Frage
Die Unternehmensleitung hat bestimmte Mitarbeiter innerhalb des Unternehmens benannt, die für die Berichterstattung über die Leistung des Informationssicherheitsmanagementsystems (ISMS) verantwortlich sind. Diese Mitarbeiter haben die Aufgabe, relevante ISMS-Daten zu sammeln, Berichte zu erstellen und sicherzustellen, dass die notwendigen Informationen die Unternehmensleitung erreichen.
Entspricht dieser Ansatz den Anforderungen der ISO/IEC 27001?

• A. Ja, denn die oberste Führungsebene kann Verantwortlichkeiten und Befugnisse für die Berichterstattung über die Leistung des ISMS zuweisen.
• B. Nein, denn nur das Top-Management ist für die Erfassung von Daten zur Leistungsfähigkeit des ISMS verantwortlich.
• C. Nein, denn nur der Chief Information Security Officer sollte über die Leistung des ISMS berichten.

Im Rahmen eines externen Zertifizierungsaudits erhalten Sie von einem Auditierten eine Liste von Mängeln. Welche vier der folgenden Punkte stellen im Kontext eines Managementsystems nach ISO 27001:2022 „interne“ Mängel dar?
* Höhere Arbeitskosten aufgrund einer alternden Bevölkerung

• A. Ein Produktivitätsrückgang aufgrund veralteter Produktionsanlagen
• B. Erhöhte Fehlzeiten aufgrund schlechten Managements
• C. Ein Anstieg der Zinssätze als Reaktion auf eine hohe Inflation
• D. Eine Reduzierung der Zuschüsse infolge einer Änderung der Regierungspolitik
• E. Schlechte Arbeitsmoral aufgrund reduzierter Mitarbeiterurlaube
• F. Mangelnde Mitarbeiterkompetenz aufgrund von Kürzungen der Ausbildungsausgaben
• G. Unfähigkeit zur Beschaffung von Rohstoffen aufgrund staatlicher Sanktionen

Szenario 4: Branding ist eine Marketingagentur, die mit einigen der bekanntesten Unternehmen in den USA zusammenarbeitet.
Um interne Kosten zu senken, hat Branding die Softwareentwicklung und den IT-Helpdesk seit über zwei Jahren an Techvology ausgelagert. Techvology verfügt über die notwendige Expertise und betreut Brandings Software-, Netzwerk- und Hardware-Anforderungen. Branding hat ein Informationssicherheits-Managementsystem (ISMS) implementiert und ist nach ISO/IEC 27001 zertifiziert. Dies unterstreicht das Engagement des Unternehmens für hohe Standards der Informationssicherheit. Branding führt regelmäßig Audits bei Techvology durch, um sicherzustellen, dass die Sicherheit der ausgelagerten Prozesse den Anforderungen der ISO/IEC 27001-Zertifizierung entspricht.
Im Rahmen des letzten Audits definierte das Auditteam von Branding die zu prüfenden Prozesse und den Auditplan. Sie wählten einen evidenzbasierten Ansatz, insbesondere angesichts zweier Informationssicherheitsvorfälle, die Techvology im vergangenen Jahr gemeldet hatte. Der Fokus lag auf der Bewertung des Umgangs mit diesen Vorfällen und der Sicherstellung der Einhaltung der Bedingungen des Outsourcing-Vertrags. Das Audit begann mit einer umfassenden Überprüfung der Methoden von Techvology zur Überwachung der Qualität ausgelagerter Prozesse. Dabei wurde bewertet, ob die erbrachten Leistungen den Erwartungen von Branding und den vereinbarten Standards entsprachen. Die Auditoren überprüften außerdem, ob Techvology die zwischen den beiden Unternehmen festgelegten vertraglichen Anforderungen erfüllte. Dies beinhaltete eine gründliche Prüfung der Vertragsbedingungen, um sicherzustellen, dass alle Aspekte, einschließlich der Informationssicherheitsmaßnahmen, eingehalten werden.
Darüber hinaus umfasste das Audit eine kritische Bewertung der Governance-Prozesse, die Techvology zur Steuerung seiner ausgelagerten Geschäftsbereiche und anderer Organisationen anwendet. Dieser Schritt ist für Branding von entscheidender Bedeutung, um sicherzustellen, dass angemessene Kontroll- und Aufsichtsmechanismen vorhanden sind, um potenzielle Risiken im Zusammenhang mit der Auslagerungsvereinbarung zu minimieren.
Die Prüfer führten Interviews mit Mitarbeitern verschiedener Hierarchieebenen von Techvology und analysierten die Protokolle zur Vorfallsbehebung. Techvology legte außerdem Unterlagen vor, die belegten, dass Schulungen zum Thema Vorfallsmanagement für die Mitarbeiter durchgeführt worden waren. Auf Grundlage der gesammelten Informationen gingen die Prüfer davon aus, dass beide IT-Sicherheitsvorfälle durch inkompetentes Personal verursacht wurden. Daher baten sie um Einsicht in die Personalakten der beteiligten Mitarbeiter, um deren Kompetenznachweise, wie einschlägige Berufserfahrung, Zertifikate und Teilnahmebescheinigungen an Schulungen, zu überprüfen.
Die Prüfer von Branding führten eine kritische Bewertung der Gültigkeit der erhobenen Beweise durch und achteten aufmerksam auf Hinweise, die die Zuverlässigkeit der dokumentierten Informationen in Frage stellen oder widerlegen könnten. Während des Audits bei Techvology setzten die Prüfer diesen Ansatz fort, indem sie die Protokolle zur Vorfallbearbeitung kritisch prüften und ausführliche Interviews mit Mitarbeitern verschiedener Ebenen und Funktionen führten. Sie verließen sich nicht allein auf die Aussagen der Techvology-Vertreter, sondern suchten nach konkreten Beweisen, die deren Behauptungen zu den Prozessen des Vorfallmanagements untermauerten.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Welche Art von Prüfnachweisen haben die Prüfer gemäß Szenario 4 gesammelt, um die Ursache der Informationssicherheitsvorfälle zu ermitteln?

• A. Bestätigende und technische Beweise
• B. Mündliche und schriftliche Beweise
• C. Analytische und mathematische Beweise

Szenario 4
SendPay ist ein Finanzdienstleistungsunternehmen, das sich auf internationale Geldtransfers über ein Netzwerk von Agenten und Institutionen spezialisiert hat. Als junges Unternehmen am Markt strebt SendPay mit seiner gebührenfreien, im letzten Jahr eingeführten digitalen Plattform höchste Servicequalität an. Kunden können damit jederzeit per Smartphone und Laptop Geld senden und empfangen. SendPay lagerte damals die Softwareentwicklung an ein externes Team aus, das auch die technologische Infrastruktur des Unternehmens verwaltete.
Kürzlich beantragte das Unternehmen die ISO/IEC 27001-Zertifizierung, nachdem es bereits seit fast einem Jahr über ein ISMS verfügte.
Im Rahmen der Prüfung konzentrierten sich die Prüfer auf die Überprüfung der ausgelagerten Geschäftstätigkeiten von SendPay und untersuchten insbesondere die Softwareentwicklung und die Wartung der technologischen Infrastruktur, die vom ausgelagerten Unternehmen durchgeführt wurden.
Sie verfolgten einen strukturierten Ansatz, der die Überprüfung und Bewertung der Prozesse von SendPay zur Überwachung der Qualität dieser ausgelagerten Tätigkeiten umfasste. Dies beinhaltete die Überprüfung, ob das Unternehmen seinen vertraglichen Verpflichtungen nachkam, die Sicherstellung angemessener Governance-Verfahren für die Beauftragung von Outsourcing-Unternehmen und die Bewertung der Pläne von SendPay für den Fall einer erwarteten oder unerwarteten Beendigung von Outsourcing-Verträgen.
Die Prüfer merkten jedoch an, dass die Protokolle von SendPay Eventualitäten wie unvorhergesehene Kündigungen von Outsourcing-Verträgen nicht vollständig abdeckten. Darüber hinaus unterstützte ein von SendPay beauftragter technischer Experte die Prüfer und stellte spezifisches Wissen und Fachkompetenz im Zusammenhang mit den geprüften Outsourcing-Prozessen zur Verfügung.
Das Auditteam ermittelte die Anzahl der von den Mitarbeitern absolvierten ISMS-Schulungsstunden, um die Übereinstimmung mit den festgelegten Zielen sicherzustellen. Zudem berechneten sie die durchschnittliche Lösungszeit von Informationssicherheitsvorfällen anhand einer während des Audits entnommenen Stichprobe. Dies lieferte wertvolle Einblicke in die Vorgehensweise von SendPay im Umgang mit Sicherheitsvorfällen. Darüber hinaus bewerteten die Prüfer die Zuverlässigkeit der während des Audits gesammelten Beweise. Sie berücksichtigten verschiedene Faktoren, die die Zuverlässigkeit der Auditbeweise beeinflussen. So lieferten beispielsweise Aufnahmen von Überwachungskameras objektivere Beweise als Fotos. Auch der Zeitpunkt spielte eine entscheidende Rolle für die Zuverlässigkeit; Mechanismen wie die Transaktionsaufzeichnung erhöhten die Glaubwürdigkeit der Beweise.
SendPay nutzt Cloud-basierte Plattformen, um seine Abläufe effizienter und skalierbarer zu gestalten. Aufgrund begrenzter Ressourcen verzichteten die Prüfer jedoch während der Prüfung darauf, SendPay eine Übersicht über seine Cloud-Aktivitäten vorzulegen, und verließen sich stattdessen auf die Angaben von SendPay.
Frage
Haben die Prüfer im Rahmen des Prüfprozesses ein umfassendes Verständnis der Cloud-Umgebung von SendPay erlangt? Siehe Szenario 4.

• A. Ja, da sie sich auf die Zusicherung von SendPay verlassen haben.
• B. Nein, sie hätten eine Bestandsaufnahme der Cloud-Aktivitäten von SendPay anfordern sollen.
• C. Ja, sie haben die Cloud-Aktivitäten von SendPay eingehend geprüft.