Nachdem sichergestellt war, dass die Angreifer keinen Zugriff auf ihr System hatten, beschlossen die Sicherheitsadministratoren, mit der forensischen Analyse fortzufahren. Sie kamen zu dem Schluss, dass ihr Zugriffssicherheitssystem nicht für die Erkennung von Bedrohungen ausgelegt war, einschließlich der Erkennung schädlicher Dateien, die mögliche zukünftige Angriffe auslösen könnten.
Auf Grundlage dieser Erkenntnisse beschloss Texas H$H Inc., sein Zugangssicherheitssystem zu ändern, um künftige Vorfälle zu vermeiden, und eine Richtlinie zum Vorfallmanagement in seine Informationssicherheitsrichtlinie zu integrieren, die den Mitarbeitern als Leitfaden für die Reaktion auf ähnliche Vorfälle dienen könnte.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Texas M&H Inc. hat beschlossen, die Incident-Management-Richtlinie in die bestehende Informationssicherheitsrichtlinie zu integrieren. Wie definieren Sie diese Situation?

• A. Nicht akzeptabel. Die Richtlinie zum Vorfallmanagement sollte als separates Dokument verfasst werden, um klar und effektiv zu sein.
• B. Akzeptabel, die Richtlinie zum Vorfallmanagement kann in die allgemeine Informationssicherheitsrichtlinie der Organisation integriert werden
• C. Akzeptabel, aber nur, wenn die Richtlinie zum Vorfallmanagement Umwelt- oder Gesundheits- und Sicherheitsaspekte berücksichtigt.

Aufgrund der Ergebnisse der Risikobewertung entschied Socket Inc.:
* Erfordert die Verwendung von Passwörtern mit mindestens 12 Zeichen, die Groß- und Kleinbuchstaben, Symbole und Zahlen enthalten
* Fordern Sie die Änderung der Passwörter mindestens alle 60 Tage
* Bewahren Sie Sicherungskopien von Dateien auf von der IT bereitgestellten Netzwerklaufwerken auf
* Weisen Sie Benutzer einem separaten Netzwerk zu, wenn sie Zugriff auf Cloud-Speicherdateien haben, in denen persönliche Daten von Kunden gespeichert sind.
Basierend auf Szenario 5 hat sich Socket Inc. entschieden, Cloud-Speicher zur Speicherung der persönlichen Daten seiner Kunden zu verwenden, da die identifizierten Risiken eine geringe Wahrscheinlichkeit und große Auswirkungen haben. Ist dies akzeptabel?

• A. Nein, da die identifizierten Risiken über dem Schwellenwert der Risikoakzeptanzkriterien liegen
• B. Nein, da die Auswirkungen der identifizierten Risiken in der hohen
• C. Ja, da das berechnete Risikoniveau unter dem akzeptablen Schwellenwert liegt

Szenario 8: BioVitalis
BioVitalis ist ein biopharmazeutisches Unternehmen mit Hauptsitz in Kalifornien, USA. Bekannt für seine Pionierarbeit auf dem Gebiet der Humantherapie, legt BioVitalis großen Wert auf die Bewältigung kritischer Herausforderungen im Gesundheitswesen, insbesondere in den Bereichen Herz-Kreislauf-Erkrankungen, Onkologie, Knochengesundheit und Entzündungen. BioVitalis hat sein Engagement für Datensicherheit und -integrität unter Beweis gestellt, indem es seit zwei Jahren ein effektives Informationssicherheitsmanagementsystem (ISMS) auf Basis von ISO/IEC 27001 aufrechterhält.
Zur Vorbereitung auf das Rezertifizierungsaudit führte BioVitalis ein internes Audit durch. Die Geschäftsleitung ernannte Alex, der in den letzten sechs Monaten die täglichen Abläufe der Compliance-Abteilung aktiv mitgestaltet hatte, zum internen Auditor. In dieser Doppelfunktion ist Alex beauftragt, ein Audit durchzuführen, das die Einhaltung der Vorschriften sicherstellt und wertvolle Empfehlungen zur Verbesserung der betrieblichen Effizienz liefert.
Im Rahmen des internen Audits wurden einige Abweichungen festgestellt. Um diese umfassend zu beheben, erstellte das Unternehmen für jede Abweichung einen Maßnahmenplan. In enger Zusammenarbeit mit dem Audit-Teamleiter führte die Geschäftsleitung von BioVitalis eine umfassende Überprüfung des Informationssicherheitsmanagementsystems (ISMS) durch, um dessen Angemessenheit, Vollständigkeit und Effizienz zu bewerten. Diese Überprüfung wurde in die regulären Management-Meetings integriert.
Wichtige Dokumente, darunter Prüfberichte, Maßnahmenpläne und Prüfungsergebnisse, wurden vor dem Treffen an alle Mitglieder verteilt. Die Tagesordnung umfasste den Stand der vorangegangenen Prüfungsmaßnahmen, Änderungen im ISMS, Feedback, Beiträge von Stakeholdern und Verbesserungsmöglichkeiten. Es wurden Entscheidungen und Maßnahmen zur Verbesserung des ISMS getroffen, wobei der ISMS-Koordinator und das interne Revisionsteam maßgeblich an der Erstellung der Folgemaßnahmenpläne beteiligt waren, die anschließend von der Geschäftsleitung genehmigt wurden.
Als Reaktion auf die Ergebnisse der Überprüfung ergriff BioVitalis umgehend Korrekturmaßnahmen und verstärkte seine Informationssicherheitsvorkehrungen. Zusätzlich wurden Dashboard-Tools eingeführt, die einen umfassenden Überblick über wichtige Leistungsindikatoren (KPIs) bieten, welche für die Überwachung des Informationssicherheitsmanagements des Unternehmens unerlässlich sind. Zu diesen Indikatoren gehören Kennzahlen zu Sicherheitsvorfällen, deren Kosten, Systemschwachstellentests, der Erkennung von Abweichungen und deren Behebungszeiten. Dies ermöglicht eine effektive Erfassung, Berichterstattung und Nachverfolgung der Überwachungsaktivitäten.
Darüber hinaus initiierte BioVitalis einen umfassenden Messprozess zur Bewertung des Fortschritts und der Ergebnisse laufender Projekte und implementierte weitreichende Maßnahmen in allen Prozessen. Das Top-Management legte fest, dass die für die Informationen verantwortliche Person neben der Datenverwaltung auch für die Durchführung dieser Messaktivitäten zuständig sein sollte. BioVitalis ist ein biopharmazeutisches Unternehmen mit einem nach ISO/IEC 27001 zertifizierten Informationssicherheitsmanagementsystem (ISMS). Im Rahmen der Rezertifizierung überprüfte das Unternehmen die ISMS-Performance und erstellte Dashboards zur Überwachung von KPIs wie Vorfallkosten, Schwachstellentests und Lösungszeiten.
Frage:
Welche Art von Dashboards nutzte BioVitalis?

• A. Taktisch
• B. Strategisch
• C. Operationell

Szenario 10: NetworkFuse entwickelt, produziert und vertreibt Netzwerkhardware. Das Unternehmen verfügt seit etwa zwei Jahren über ein betriebliches Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 und ein Qualitätsmanagementsystem (QMS) nach ISO 9001. Kürzlich hat das Unternehmen ein kombiniertes Zertifizierungsaudit beantragt, um die Zertifizierung nach ISO/IEC 27001 und ISO 9001 zu erhalten.
Nach der Auswahl der Zertifizierungsstelle bereitete NetworkFuse die Mitarbeiter auf das Audit vor. Das Unternehmen entschied sich, vor dem Audit keine Selbstevaluierung durchzuführen, da dies nach Ansicht der Unternehmensleitung nicht notwendig war. Darüber hinaus stellte es die Verfügbarkeit dokumentierter Informationen sicher, darunter interne Auditberichte und Managementbewertungen, eingesetzte Technologien und der allgemeine Betrieb des ISMS und des QMS. Das Unternehmen verlangte jedoch von der Zertifizierungsstelle, dass die Dokumentation nicht außerhalb des Unternehmens durchgeführt werden könne. Das Audit wurde jedoch nicht innerhalb der vorgesehenen Tage durchgeführt, da NetworkFuse den zugewiesenen Leiter des Auditteams ablehnte und dessen Ersatz anforderte. Das Unternehmen behauptete, dass derselbe Leiter des Auditteams eine Empfehlung zur Zertifizierung an seinen Hauptkonkurrenten ausgesprochen habe, was für die Unternehmensleitung einen potenziellen Interessenkonflikt darstellte. Der Antrag wurde von der Zertifizierungsstelle abgelehnt. Basierend auf Szenario 10. NetworkFuse hat vor dem Audit keine Selbstevaluierung des ISMS durchgeführt. Ist dies konform mit ISO/IEC 27001?

• A. Ja, der Standard besagt, dass sich das zu auditierende Unternehmen bei der Vorbereitung des Zertifizierungsaudits ausschließlich auf interne Audit- und Management-Review-Berichte stützen darf.
• B. Nein, der Auditierte muss die Anforderungen der Abschnitte 4 bis 10 vor der Durchführung eines Zertifizierungsaudits überprüfen.
• C. Ja, der Standard erfordert keine Selbstbewertung vor dem Audit, aber es ist eine gute Praxis, dieser zu folgen