kryptografie“ gemäß ISO/IEC 27001 Anhang A durch Interviews mit den zuständigen Mitarbeitern stellte das Audit-Team fest, dass die kryptografischen Schlüssel ursprünglich mithilfe eines Zufallsbitgenerators (RBG) und anderer bewährter Verfahren zur Generierung kryptografischer Schlüssel generiert wurden. Nach Prüfung der Kryptografie-Richtlinie von Webvue kamen sie zu dem Schluss, dass die in den Interviews gewonnenen Informationen korrekt waren. Die kryptografischen Schlüssel werden jedoch weiterhin verwendet, da die Richtlinie die Verwendung und Lebensdauer kryptografischer Schlüssel nicht regelt.
Wie später zwischen Webvue und der Zertifizierungsstelle vereinbart, entschied sich das Audit-Team für ein virtuelles Audit, das sich speziell auf die Überprüfung der Konformität mit Kontrollpunkt 8.11 „Datenmaskierung“ der ISO/IEC 27001 bei Webvue konzentrierte und damit dem Zertifizierungsumfang und den Auditzielen entsprach. Sie untersuchten die Prozesse zum Schutz von Daten in CloudWebvue und legten dabei besonderen Wert darauf, wie das Unternehmen seine Richtlinien und regulatorischen Standards einhielt. Im Rahmen dieses Prozesses fertigte Keith, der Leiter des Audit-Teams, Screenshots relevanter Dokumente und Verfahren zur kryptografischen Schlüsselverwaltung an, um die Effektivität der Praktiken von Webvue zu dokumentieren und zu analysieren.
Webvue verwendet generierte Testdaten für Testzwecke. Wie jedoch sowohl das Gespräch mit dem Leiter der Qualitätssicherungsabteilung als auch die dort angewandten Verfahren ergaben, werden mitunter auch Live-Systemdaten verwendet. In solchen Fällen werden große Datenmengen generiert, was zu präziseren Ergebnissen führt. Die Testdaten sind geschützt und kontrolliert, wie die Simulation des Verschlüsselungsprozesses durch Webvue-Mitarbeiter während des Audits bestätigte. Im Gespräch mit dem Leiter der Qualitätssicherungsabteilung stellte Keith fest, dass Mitarbeiter der Abteilung für Sicherheitsschulungen die korrekten Verfahren nicht einhielten, obwohl diese Abteilung nicht zum Auditumfang gehörte. Trotz des Ausschlusses aus dem Auditumfang hat die Nichteinhaltung der Vorschriften in der Abteilung für Sicherheitsschulungen potenzielle Auswirkungen auf die Prozesse innerhalb des Auditumfangs, insbesondere auf die Datensicherheit und die kryptografischen Praktiken von CloudWebvue. Daher nahm Keith diesen Befund in den Auditbericht auf und informierte den Auditierten entsprechend.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Basierend auf Szenario 7 überprüfte das Audit-Team die Kryptografie-Richtlinien von Webvue, um eine hinreichende Sicherheit hinsichtlich der in den Interviews gewonnenen Informationen zu erlangen. Welche Art von Prüfverfahren wurde angewendet?

• A. Beobachtung
• B. Auswertung
• C. Bestätigung

Sie führen ein ISMS-Audit in einem Pflegeheim namens ABC durch, das Gesundheitsdienstleistungen anbietet.
Der nächste Schritt in Ihrem Auditplan besteht darin, die Wirksamkeit des kontinuierlichen Verbesserungsprozesses zu überprüfen. Während der Prüfung haben Sie erfahren, dass die meisten Familienangehörigen der Bewohner (90 %) einmal pro Woche über die mobile Gesundheits-App von ABC per E-Mail und SMS Werbeanzeigen für medizinische Geräte von WeCare erhalten. Sie alle stimmen der Verwendung der gesammelten personenbezogenen Daten (oder Marketing- oder anderen Zwecken als der Krankenpflege und medizinischen Versorgung) im Rahmen des mit ABC unterzeichneten Dienstleistungsvertrags nicht zu. Sie haben sehr starke Gründe zu der Annahme, dass ABC die Daten von Bewohnern und Familienangehörigen preisgibt ' persönliche Daten an einen nicht relevanten Dritten weitergegeben und Beschwerden eingereicht haben.
Der Servicemanager sagt, dass alle diese Beschwerden als Nichtkonformitäten behandelt wurden und die Korrekturmaßnahmen gemäß dem Nichtkonformitäts- und Korrekturmanagementverfahren geplant und umgesetzt wurden. Die Korrekturmaßnahme bestand darin, die Zusammenarbeit mit WeCare, dem Hersteller medizinischer Geräte, sofort einzustellen und ihn aufzufordern, alle erhaltenen personenbezogenen Daten zu löschen sowie eine Entschuldigungs-E-Mail an alle Bewohner und ihre Familienangehörigen zu senden.
Sie bereiten die Prüfungsergebnisse vor. Wählen Sie eine Option mit dem richtigen Befund aus.

• A. Keine Nichtkonformität: Ich würde gerne weitere Belege darüber sammeln, wie die Organisation den Umfang des Managementsystems definiert, und sehen, ob sie die Herstellung von WeCare-Medizinprodukten abdeckt
• B. Keine Nichtkonformität: Der Servicemanager hat die Korrekturmaßnahmen umgesetzt und der Kundendienstmitarbeiter bewertet die Wirksamkeit der implementierten Korrekturmaßnahmen
• C. Nichtkonformität: ABC hält sich nicht an die mit den Familienmitgliedern der Bewohner unterzeichnete Gesundheitsdienstleistungsvereinbarung
• D. Nichtkonformität: Bei der Managementbewertung wird das Feedback der Familienangehörigen der Bewohner nicht berücksichtigt