Szenario 8: Die EsBank bietet seit September Bank- und Finanzlösungen für den estnischen Bankensektor an
2010. Das Unternehmen verfügt über ein Netz von 30 Filialen mit über 100 Geldautomaten im ganzen Land.
Da die EsBank in einer stark regulierten Branche tätig ist, muss sie zahlreiche Gesetze und Vorschriften hinsichtlich der Sicherheit und des Datenschutzes von Daten einhalten. Sie müssen die Informationssicherheit in ihren gesamten Betrieben verwalten, indem sie technische und nichttechnische Kontrollen implementieren. Die EsBank hat sich für die Implementierung eines ISMS auf Basis von ISO/IEC entschieden
27001, weil es eine bessere Sicherheit, eine bessere Risikokontrolle und die Einhaltung wichtiger Anforderungen von Gesetzen und Vorschriften bietet.
Neun Monate nach der erfolgreichen Implementierung des ISMS beschloss die EsBank, die Zertifizierung ihres ISMS durch eine unabhängige Zertifizierungsstelle nach ISO/IEC 27001 anzustreben. Das Zertifizierungsaudit umfasste alle Systeme, Prozesse und Technologien der EsBank.
Die Audits der Stufen 1 und 2 wurden gemeinsam durchgeführt und es wurden mehrere Nichtkonformitäten festgestellt. Die erste Nichtkonformität betraf die Kennzeichnung von Informationen durch die EsBank. Das Unternehmen verfügte über ein Klassifizierungssystem für Informationen, es gab jedoch kein Verfahren zur Kennzeichnung von Informationen. Infolgedessen würden Dokumente, die das gleiche Schutzniveau erfordern, unterschiedlich gekennzeichnet (manchmal als vertraulich, manchmal als sensibel).
Da alle Dokumente auch elektronisch gespeichert wurden, wirkte sich die Nichtkonformität auch auf die Medienhandhabung aus. Das Prüfteam zog Stichproben und kam zu dem Schluss, dass auf 50 von 200 Wechseldatenträgern vertrauliche Informationen gespeichert waren, die fälschlicherweise als vertraulich eingestuft wurden. Gemäß dem Informationsklassifizierungsschema dürfen vertrauliche Informationen auf Wechselmedien gespeichert werden, wohingegen die Speicherung sensibler Informationen strengstens verboten ist. Dies markierte die andere Nichtkonformität.
Sie verfassten den Nichtkonformitätsbericht und diskutierten die Audit-Schlussfolgerungen mit den Vertretern der EsBank, die sich bereit erklärten, innerhalb von zwei Monaten einen Aktionsplan für die festgestellten Nichtkonformitäten vorzulegen.
Die EsBank akzeptierte den Lösungsvorschlag des Prüfungsteamleiters. Sie lösten die Nichtkonformitäten, indem sie ein Verfahren zur Informationskennzeichnung auf der Grundlage des Klassifizierungsschemas für physische und elektronische Formate entwarfen.
Basierend auf diesem Verfahren wurde auch das Verfahren für Wechselmedien aktualisiert.
Zwei Wochen nach Abschluss der Prüfung legte die EsBank einen allgemeinen Aktionsplan vor. Dort gingen sie auf die festgestellten Nichtkonformitäten und die ergriffenen Korrekturmaßnahmen ein, machten jedoch keine Angaben zu den betroffenen Systemen, Kontrollen oder Abläufen. Das Auditteam bewertete den Aktionsplan und kam zu dem Schluss, dass die Nichtkonformitäten dadurch behoben werden würden. Dennoch erhielt die EsBank eine negative Empfehlung zur Zertifizierung.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Welche Option begründet die negative Empfehlung zur Zertifizierung? Siehe Szenario 8.

• A. Die größte Nichtkonformität im Zusammenhang mit der Speicherung sensibler Informationen auf Wechselmedien
• B. Das unrealistische Datum des eingereichten Aktionsplans (zwei Wochen)
• C. Die geringfügige Nichtkonformität im Zusammenhang mit dem Kennzeichnungsverfahren mit fehlenden Informationen

Bei Gesprächen mit den Personen, die das Auditprogramm einer Zertifizierungsstelle verwalten, fragt der Managementsystembeauftragte der Kundenorganisation nach einem bestimmten Auditor für das Zertifizierungsaudit. Wählen Sie zwei der folgenden Optionen aus, wie die Person(en), die das Auditprogramm verwalten, reagieren sollen.

• A. Geben Sie an, dass sein Antrag berücksichtigt wird, aber möglicherweise nicht berücksichtigt wird
• B. Schlagen Sie vor, dass der Managementsystembeauftragte eine andere Zertifizierungsstelle wählt
• C. Informieren Sie den Managementsystembeauftragten darüber, dass die Auswahl des Auditteams eine Entscheidung ist, die der Auditprogrammmanager auf der Grundlage der verfügbaren Ressourcen treffen muss
• D. Schlagen Sie vor, die Leitung der Zertifizierungsstelle zu bitten, den Antrag zu genehmigen
• E. Teilen Sie dem Managementsystembeauftragten mit, dass seine Anfrage angenommen werden kann

Sie sind ein erfahrener Leiter eines ISMS-Prüfungsteams, der eine Klasse von Prüfern in der Ausbildung unterrichtet. Das Thema der heutigen Lektion ist das Management von Informationssicherheitsrisiken gemäß den Anforderungen der ISO/IEC 27001:2022.
Sie stellen der Klasse eine Reihe von Aktivitäten zur Verfügung. Anschließend bitten Sie die Klasse, diese Aktivitäten in der Reihenfolge zu sortieren, in der sie im Standard erscheinen.
In welcher Reihenfolge sollten sie Ihnen Bericht erstatten?

Szenario 8: Die EsBank bietet seit September Bank- und Finanzlösungen für den estnischen Bankensektor an
2010. Das Unternehmen verfügt über ein Netz von 30 Filialen mit über 100 Geldautomaten im ganzen Land.
Da die EsBank in einer stark regulierten Branche tätig ist, muss sie zahlreiche Gesetze und Vorschriften hinsichtlich der Sicherheit und des Datenschutzes von Daten einhalten. Sie müssen die Informationssicherheit in ihren gesamten Betrieben verwalten, indem sie technische und nichttechnische Kontrollen implementieren. Die EsBank hat sich für die Implementierung eines ISMS auf Basis von ISO/IEC entschieden
27001, weil es eine bessere Sicherheit, eine bessere Risikokontrolle und die Einhaltung wichtiger Anforderungen von Gesetzen und Vorschriften bietet.
Neun Monate nach der erfolgreichen Implementierung des ISMS beschloss die EsBank, die Zertifizierung ihres ISMS durch eine unabhängige Zertifizierungsstelle nach ISO/IEC 27001 anzustreben. Das Zertifizierungsaudit umfasste alle Systeme, Prozesse und Technologien der EsBank.
Die Audits der Stufen 1 und 2 wurden gemeinsam durchgeführt und es wurden mehrere Nichtkonformitäten festgestellt. Die erste Nichtkonformität betraf die Kennzeichnung von Informationen durch die EsBank. Das Unternehmen verfügte über ein Klassifizierungssystem für Informationen, es gab jedoch kein Verfahren zur Kennzeichnung von Informationen. Infolgedessen würden Dokumente, die das gleiche Schutzniveau erfordern, unterschiedlich gekennzeichnet (manchmal als vertraulich, manchmal als sensibel).
Da alle Dokumente auch elektronisch gespeichert wurden, wirkte sich die Nichtkonformität auch auf die Medienhandhabung aus. Das Prüfteam zog Stichproben und kam zu dem Schluss, dass auf 50 von 200 Wechseldatenträgern vertrauliche Informationen gespeichert waren, die fälschlicherweise als vertraulich eingestuft wurden. Gemäß dem Informationsklassifizierungsschema dürfen vertrauliche Informationen auf Wechselmedien gespeichert werden, wohingegen die Speicherung sensibler Informationen strengstens verboten ist. Dies markierte die andere Nichtkonformität.
Sie verfassten den Nichtkonformitätsbericht und diskutierten die Audit-Schlussfolgerungen mit den Vertretern der EsBank, die sich bereit erklärten, innerhalb von zwei Monaten einen Aktionsplan für die festgestellten Nichtkonformitäten vorzulegen.
Die EsBank akzeptierte den Lösungsvorschlag des Prüfungsteamleiters. Sie lösten die Nichtkonformitäten, indem sie ein Verfahren zur Informationskennzeichnung auf der Grundlage des Klassifizierungsschemas für physische und elektronische Formate entwarfen.
Basierend auf diesem Verfahren wurde auch das Verfahren für Wechselmedien aktualisiert.
Zwei Wochen nach Abschluss der Prüfung legte die EsBank einen allgemeinen Aktionsplan vor. Dort gingen sie auf die festgestellten Nichtkonformitäten und die ergriffenen Korrekturmaßnahmen ein, machten jedoch keine Angaben zu den betroffenen Systemen, Kontrollen oder Abläufen. Das Auditteam bewertete den Aktionsplan und kam zu dem Schluss, dass die Nichtkonformitäten dadurch behoben werden würden. Dennoch erhielt die EsBank eine negative Empfehlung zur Zertifizierung.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Basierend auf Szenario 8 legte die EsBank einen allgemeinen Aktionsplan vor. Ist das akzeptabel?

• A. Nein, ein Aktionsplan sollte sich nur auf eine Nichtkonformität konzentrieren
• B. Ja, für Nichtkonformitäten mit derselben Grundursache sollte ein allgemeiner Aktionsplan vorliegen
• C. Nein, ein allgemeiner Aktionsplan ermöglicht keine Korrektur von Nichtkonformitäten

Szenario:
Ein Datenverarbeitungstool stürzte ab, als ein Benutzer mehr Daten zum Puffer hinzufügte, als dessen Speicherkapazität zuließ. Der Vorfall wurde dadurch verursacht, dass das Tool keine Array-Grenzwertprüfung durchführen konnte. Um welche Art von Sicherheitslücke handelt es sich hier?

• A. Inhärente Verwundbarkeit, d. h. die Unfähigkeit, Arrays auf ihre Grenzen zu prüfen, ist ein Merkmal des Datenverarbeitungstools
• B. Extrinsische Schwachstelle, d. h. die Ausnutzung der Pufferüberlauf-Schwachstelle, wird durch einen externen Faktor verursacht
• C. Keine; Pufferüberlauf ist keine Sicherheitslücke, sondern eine Bedrohung