Welche drei der folgenden Möglichkeiten sind von Vorteil bei der Verwendung eines Stichprobenplans für das Audit?

• A. Schlüsselthemen werden übersehen
• B. Bietet ein angemessenes Verständnis des ISMS
• C. Setzt die Instinkte des Prüfers außer Kraft
• D. Setzt den Prüfplan effizient um
• E. Gibt Vertrauen in die Prüfergebnisse
• F. Verwendung des Plans für aufeinanderfolgende Audits

Szenario 8
[Szenariotext identisch mit Frage 69]
Frage
Wann wird im Anschluss an das erste Audit typischerweise ein Überwachungsaudit durchgeführt?

• A. Fünf Jahre nach der Erstzertifizierung
• B. Während des ersten und zweiten Zertifizierungsjahres
• C. Nur wenn der Geprüfte zusätzliche Bewertungen anfordert

Sie führen ein ISMS-Audit in einem europäischen Pflegeheim namens ABC durch, das Gesundheitsdienstleistungen anbietet.
Während der Prüfung entdeckten Sie Hinweise darauf, dass ABC möglicherweise personenbezogene Daten von Familienangehörigen der Bewohner zu Marketingzwecken an Dritte weitergibt, obwohl dies durch unterzeichnete Vereinbarungen untersagt ist.
Beschwerden wurden als Abweichungen behandelt, und Korrekturmaßnahmen wurden gemäß dem Verfahren ISMS L2 10.1 dokumentiert.
Sie beschließen, einen nonkonformistischen Text zu verfassen. Wählen Sie den besten Satz für den nonkonformistischen Text aus:

• A. „Bei der Beurteilung des Umfangs der als Reaktion auf eine Abweichung ergriffenen Maßnahmen sucht ein Auditor nach Belegen für Korrekturmaßnahmen, die ein erneutes Auftreten des Problems ermöglichen.“
• B. „Bei der Durchführung einer Folgeprüfung der als Reaktion auf eine Abweichung ergriffenen Präventivmaßnahmen sucht der Prüfer nach Beweisen, die bestätigen, dass es nicht zu einem erneuten Auftreten des Problems kommen wird.“
• C. „Bei der Bewertung der als Reaktion auf eine Abweichung ergriffenen Maßnahmen sucht der Auditor nach Belegen für dokumentierte Informationen, die die Wahrscheinlichkeit eines erneuten Auftretens des Problems verringern.“
• D. „Bei der Überprüfung der Wirksamkeit von Maßnahmen, die als Reaktion auf eine Abweichung ergriffen wurden, sucht der Auditor nach Belegen für Veränderungen, die ein erneutes Auftreten des Problems verhindern.“
• E. „Bei der Überprüfung des Umfangs der als Reaktion auf eine Abweichung ergriffenen Maßnahmen möchte sich der Auditor vergewissern, dass die notwendigen Korrekturen ein erneutes Auftreten des Problems verhindern werden.“
• F. „Bei der Prüfung der Vollständigkeit der als Reaktion auf eine Abweichung ergriffenen Maßnahmen verlangt der Auditor vom Auditierten die Zusicherung, dass dieser ein erneutes Auftreten des Problems verhindern wird.“

Welche Option unten zum ISMS-Geltungsbereich ist richtig?

• A. Der Umfang des ISMS sollte eine kontinuierliche Verbesserung gewährleisten
• B. Der ISMS-Umfang sollte als dokumentierte Information verfügbar sein
• C. Der Umfang des ISMS sollte mit der strategischen Ausrichtung der Organisation kompatibel sein

Sie sind der Leiter des Prüfungsteams und führen eine Prüfung einer Online-Versicherungsorganisation durch Dritte durch. Während der Bühne
1 haben Sie festgestellt, dass die Organisation einen sehr vorsichtigen Risikoansatz verfolgte und alle Informationssicherheitskontrollen in ISO/IEC 27001:2022 Anhang A in ihre Anwendbarkeitserklärung aufgenommen hat.
Während des Audits der Stufe 2 stellte Ihr Auditteam fest, dass es keine Beweise für die Umsetzung der drei Kontrollen (5.3 Aufgabentrennung, 6.1 Überprüfung, 7.12 Verkabelungssicherheit) gab, die im Auszug aus der Anwendbarkeitserklärung aufgeführt sind. Es wurde kein Risikobehandlungsplan gefunden.

Wählen Sie drei Optionen für die Maßnahmen aus, die das geprüfte Unternehmen Ihrer Meinung nach als Reaktion auf eine Nichtkonformität mit Abschnitt 6.1.3.e von ISO/IEC 27001:2022 ergreifen würde.

• A. Implementieren Sie die entsprechende Risikobehandlung für jede der anwendbaren Kontrollen.
• B. Überprüfen Sie den Risikobewertungsprozess in Bezug auf die drei Kontrollen noch einmal.
• C. Integrieren Sie schriftliche Verfahren für die Kontrollen in das Sicherheitshandbuch der Organisation.
• D. Führen Sie eine Kundenbefragung durch, um herauszufinden, ob die Kontrollen von ihnen benötigt werden.
• E. Entfernen Sie die drei Kontrollen aus der Anwendbarkeitserklärung.
• F. Weisen Sie die Verantwortung für die Erstellung von Nachweisen zu, um den Prüfern zu beweisen, dass die Kontrollen umgesetzt werden.
• G. Überarbeiten Sie den relevanten Inhalt der Anwendbarkeitserklärung, um ihren Ausschluss zu rechtfertigen.
• H. Erstellen Sie Pläne für die regelmäßige Bewertung der mit den Kontrollen verbundenen Risiken.