Szenario 9: UpNet, ein Netzwerkunternehmen, wurde nach ISO/IEC 27001 zertifiziert. Es bietet Netzwerksicherheit, Virtualisierung, Cloud Computing, Netzwerkhardware, Netzwerkverwaltungssoftware und Netzwerktechnologien.
Der Bekanntheitsgrad des Unternehmens ist seit der ISO/IEC 27001-Zertifizierung drastisch gestiegen. Die Zertifizierung bestätigte die Reife des UpNefs-Betriebs und die Einhaltung eines weithin anerkannten und akzeptierten Standards.
Doch nicht alles endete nach der Zertifizierung. UpNet überprüfte und verbesserte kontinuierlich seine Sicherheitskontrollen sowie die allgemeine Wirksamkeit und Effizienz des ISMS durch die Durchführung interner Audits. Das Top-Management war nicht bereit, ein Vollzeitteam interner Prüfer zu beschäftigen, und beschloss daher, die interne Prüffunktion auszulagern. Diese Form der internen Audits gewährleistete Unabhängigkeit, Objektivität und eine beratende Funktion hinsichtlich der kontinuierlichen Verbesserung des ISMS.
Nicht lange nach dem ersten Zertifizierungsaudit gründete das Unternehmen eine neue Abteilung, die auf Daten- und Speicherprodukte spezialisiert war. Sie boten Router und Switches an, die für Rechenzentren und softwarebasierte Netzwerkgeräte wie Netzwerkvirtualisierungs- und Netzwerksicherheits-Appliances optimiert waren. Dies führte zu Änderungen in den Abläufen der anderen Abteilungen, die bereits vom ISMS-Zertifizierungsumfang abgedeckt sind.
Daher. UpNet hat einen Risikobewertungsprozess und ein internes Audit eingeleitet. Nach dem Ergebnis der internen Revision bestätigte das Unternehmen die Wirksamkeit und Effizienz der bestehenden und neuen Prozesse und Kontrollen.
Das Top-Management hat beschlossen, die neue Abteilung in den Zertifizierungsbereich aufzunehmen, da sie den Anforderungen der ISO/IEC 27001 entspricht. UpNet gab bekannt, dass es nach ISO/IEC 27001 zertifiziert ist und der Zertifizierungsumfang das gesamte Unternehmen umfasst.
Ein Jahr nach dem ersten Zertifizierungsaudit führte die Zertifizierungsstelle ein weiteres Audit des UpNefs ISMS durch.
Ziel dieser Prüfung war es, die Erfüllung der festgelegten ISO/IEC 27001-Anforderungen durch das UpNefs ISMS festzustellen und sicherzustellen, dass das ISMS kontinuierlich verbessert wird. Das Auditteam bestätigte, dass das zertifizierte ISMS weiterhin die Anforderungen des Standards erfüllt. Dennoch hatte die neue Abteilung erhebliche Auswirkungen auf die Steuerung des Managementsystems. Darüber hinaus wurden der Zertifizierungsstelle keine Änderungen mitgeteilt. Daher wurde die UpNefs-Zertifizierung ausgesetzt.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
UpNet gab bekannt, dass der Umfang der ISMS-Zertifizierung das gesamte Unternehmen umfasst, sobald sichergestellt ist, dass die neue Abteilung auch die ISO/IEC 27001-Anforderungen erfüllt. Wie würden Sie die in Szenario 9 dargestellte Situation einordnen?

• A. Akzeptabel, das interne Audit bestätigte die Wirksamkeit und Effizienz der bestehenden und neuen Prozesse und Kontrollen
• B. Inakzeptabel. UpNet hätte vor der Ankündigung eine Verlängerungsprüfung beantragen und gewähren sollen
• C. Inakzeptabel, der interne Prüfer hätte das Erweiterungsaudit genehmigen sollen, nicht das Top-Management

Sie sind ein erfahrener ISMS-Audit-Teamleiter.
Sie führen derzeit ein Überwachungsaudit durch Dritte bei einem internationalen Transportunternehmen durch.
Sie haben sich vier interne Auditberichte angesehen, in denen es heißt:
Bericht 1 – Rechnungsprüfer: Herr James.
Im Laufe des Jahres hat die Organisation in 23 von 100 Fällen ihre versprochenen Liefertermine nicht eingehalten.
Dies steht im Widerspruch zum Ziel von „95 % der Lieferungen pünktlich“.
Benotung – Nebenfach
Korrekturmaßnahme fällig: Innerhalb von 9 Monaten.
Bericht 2 – Rechnungsprüfer: Herr James.
Zwischen Januar und März gingen 125 Beschwerden über das Service Desk-Team ein. Kunden warfen ihnen Unhöflichkeit und mangelnde Reaktionsfähigkeit vor.
Benotung – Nebenfach
Korrekturmaßnahme fällig: Innerhalb von 12 Monaten.
Bericht 3 – Rechnungsprüfer: Herr James.
Von den 40 im letzten Monat eingegangenen Kundenbestellungen wurden 38 korrekt bearbeitet. Bei den übrigen beiden fehlte bei einem die Unterschrift und bei einem das Datum.
Benotung -
Korrekturen fällig: Innerhalb von 3 Wochen
Bericht 4 – Rechnungsprüfer: Herr Rogers.
Von den 30 untersuchten Personalunterlagen wurde festgestellt, dass 26 vollständig ausgefüllt waren, während bei den restlichen 4 das Anfangsdatum der Person fehlte.
Benotung – Hauptfach
Korrekturen fällig: Innerhalb einer Woche
Welche vier Optionen zeigen die Bedenken, die Sie im Hinblick auf diese Berichte hätten?

• A. Ich hätte Bedenken, dass für Bericht 3 keine Bewertung verzeichnet ist. Dies könnte darauf hindeuten, dass der Prüfer den Bericht nicht korrekt ausgefüllt hat oder dass er keine Entscheidung über den Schweregrad getroffen hat
• B. Ich hätte Bedenken, dass keine Nichtkonformitätsprüfung durchgeführt wurde
• C. Ich würde mir Sorgen machen, ob die Prüfer den Unterschied zwischen Korrekturen und Korrekturmaßnahmen verstehen
• D. Ich hätte Bedenken, dass offenbar ein Prüfer die meisten internen Prüfungen durchführt
• E. Ich wäre besorgt, da Maßnahmen zur Behebung einer größeren Nichtkonformität immer früher abgeschlossen sein sollten als Maßnahmen zur Behebung kleinerer Nichtkonformitäten
• F. Ich hätte Bedenken, dass der Zeitpunkt für die Behebung der Nichtkonformitäten in den vier Berichten erheblich unterschiedlich ist
• G. Ich hätte Bedenken, dass sich die Prüfer nur auf Informationssicherheitsprozesse konzentriert hätten
• H. Ich wäre besorgt darüber, ob es in dieser Organisation Kriterien zur Bewertung von Nichtkonformitäten gibt

Frage
Welche der folgenden Optionen beschreibt die Geschwindigkeit von Big Data am besten?

• A. Die Geschwindigkeit, mit der Daten in einem Echtzeitkontext verarbeitet werden
• B. Das Datenvolumen, das von Websites und digitalen Plattformen generiert wird.
• C. Die Vielfalt der Datenformen, einschließlich strukturierter und unstrukturierter Datentypen

Szenario 4
SendPay ist ein Finanzdienstleistungsunternehmen, das sich auf internationale Geldtransfers über ein Netzwerk von Agenten und Institutionen spezialisiert hat. Als junges Unternehmen am Markt strebt SendPay mit seiner gebührenfreien, im letzten Jahr eingeführten digitalen Plattform höchste Servicequalität an. Kunden können damit jederzeit per Smartphone und Laptop Geld senden und empfangen. SendPay lagerte damals die Softwareentwicklung an ein externes Team aus, das auch die technologische Infrastruktur des Unternehmens verwaltete.
Kürzlich beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es bereits seit fast einem Jahr über ein ISMS verfügte.
Im Rahmen der Prüfung konzentrierten sich die Prüfer auf die Überprüfung der ausgelagerten Geschäftstätigkeiten von SendPay und untersuchten insbesondere die Softwareentwicklung und die Wartung der technologischen Infrastruktur, die vom ausgelagerten Unternehmen durchgeführt wurden.
Sie verfolgten einen strukturierten Ansatz, der die Überprüfung und Bewertung der Prozesse von SendPay zur Überwachung der Qualität dieser ausgelagerten Tätigkeiten umfasste. Dies beinhaltete die Überprüfung, ob das Unternehmen seinen vertraglichen Verpflichtungen nachkam, die Sicherstellung angemessener Governance-Verfahren für die Beauftragung von Outsourcing-Unternehmen und die Bewertung der Pläne von SendPay für den Fall einer erwarteten oder unerwarteten Beendigung von Outsourcing-Verträgen.
Die Prüfer merkten jedoch an, dass die Protokolle von SendPay Eventualitäten wie unvorhergesehene Kündigungen von Outsourcing-Verträgen nicht vollständig abdeckten. Darüber hinaus unterstützte ein von SendPay beauftragter technischer Experte die Prüfer und stellte spezifisches Wissen und Fachkompetenz im Zusammenhang mit den geprüften Outsourcing-Prozessen zur Verfügung.
Das Auditteam ermittelte die Anzahl der von den Mitarbeitern absolvierten ISMS-Schulungsstunden, um die Übereinstimmung mit den festgelegten Zielen sicherzustellen. Zudem berechneten sie die durchschnittliche Lösungszeit von Informationssicherheitsvorfällen anhand einer während des Audits entnommenen Stichprobe. Dies lieferte wertvolle Einblicke in die Vorgehensweise von SendPay im Umgang mit Sicherheitsvorfällen. Darüber hinaus bewerteten die Prüfer die Zuverlässigkeit der während des Audits gesammelten Beweise. Sie berücksichtigten verschiedene Faktoren, die die Zuverlässigkeit der Auditbeweise beeinflussen. So lieferten beispielsweise Aufnahmen von Überwachungskameras objektivere Beweise als Fotos. Auch der Zeitpunkt spielte eine entscheidende Rolle für die Zuverlässigkeit; Mechanismen wie die Transaktionsaufzeichnung erhöhten die Glaubwürdigkeit der Beweise.
SendPay nutzt Cloud-basierte Plattformen, um seine Abläufe effizienter und skalierbarer zu gestalten. Aufgrund begrenzter Ressourcen verzichteten die Prüfer jedoch während der Prüfung darauf, SendPay eine Übersicht über seine Cloud-Aktivitäten vorzulegen, und verließen sich stattdessen auf die Angaben von SendPay.
Frage
Welche Art von Nachweisen nutzten die Prüfer, um verschiedene Aspekte des ISMS von SendPay während des Prüfprozesses zu validieren? Siehe Szenario 4.

• A. Analytische Beweise
• B. Mathematische Beweise
• C. Technische Beweise