Szenario 4: TradeB ist eine neu gegründete Geschäftsbank in Europa mit einem diversifizierten Kundenstamm. Sie bietet Dienstleistungen in den Bereichen Privatkunden-, Firmenkunden- und Vermögensverwaltung sowie digitales Banking an, die auf die sich wandelnden finanziellen Bedürfnisse von Privatpersonen und Unternehmen in der Region zugeschnitten sind. TradeB hat die entscheidende Bedeutung der Informationssicherheit im modernen Bankwesen erkannt und die Implementierung eines Informationssicherheits-Managementsystems (ISMS) gemäß ISO/IEC 27001 initiiert. Um die erfolgreiche Implementierung des ISMS zu gewährleisten, beauftragte die Geschäftsleitung zwei Experten mit der Leitung und Überwachung des Projekts.
Als primäre Strategie für die Implementierung des ISMS wählten die Experten einen Ansatz, der eine zügige Einführung durch die Erfüllung der Mindestanforderungen der ISO/IEC 27001 und anschließende kontinuierliche Verbesserung im Vordergrund stellt. Unter der Anleitung der Experten entschied sich TradeB zudem für ein methodisches Rahmenwerk. Dieses dient als strukturierter Rahmen und Leitfaden, der die wichtigsten Phasen der ISMS-Implementierung, die zugehörigen Aktivitäten und die zu erbringenden Leistungen beschreibt, ohne dabei spezifische Tools einzubeziehen.
Die Experten analysierten die Kontrollen der ISO/IEC 27001 und listeten nur diejenigen Sicherheitsmaßnahmen auf, die für das Unternehmen und seine Ziele als relevant erachtet wurden. Auf Grundlage dieser Analyse erstellten sie die Anwendbarkeitserklärung. Anschließend führten sie eine Risikobewertung durch, in deren Rahmen sie Assets wie Hardware, Software und Netzwerke sowie Bedrohungen und Schwachstellen identifizierten, potenzielle Folgen und deren Eintrittswahrscheinlichkeit bewerteten und das Risikoniveau anhand eines methodischen Ansatzes ermittelten. Dieser Ansatz umfasste die Definition und Charakterisierung der im Bewertungsprozess verwendeten Begriffe und Kriterien sowie deren Kategorisierung in nicht-numerische Stufen (z. B. sehr niedrig, niedrig, mittel, hoch, sehr hoch). Zur Begründung der ermittelten Werte wurden detaillierte Erläuterungen verfasst, um die Wiederholbarkeit und Reproduzierbarkeit der Ergebnisse zu verbessern.
Anschließend bewerteten sie die Risiken anhand der Risikobewertungskriterien und entschieden, nur die Risiken der Hochrisikokategorie zu behandeln. Ihr Hauptaugenmerk lag dabei auf der unbefugten Nutzung von Administratorrechten und Systemausfällen aufgrund mehrerer Hardwaredefekte. Um diese Probleme zu beheben, erstellten sie eine neue Version der Zugriffskontrollrichtlinie, implementierten Kontrollen zur Verwaltung und Steuerung des Benutzerzugriffs und führten eine Kontrolle zur Sicherstellung der IT-Bereitschaft ein, um die Geschäftskontinuität zu gewährleisten.
In ihrem Risikobewertungsbericht wurde festgestellt, dass die Risiken akzeptiert werden, wenn die implementierten Sicherheitsmaßnahmen das Risikoniveau auf eine akzeptable Schwelle senken.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Welchen Implementierungsansatz wählte TradeB zunächst für die Einführung seines Informationssicherheitsmanagementsystems (ISMS).

• A. Der iterative Ansatz
• B. Der Systemansatz
• C. Der systematische Ansatz

NeuroTrustMed ist ein führendes Medizintechnikunternehmen mit Sitz in Seoul, Südkorea. Das Unternehmen ist auf die Entwicklung KI-gestützter Lösungen für die Neurobildgebung spezialisiert, die in der Früherkennung und Behandlungsplanung neurologischer Erkrankungen eingesetzt werden. Als datenintensives Unternehmen, das sensible Patientendaten und medizinische Forschungsdaten verarbeitet, legt NeuroTrustMed großen Wert auf Cybersicherheit und die Einhaltung gesetzlicher Bestimmungen. Das Unternehmen verfügt seit drei Jahren über ein nach ISO/IEC 27001 zertifiziertes Informationssicherheitsmanagementsystem (ISMS). Dieses wird kontinuierlich überprüft und verbessert, um aufkommenden Bedrohungen zu begegnen, Innovationen in der medizinischen Diagnostik zu fördern und das Vertrauen der Stakeholder zu erhalten. Im Rahmen seines Engagements für kontinuierliche Verbesserung verfolgt NeuroTrustMed aktiv potenzielle Abweichungen, führt Ursachenanalysen durch, implementiert Korrektur- und Präventivmaßnahmen und stellt sicher, dass alle Änderungen dokumentiert und mit den strategischen Zielen des Unternehmens abgestimmt werden. Als eine neue Datenschutzverordnung in Kraft trat, die die regionsübergreifende Datenverarbeitung betraf, führte das Informationssicherheitsteam eine Gap-Analyse zwischen den bestehenden Richtlinien und der neuen Verordnung durch. Anschließend wurden die relevanten Dokumentationen und Prozesse aktualisiert, um die Compliance zu gewährleisten. Nach diesen Überarbeitungen aktualisierte NeuroTrustMed die ISMS-Dokumentation und fügte einen neuen Eintrag im Verbesserungsregister hinzu. Das Register, das als strukturierte Tabelle geführt wurde, enthielt eine eindeutige Änderungsnummer, eine Beschreibung der Aktualisierung, eine Prioritätsklassifizierung aufgrund der Einhaltung gesetzlicher Bestimmungen, das Datum des Beginns und des Abschlusses sowie die Freigabe durch den Informationssicherheitsbeauftragten. Etwa zur gleichen Zeit identifizierte das Informationssicherheitsteam im Rahmen einer planmäßigen Managementprüfung ein Muster von Onboarding-Fehlern. Obwohl diese zu keinen Datenschutzverletzungen geführt hatten, stellten sie ein Risiko für unbefugten Zugriff dar. Daraufhin wurde das Onboarding-Verfahren überarbeitet und ein automatisierter Verifizierungsschritt hinzugefügt, um die Genauigkeit vor der Zugriffsgewährung sicherzustellen. Um die Ursache zu ermitteln, sammelte das Team Daten zum Bereitstellungsprozess. Es analysierte Prozessprotokolle, befragte Onboarding-Mitarbeiter und verfolgte Zugriffsfehler zurück zu einem falsch konfigurierten Schritt im Übergabeprozess zwischen Personalabteilung und IT. Das Team validierte diesen Befund anhand von Testfällen, bevor Änderungen implementiert wurden. Nach der Bestätigung dokumentierte das Informationssicherheitsteam die Abweichung im ISMS-Protokoll. Die Dokumentation enthielt eine Beschreibung des Problems, der betroffenen Systeme und Benutzer sowie eine kurze Risikobewertung potenzieller Folgen im Zusammenhang mit der Zugriffsverwaltung. Beantworten Sie anhand des obigen Szenarios die folgende Frage.
Welchen Schritt des kollektiven Maßnahmenprozesses wandte NeuroTrustMed an, als bestätigt wurde, dass die Unstimmigkeiten beim Onboarding durch einen fehlerhaft konfigurierten Schritt im HR-IT-Workflow verursacht wurden? Siehe Szenario 9.

• A. Bewertung der Optionen
• B. Nachverfolgung und Überprüfung von Korrekturmaßnahmen
• C. Identifizierung und Dokumentation der Abweichung

Del&Co hat beschlossen, seine personalbezogenen Kontrollen zu verbessern, um Vorfälle zu verhindern. Welche der folgenden Maßnahmen ist KEINE präventive Kontrolle in Bezug auf das Personal von Del&Co?

• A. Videokameras
• B. Kontrolle des physischen Zugriffs auf die Ausrüstung
• C. Authentifizierung und Autorisierung

Zu welcher Entscheidungskategorie gehört die Implementierung eines ISMS im Rahmen einer Organisation?

• A. Taktisch
• B. Strategisch
• C. Betriebsbereit

Szenario 10: NetworkFuse entwickelt, produziert und vertreibt Netzwerkhardware. Das Unternehmen verfügt seit etwa zwei Jahren über ein betriebliches Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 und ein Qualitätsmanagementsystem (QMS) nach ISO 9001. Kürzlich hat das Unternehmen ein kombiniertes Zertifizierungsaudit beantragt, um die Zertifizierung nach ISO/IEC 27001 und ISO 9001 zu erhalten.
Nach der Auswahl der Zertifizierungsstelle bereitete NetworkFuse die Mitarbeiter auf das Audit vor. Das Unternehmen entschied sich, vor dem Audit keine Selbstevaluierung durchzuführen, da dies nach Ansicht der Unternehmensleitung nicht erforderlich war. Darüber hinaus stellte es die Verfügbarkeit dokumentierter Informationen sicher, darunter interne Auditberichte und Managementbewertungen, vorhandene Technologien und der allgemeine Betrieb des ISMS und des QMS. Das Unternehmen verlangte jedoch von der Zertifizierungsstelle, dass die Dokumentation nicht außerhalb des Unternehmens durchgeführt werden könne. Das Audit wurde jedoch nicht innerhalb der vorgesehenen Tage durchgeführt, da NetworkFuse den zugewiesenen Leiter des Auditteams ablehnte und dessen Ersatz anforderte. Das Unternehmen behauptete, dass derselbe Leiter des Auditteams seinem Hauptkonkurrenten eine Empfehlung zur Zertifizierung ausgesprochen habe, was für die Unternehmensleitung einen potenziellen Interessenkonflikt darstellte. Die Anfrage wurde von der Zertifizierungsstelle abgelehnt. Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Erfüllt NetworkFuse die Voraussetzungen für ein Zertifizierungsaudit?

• A. Ja, da das ISMS vor dem Zertifizierungsaudit mindestens ein Jahr lang betriebsbereit sein muss
• B. Ja, da die Zertifizierungsstelle ausgewählt wurde
• C. Ja, da interne Audits und Management-Reviews durchgeführt wurden