PECB ISO-IEC-27001-Lead-Implementer Deutsch - PECB Certified ISO/IEC 27001 Lead Implementer Exam (ISO-IEC-27001-Lead-Implementer Deutsch Version)

Eine Organisation hat eine neue Authentifizierungsmethode eingeführt, um den sicheren Zugang zu sensiblen Bereichen und Einrichtungen des Unternehmens zu gewährleisten. Jeder Mitarbeiter muss eine Zwei-Faktor-Authentifizierung (Passwort und QR-Code) verwenden. Diese Kontrolle wurde dokumentiert, standardisiert und allen Mitarbeitern kommuniziert. Ihre Anwendung wurde jedoch der individuellen Initiative überlassen, sodass Fehler wahrscheinlich erkannt werden. Welchen Reifegrad bezieht sich diese Kontrolle?

• A. Definiert
• B. Quantitativ verwaltet
• C. Optimiert

Szenario 3: Socket Inc. ist ein Telekommunikationsunternehmen, das hauptsächlich drahtlose Produkte und Dienste anbietet. Es verwendet MongoDB, eine Dokumentmodelldatenbank, die hohe Verfügbarkeit, Skalierbarkeit und Flexibilität bietet.
Im vergangenen Monat meldete Socket Inc. einen Vorfall im Bereich der Informationssicherheit. Eine Gruppe von Hackern hatte die MongoDB-Datenbank kompromittiert, weil die Datenbankadministratoren die Standardeinstellungen nicht geändert hatten. Dadurch war die Datenbank ohne Passwort und öffentlich zugänglich.
Glücklicherweise führte Socket Inc. regelmäßige Backups seiner MongoDB-Datenbank durch, sodass während des Vorfalls keine Informationen verloren gingen. Ein Syslog-Server ermöglichte es Socket Inc. zudem, alle Protokolle auf einem Server zu zentralisieren. Durch die Überprüfung der Ereignisprotokolle, die Benutzerfehler und Ausnahmen aufzeichnen, stellte das Unternehmen fest, dass keine persistente Hintertür vorhanden war und der Angriff nicht von einem internen Mitarbeiter initiiert wurde.
Um ähnliche Vorfälle in Zukunft zu verhindern, entschied sich Socket Inc. für ein Zugangskontrollsystem, das nur autorisiertem Personal Zugriff gewährt. Das Unternehmen implementierte außerdem eine Kontrolle, um Regeln für den effektiven Einsatz von Kryptografie, einschließlich der Verwaltung kryptografischer Schlüssel, zu definieren und umzusetzen, um die Datenbank vor unbefugtem Zugriff zu schützen. Die Implementierung basierte auf allen relevanten Vereinbarungen, Gesetzen und Vorschriften sowie dem Informationsklassifizierungsschema. Um die Sicherheit zu verbessern und den Verwaltungsaufwand zu reduzieren, wurde eine Netzwerktrennung mittels VPNs vorgeschlagen.
Schließlich hat Socket Inc. ein neues System zur Pflege, Erfassung und Analyse von Informationen im Zusammenhang mit Bedrohungen der Informationssicherheit und zur Integration der Informationssicherheit in das Projektmanagement implementiert.
Was würde Socket Inc. basierend auf Szenario 3 dabei helfen, in Zukunft mit ähnlichen Informationssicherheitsvorfällen umzugehen?

• A. Durch die Nutzung des Zugangskontrollsystems wird sichergestellt, dass nur autorisiertes Personal Zugang erhält
• B. Verwenden kryptografischer Schlüssel zum Schutz der Datenbank vor unbefugtem Zugriff
• C. Verwendung der MongoDB-Datenbank mit den Standardeinstellungen

Nimbus Route, ein in den Niederlanden ansässiges Unternehmen für Cloud-basierte Logistikoptimierung, bietet KI-gestützte Routenplanung, Flottenmanagement-Tools und Echtzeit-Sendungsverfolgung für Kunden in ganz Europa und Nordamerika. Um sensible Logistikdaten zu schützen und die Ausfallsicherheit seiner Cloud-Dienste zu gewährleisten, hat Nimbus Route ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001 implementiert. Das Unternehmen integriert zudem intelligente Transportsysteme und prädiktive Analysen, um die betriebliche Effizienz und Nachhaltigkeit zu steigern. Im Rahmen der ISMS-Implementierung ermittelt das Unternehmen die erforderlichen Kompetenzniveaus für das ISMS-Management. Dabei wurden verschiedene Faktoren berücksichtigt, darunter technologische Fortschritte, regulatorische Vorgaben und die Unternehmensmission.
Strategische Ziele, verfügbare Ressourcen sowie die Bedürfnisse und Erwartungen der Kunden stehen im Mittelpunkt der Unternehmensstrategie. Darüber hinaus hat das Unternehmen klare Richtlinien für die interne und externe Kommunikation im Zusammenhang mit dem Informationssicherheitsmanagementsystem (ISMS) festgelegt. Diese definieren, welche Informationen wann, mit wem und über welche Kanäle geteilt werden. Allerdings wurden nicht alle Kommunikationsvorgänge formal dokumentiert: Stattdessen klassifiziert und steuert das Unternehmen die Kommunikation bedarfsgerecht und stellt sicher, dass die Dokumentation nur in dem für die Effektivität des ISMS erforderlichen Umfang geführt wird. Um die wachsenden digitalen Dienste zu unterstützen und die operative Skalierbarkeit zu gewährleisten, nutzt Nimbus Route virtualisierte Rechenressourcen eines externen Cloud-Service-Providers. Diese Konfiguration ermöglicht es dem Unternehmen, seine Betriebssysteme zu konfigurieren und zu verwalten, Anwendungen bereitzustellen und Speicherumgebungen nach Bedarf zu steuern, während der Provider die zugrunde liegende Cloud-Umgebung wartet. Zur weiteren Verbesserung der Vorhersagefähigkeiten setzt Nimbus Route Machine-Learning-Verfahren in mehreren seiner Kerndienste ein. Konkret nutzt das Unternehmen Machine Learning zur Routenoptimierung und Lieferzeitprognose und verwendet dabei Algorithmen wie logistische Regression und Support Vector Machines, um Muster in historischen Transportdaten zu erkennen. Mit zunehmender Reife des ISMS von Nimbus Route hat sich das Unternehmen für einen schrittweisen Ansatz beim Übergang in den vollen Betriebsmodus entschieden. Anstatt auf eine formelle Einführung zu warten, werden einzelne Elemente des ISMS, wie z. B. Risikomanagementverfahren, Zugriffskontrollen und Audit-Protokollierung, schrittweise aktiviert, sobald sie entwickelt und genehmigt sind. Beantworten Sie auf Grundlage des obigen Szenarios die folgende Frage.
Ist die für die Kommunikationsaktivitäten vorgesehene Zeit angemessen? Siehe Szenario 7.

• A. Ja, die Zeiteinteilung ist angemessen und kann an den Umfang der Kommunikationsaktivität angepasst werden.
• B. Ja, aber nur, wenn die Kommunikation wöchentlich in allen Abteilungen wiederholt wird.
• C. Nein, unabhängig vom Kommunikationsumfang sollten immer mindestens drei Wochen eingeplant werden.

Welches Feedback bezieht sich speziell auf die Leistung im Bereich Informationssicherheit während der Managementüberprüfung?

• A. Nichtkonformitäten und Korrekturmaßnahmen
• B. Möglichkeiten zur kontinuierlichen Verbesserung
• C. Ergebnisse der Risikobewertung

Wer sollte die Wirksamkeit der vom Auditierten nach einem internen Audit ergriffenen Korrekturmaßnahmen überprüfen?

• A. Der interne Prüfer
• B. Der Informationssicherheitsmanager
• C. Ein unabhängiger Prüfer sollte mit der Durchführung dieser Bewertung beauftragt werden