Szenario 6: Skyver stellt elektronische Produkte wie Spielkonsolen, Flachbildfernseher, Computer und Drucker her. Um die Informationssicherheit zu gewährleisten, hat sich das Unternehmen für die Implementierung eines Informationssicherheits-Managementsystems (ISMS) nach ISO/IEC 27001 entschieden.
Colin, der IT-Sicherheitsmanager des Unternehmens, beschloss, eine Schulung und Sensibilisierungsveranstaltung für die Mitarbeiter des Unternehmens über die Informationssicherheitsrisiken und die zu ihrer Minimierung implementierten Maßnahmen durchzuführen. Die Veranstaltung behandelte verschiedene Themen, darunter Skyvers IT-Sicherheitsansätze, Techniken zur Eindämmung von Phishing und Malware sowie einen speziellen Abschnitt zur Sicherung von Cloud-Infrastruktur und -Diensten. Dieser Abschnitt befasste sich insbesondere mit dem Modell der geteilten Verantwortung und Konzepten wie Identitäts- und Zugriffsverwaltung in der Cloud. Colin organisierte die Schulungen und Sensibilisierungsveranstaltungen mit spannenden Präsentationen, interaktiven Diskussionen und praktischen Demonstrationen, um sicherzustellen, dass die Mitarbeiter gut über Sicherheitsprinzipien und -praktiken informiert waren.
Eine der Teilnehmerinnen der Sitzung war Lisa, die in der Personalabteilung arbeitet. Obwohl Colin Skyvers Richtlinien und Verfahren zur Informationssicherheit ehrlich und fair erläuterte, empfand sie einige der besprochenen Themen als zu technisch und verstand die Sitzung nicht vollständig. Daher bat sie häufig den Trainer und ihre Kollegen um zusätzliche Hilfe. Colin schlug Lisa unterstützend vor, die Sitzung erneut zu besuchen.
Skyver untersucht die Implementierung von KI-Lösungen, um Kundenpräferenzen besser zu verstehen und personalisierte Empfehlungen für Elektronikprodukte zu geben. Ziel war es, KI-Technologien zu nutzen, um die Problemlösungskompetenz zu verbessern und Kunden Vorschläge zu unterbreiten. Diese strategische Initiative steht im Einklang mit Skyvers Engagement, das Kundenerlebnis durch datenbasierte Erkenntnisse zu verbessern.
Darüber hinaus suchte Skyver nach einer flexiblen Cloud-Infrastruktur, die es dem Unternehmen ermöglicht, bestimmte Dienste auf einer internen und sicheren Infrastruktur sowie andere Dienste auf externen, skalierbaren Plattformen zu hosten, auf die von überall aus zugegriffen werden kann. Dieses Setup würde verschiedene Bereitstellungsoptionen ermöglichen und die Informationssicherheit erhöhen, was für die Entwicklung elektronischer Produkte von Skyver von entscheidender Bedeutung ist.
Laut Skyver wurde die Implementierung zusätzlicher Kontrollen im ISMS-Implementierungsplan erfolgreich durchgeführt, und das Unternehmen war bereit für den Übergang in den Betriebsmodus. Skyver beauftragte Colin damit, die Wesentlichkeit dieser Änderung im Unternehmen zu bestimmen.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Welches Cloud-Computing-Modell entspricht am besten den Anforderungen von Skyver?

• A. Öffentliche Cloud
• B. Hybrid-Cloud
• C. Private Cloud

Szenario 9: CoreBit-Systeme
CoreBit Systems mit Hauptsitz in San Francisco ist auf Informations- und Kommunikationstechnologie (IKT)-Lösungen spezialisiert. Zu den Kunden zählen vorwiegend Datenkommunikationsunternehmen und Netzbetreiber. Das Hauptziel des Unternehmens ist es, seinen Kunden einen reibungslosen Übergang zu Multi-Service-Providern zu ermöglichen und ihre Geschäftstätigkeit an die komplexen Anforderungen der digitalen Welt anzupassen.
Kürzlich führte John, der interne Auditor von CoreBit Systems, ein internes Audit durch, das Abweichungen in den Überwachungsverfahren und Systemschwachstellen aufdeckte. CoreBit Systems entschied sich daraufhin für einen umfassenden Problemlösungsansatz, um diese Probleme systematisch zu beheben. Die Methode beinhaltet einen teamorientierten Ansatz mit dem Ziel, die Ursachen der Probleme zu identifizieren, zu korrigieren und zu beseitigen. Dieser Ansatz umfasst mehrere Schritte: Zunächst wird ein Expertenteam mit fundierten Prozess- und Kontrollkenntnissen zusammengestellt. Anschließend wird die Abweichung in messbare Komponenten zerlegt und vorläufige Abhilfemaßnahmen werden implementiert. Danach werden potenzielle Ursachen identifiziert und dauerhafte Korrekturmaßnahmen ausgewählt und verifiziert. Schließlich werden diese Maßnahmen umgesetzt, validiert, Vorkehrungen zur Verhinderung eines erneuten Auftretens getroffen und die Leistungen des Teams gewürdigt.
Nach der Analyse der Hauptursache der Abweichungen, ISMS-Projektmanager von CoreBit Systems.
Julia erstellte eine Liste potenzieller Maßnahmen zur Behebung der festgestellten Abweichungen. Sie prüfte die Liste sorgfältig, um sicherzustellen, dass jede Maßnahme die Ursache der jeweiligen Abweichung wirksam beseitigen würde.
Bei der Bewertung möglicher Korrekturmaßnahmen zur Behebung einer Abweichung stufte Julia das Problem als gravierend ein und schätzte die Wahrscheinlichkeit eines erneuten Auftretens als hoch ein. Daher entschied sie sich für die Umsetzung temporärer Korrekturmaßnahmen. Anschließend fasste Julia alle Abweichungen in einem einzigen Maßnahmenplan zusammen und holte die Genehmigung der Geschäftsleitung ein.
Der eingereichte Aktionsplan lautete wie folgt:
Es wird eine neue Version der Zugriffskontrollrichtlinie erstellt und neue Beschränkungen werden eingeführt, um sicherzustellen, dass der Netzwerkzugriff von der Abteilung für Informations- und Kommunikationstechnologie (IKT) effektiv verwaltet und überwacht wird.
Julias eingereichter Maßnahmenplan wurde jedoch von der Geschäftsleitung nicht genehmigt. Als Grund wurde angegeben, dass ein allgemeiner Maßnahmenplan, der alle Abweichungen abdecken sollte, als unzulässig erachtet wurde. Daraufhin überarbeitete Julia den Maßnahmenplan und reichte separate Pläne zur Genehmigung ein. Leider hielt Julia die von der Organisation vorgegebene Einreichungsfrist nicht ein, was zu einer Verzögerung im Korrekturmaßnahmenprozess führte. Bemerkenswerterweise enthielten die überarbeiteten Maßnahmenpläne keinen festgelegten Zeitplan für deren Umsetzung.
Julia, die ISMS-Projektmanagerin, entwickelte einen kombinierten Maßnahmenplan für alle Abweichungen. Dieser wurde jedoch abgelehnt, überarbeitet und verspätet – ohne festgelegte Ausführungsfristen – erneut eingereicht.
Frage:
Verfügte CoreBit Systems über einen Plan zur Umsetzung dauerhafter Korrekturmaßnahmen, um die festgestellten Abweichungen zu beheben?

• A. Nein – CoreBit Systems hat beschlossen, diesen Weg nicht weiterzuverfolgen.
• B. Nein – CoreBit Systems hatte keinen klaren Plan zur Umsetzung einer dauerhaften Korrekturmaßnahme.
• C. Ja – CoreBit Systems hatte einen umfassenden Plan zur Umsetzung dauerhafter Korrekturmaßnahmen.

Welche Kontrolle in Anhang A von ISO/IEC 27001 erfordert, dass die Anforderungen an die Informationssicherheit bei der Entwicklung oder Beschaffung von Anwendungen identifiziert, spezifiziert und genehmigt werden?

• A. A.8.26 Anwendungssicherheitsanforderungen
• B. A.8.27 Sichere Systemarchitektur und technische Prinzipien
• C. A.8.25 Sicherer Entwicklungslebenszyklus

Szenario 2: NyvMarketing ist eine Marketingagentur, die Kunden aus unterschiedlichen Branchen verschiedene Dienstleistungen anbietet. Mit Expertise in digitalem Marketing, Branding und Marktforschung hat sich NyvMarketing einen guten Ruf für innovative und wirkungsvolle Marketingkampagnen erarbeitet. Angesichts der wachsenden Bedeutung von Datensicherheit und Informationsschutz in der Marketinglandschaft entschied sich das Unternehmen für die Implementierung eines ISMS nach ISO 27001.
Bei der Implementierung seines ISMS stieß NyvMarketing auf eine erhebliche Herausforderung: die Bedrohung durch unzureichende Ressourcen. Diese Herausforderung gefährdete die effektive Umsetzung der ISMS-Ziele und könnte die Bemühungen des Unternehmens zum Schutz vertraulicher Informationen beeinträchtigen. Um dieser Bedrohung zu begegnen, verfolgte NyvMarketing einen proaktiven Ansatz und beauftragte Michael mit der Verwaltung der mit Ressourcenengpässen verbundenen Risiken.
Michael spielte eine entscheidende Rolle bei der Identifizierung und Behebung von Ressourcenlücken, der Entwicklung von Strategien zur Risikominderung und der effektiven Zuweisung von Ressourcen für die ISMS-Implementierung bei NyvMarket*ng, wodurch die Widerstandsfähigkeit des Unternehmens gegenüber Ressourcenproblemen gestärkt wurde.
Darüber hinaus priorisierte NyvMarketing Branchenstandards und Best Practices im Bereich Informationssicherheit und befolgte gewissenhaft die Richtlinien der ISO/IEC 27002. Dieses Engagement, das auf Exzellenz und den Anforderungen der ISO/IEC 27001 beruht, unterstrich NyvMarketings Engagement für die Einhaltung höchster Standards im Bereich Informationssicherheit.
Im Zuge der ISMS-Implementierung verzichtete NyvMarketing auf die Ausklammerung einer der Kompetenzanforderungen (gemäß ISO/IEC 27001, Abschnitt 7.2). Das Unternehmen war der Ansicht, dass seine Belegschaft über die erforderliche Kompetenz zur Erfüllung der ISMS-bezogenen Aufgaben verfügte. Es lieferte jedoch keine gültige Begründung für diese Auslassung. Darüber hinaus wurden bestimmte Kontrollen aus Anhang A der ISO/IEC 27001 nicht implementiert. NyvMarketing versäumte es, eine akzeptable Begründung für diese Ausschlüsse zu liefern.
Während der ISMS-Implementierung hat NFMarketing Schwachstellen, die die Informationssicherheit beeinträchtigen könnten, sorgfältig bewertet. Zu diesen Schwachstellen zählten unzureichende Wartung und fehlerhafte Installation von Speichermedien, unzureichende regelmäßige Austauschpläne für Geräte, unzureichende Softwaretests und ungeschützte Kommunikationsleitungen. NBMarketing war sich bewusst, dass diese Schwachstellen ein Risiko für die Datensicherheit darstellen könnten. Daher hat das Unternehmen Schritte unternommen, um diese spezifischen Schwachstellen durch die Implementierung der erforderlichen Kontrollen und Gegenmaßnahmen zu beheben. Beantworten Sie anhand des obigen Szenarios die folgende Frage.
Im Szenario 2 sah sich NyvMarketing während der ISMS-Implementierung mit der Gefahr unzureichender Ressourcen konfrontiert. In welche der folgenden Kategorien fällt diese Bedrohung?
Hat NyvMarketing gemäß Szenario 2 Maßnahmen ergriffen, die der ISO/IEC 27001 hinsichtlich der Implementierung der Kontrollen in Anhang A entsprechen?

• A. Nein, die Maßnahmen von NyvMarketing entsprachen nicht der ISO/IEC 27001, da sie alle Kontrollen des Anhangs A hätten enthalten müssen.
• B. Nein, die Maßnahmen von NyvMarketing entsprachen nicht der ISO/IEC 27001, da eine der Kontrollen in Anhang A ohne Angabe von Gründen ausgeschlossen wurde.
• C. Ja, da ISO/IEC 27002 Ausnahmen zulässt
• D. Ja, die von NyvMarketing während der Implementierung der Kontrollen von Anhang A ergriffenen Maßnahmen entsprechen ISO/IEC 27001