Frage:
Welche der folgenden Aussagen beschreibt das Open Security Architecture (OSA)-Framework am besten?

• A. Ein Rahmenwerk, das Organisationen bei der Festlegung der Ziele für die Entwicklung ihrer Sicherheitsarchitektur unterstützt und sich dabei auf die Anfangsphasen der Sicherheitsarchitektur konzentriert.
• B. Ein Framework, das die Organisation von Artefakten der Unternehmensarchitektur, einschließlich Dokumenten, Spezifikationen und Modellen, unterstützt, indem es die Auswirkungen dieser Artefakte auf verschiedene Stakeholder berücksichtigt.
• C. Ein Rahmenwerk, das die Funktionalität und die technischen Kontrollen der Sicherheit erläutert und einen ganzheitlichen Überblick über wichtige Sicherheitsaspekte bietet.

Explanation: Only visible for Actual4dump members. You can sign-up / login (it's free).

Welche der folgenden Vorgehensweisen weist darauf hin, dass Unternehmen A eine Uhrensynchronisierung implementiert hat?

• A. Verdächtige Informationssicherheitsereignisse werden zeitnah über einen geeigneten Kanal gemeldet
• B. Protokolle, die Aktivitäten und andere relevante Ereignisse aufzeichnen, werden gespeichert und analysiert
• C. Informationsverarbeitungssysteme werden nach einer genehmigten Zeitquelle koordiniert

Welche Kontrolle in Anhang A von ISO/IEC 27001 erfordert, dass die Anforderungen an die Informationssicherheit bei der Entwicklung oder Beschaffung von Anwendungen identifiziert, spezifiziert und genehmigt werden?

• A. A.8.26 Anwendungssicherheitsanforderungen
• B. A.8.25 Sicherer Entwicklungslebenszyklus
• C. A.8.27 Sichere Systemarchitektur und technische Prinzipien

Explanation: Only visible for Actual4dump members. You can sign-up / login (it's free).

Nimbus Route, ein in den Niederlanden ansässiges Unternehmen für Cloud-basierte Logistikoptimierung, bietet KI-gestützte Routenplanung, Flottenmanagement-Tools und Echtzeit-Sendungsverfolgung für Kunden in ganz Europa und Nordamerika. Um sensible Logistikdaten zu schützen und die Ausfallsicherheit seiner Cloud-Dienste zu gewährleisten, hat Nimbus Route ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001 implementiert. Das Unternehmen integriert zudem intelligente Transportsysteme und prädiktive Analysen, um die betriebliche Effizienz und Nachhaltigkeit zu steigern. Im Rahmen der ISMS-Implementierung ermittelt das Unternehmen die erforderlichen Kompetenzniveaus für das ISMS-Management. Dabei wurden verschiedene Faktoren berücksichtigt, darunter technologische Fortschritte, regulatorische Vorgaben und die Unternehmensmission.
Strategische Ziele, verfügbare Ressourcen sowie die Bedürfnisse und Erwartungen der Kunden stehen im Mittelpunkt der Unternehmensstrategie. Darüber hinaus hat das Unternehmen klare Richtlinien für die interne und externe Kommunikation im Zusammenhang mit dem Informationssicherheitsmanagementsystem (ISMS) festgelegt. Diese definieren, welche Informationen wann, mit wem und über welche Kanäle geteilt werden. Allerdings wurden nicht alle Kommunikationsvorgänge formal dokumentiert: Stattdessen klassifiziert und steuert das Unternehmen die Kommunikation bedarfsgerecht und stellt sicher, dass die Dokumentation nur in dem für die Effektivität des ISMS erforderlichen Umfang geführt wird. Um die wachsenden digitalen Dienste zu unterstützen und die operative Skalierbarkeit zu gewährleisten, nutzt Nimbus Route virtualisierte Rechenressourcen eines externen Cloud-Service-Providers. Diese Konfiguration ermöglicht es dem Unternehmen, seine Betriebssysteme zu konfigurieren und zu verwalten, Anwendungen bereitzustellen und Speicherumgebungen nach Bedarf zu steuern, während der Provider die zugrunde liegende Cloud-Umgebung wartet. Zur weiteren Verbesserung der Vorhersagefähigkeiten setzt Nimbus Route Machine-Learning-Verfahren in mehreren seiner Kerndienste ein. Konkret nutzt das Unternehmen Machine Learning zur Routenoptimierung und Lieferzeitprognose und verwendet dabei Algorithmen wie logistische Regression und Support Vector Machines, um Muster in historischen Transportdaten zu erkennen. Mit zunehmender Reife des ISMS von Nimbus Route hat sich das Unternehmen für einen schrittweisen Ansatz beim Übergang in den vollen Betriebsmodus entschieden. Anstatt auf eine formelle Einführung zu warten, werden einzelne Elemente des ISMS, wie z. B. Risikomanagementverfahren, Zugriffskontrollen und Audit-Protokollierung, schrittweise aktiviert, sobald sie entwickelt und genehmigt sind. Beantworten Sie auf Grundlage des obigen Szenarios die folgende Frage.
Ist der Ansatz der Nimbus Route zur Dokumentation der Kommunikation akzeptabel? Siehe Szenario 6.

• A. Nein, da ISO/IEC 27001 eine vordefinierte Vorlage für die gesamte ISMS-Kommunikation bereitstellt.
• B. Ja, die Dokumentation kann in dem Umfang erfolgen, den die Organisation für die Wirksamkeit des ISMS als notwendig erachtet.
• C. Nein, da ISO/IEC 27001 vorschreibt, dass die gesamte ISMS-bezogene Kommunikation formal in verschiedenen Formaten dokumentiert werden muss.

Explanation: Only visible for Actual4dump members. You can sign-up / login (it's free).

Szenario 10: ProEBank
Die ProEBank ist ein österreichisches Finanzinstitut, das für sein umfassendes Angebot an Bankdienstleistungen bekannt ist.
Die ProEBank mit Hauptsitz in Wien profitiert vom fortschrittlichen Technologie- und Finanzökosystem der Stadt. Um ihre Sicherheitslage zu verbessern, hat sie ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001 implementiert. Nach einem Jahr im Einsatz des ISMS beschloss das Unternehmen, ein Zertifizierungsaudit zu beantragen, um die Zertifizierung nach ISO/IEC 27001 zu erhalten.
Zur Vorbereitung auf das Audit informierte das Unternehmen zunächst seine Mitarbeiter und organisierte entsprechende Schulungen. Zudem wurden im Vorfeld Dokumente erstellt, um diese bei der Prüfung durch die externen Prüfer bereitzuhalten. Darüber hinaus wurde ermittelt, welche Mitarbeiter über das nötige Fachwissen verfügen, um die externen Prüfer bei der Erläuterung und Bewertung der Prozesse zu unterstützen.
In der Planungsphase des Audits prüfte ProEBank die von der Zertifizierungsstelle bereitgestellte Liste der beauftragten Auditoren. Dabei stellte ProEBank einen potenziellen Interessenkonflikt bei einem der Auditoren fest, der zuvor für den größten Konkurrenten von ProEBank im Bankensektor tätig gewesen war. Um die Integrität des Auditprozesses zu gewährleisten, verweigerte ProEBank die Durchführung des Audits, bis ein vollständig neues Auditteam eingesetzt wurde. Die Zertifizierungsstelle bestätigte den Interessenkonflikt und nahm die notwendigen Anpassungen vor, um die Unparteilichkeit des Auditteams sicherzustellen. Nach Behebung dieses Problems beurteilte das Auditteam, ob das ISMS sowohl den Anforderungen der Norm als auch den Unternehmenszielen entsprach. Dabei konzentrierte sich das Auditteam auf die Prüfung dokumentierter Informationen.
Drei Wochen später führte das Team einen Vor-Ort-Besuch beim Auditierten durch, um zu beurteilen, ob das ISMS den Anforderungen der ISO/IEC 27001 entsprach, effektiv implementiert war und dem Auditierten die Erreichung seiner Informationssicherheitsziele ermöglichte. Nach dem Besuch erstellte das Team die Audit-Schlussfolgerungen und informierte den Auditierten über einige festgestellte kleinere Abweichungen. Der Audit-Teamleiter sprach daraufhin eine Empfehlung zur Zertifizierung aus.
Nach Erhalt der Empfehlung des Leiters des Auditteams setzte die Zertifizierungsstelle einen Ausschuss ein, der über die Zertifizierung entscheiden sollte. Dem Ausschuss gehörten ein Mitglied des Auditteams und zwei weitere Experten der Zertifizierungsstelle an.
Nach dem Audit der Phase 2 wurden geringfügige Abweichungen festgestellt. Trotzdem sprach der Auditleiter eine positive Empfehlung für die Zertifizierung aus.
Frage:
Ist das akzeptabel?

• A. Nein – der Auditor hätte eine Empfehlung zur Zertifizierung unter der Bedingung aussprechen sollen, dass Korrekturmaßnahmenpläne für die geringfügigen Abweichungen eingereicht werden.
• B. Ja – eine Empfehlung zur Zertifizierung sollte ausgesprochen werden, wenn nur geringfügige Abweichungen festgestellt werden.
• C. Nein – der Auditor hätte eine negative Empfehlung für die Zertifizierung aussprechen müssen, da geringfügige Abweichungen festgestellt wurden.

Explanation: Only visible for Actual4dump members. You can sign-up / login (it's free).