Szenario 9: OpenTech bietet IT- und Kommunikationsdienste an. Es unterstützt Datenkommunikationsunternehmen und Netzwerkbetreiber dabei, Multi-Service-Anbieter zu werden. Bei einem internen Audit hat der interne Prüfer Tim Abweichungen im Zusammenhang mit den Überwachungsverfahren festgestellt. Er hat mehrere Schwachstellen des Systems identifiziert und bewertet.
Tim stellte fest, dass Benutzerkennungen für Systeme und Dienste, die vertrauliche Informationen verarbeiten, wiederverwendet wurden und die Zugriffskontrollrichtlinien nicht eingehalten wurden. Nach der Analyse der Ursachen dieser Nichtkonformität erstellte der ISMS-Projektmanager eine Liste möglicher Maßnahmen zur Behebung der Nichtkonformität. Anschließend analysierte der ISMS-Projektmanager die Liste und wählte die Aktivitäten aus, die die Beseitigung der Grundursache und die Vermeidung ähnlicher Situationen in der Zukunft ermöglichen würden. Diese Aktivitäten wurden in einen Aktionsplan aufgenommen. Der von der Geschäftsleitung genehmigte Aktionsplan lautete wie folgt:
Es wird eine neue Version der Zugriffskontrollrichtlinie eingeführt und es werden neue Beschränkungen geschaffen, um sicherzustellen, dass der Netzwerkzugriff von der Abteilung für Informations- und Kommunikationstechnologie (IKT) effektiv verwaltet und überwacht wird. Der genehmigte Aktionsplan wurde umgesetzt und alle im Plan beschriebenen Maßnahmen wurden dokumentiert.
Basierend auf Szenario 9: Ist der Aktionsplan für die identifizierten Nichtkonformitäten ausreichend, um die festgestellten Nichtkonformitäten zu beseitigen?

• A. Nein, da der Aktionsplan keinen Zeitrahmen für die Umsetzung enthält
• B. Ja, da für die festgestellte Nichtkonformität ein separater Aktionsplan erstellt wurde
• C. Nein, da der Aktionsplan nicht die Grundursache der festgestellten Nichtkonformität behandelt.

Szenario 2:
Beauty ist ein etabliertes Kosmetikunternehmen in der Schönheitsbranche. Das Unternehmen wurde vor mehreren Jahrzehnten mit der Leidenschaft gegründet, hochwertige Hautpflege-, Make-up- und Körperpflegeprodukte zu entwickeln, die die natürliche Schönheit unterstreichen. Im Laufe der Jahre hat sich Beauty einen hervorragenden Ruf für sein innovatives Produktangebot, sein Engagement für Kundenzufriedenheit und sein Engagement für ethische und nachhaltige Geschäftspraktiken erarbeitet.
Als Reaktion auf die sich rasant verändernden Einkaufsgewohnheiten der Verbraucher vollzog Beauty den Übergang vom traditionellen Einzelhandel zum E-Commerce-Modell. Um diese Strategie umzusetzen, führte Beauty eine umfassende Risikobewertung der Informationssicherheit durch und analysierte potenzielle Bedrohungen und Schwachstellen des neuen E-Commerce-Projekts, abgestimmt auf seine Geschäftsstrategie und -ziele.
Um die identifizierten Risiken zu minimieren, implementierte das Unternehmen verschiedene Sicherheitsmaßnahmen. Alle Mitarbeiter mussten Vertraulichkeitsvereinbarungen unterzeichnen, um die Bedeutung des Schutzes sensibler Kundendaten zu unterstreichen. Das Unternehmen überprüfte die Benutzerzugriffsrechte sorgfältig und stellte sicher, dass nur autorisiertes Personal Zugriff auf vertrauliche Informationen hatte. Da das Unternehmen wertvolle Produkte und einzigartige Formeln im Lager lagert, installierte es außerdem Alarmsysteme und Überwachungskameras mit Echtzeit-Warnmeldungen, um möglichen Vandalismus zu verhindern.
Nach einiger Zeit analysierte das IT-Sicherheitsteam die Prüfprotokolle, um die Aktivitäten der neu implementierten Sicherheitskontrollen zu überwachen und zu verfolgen. Bei der Untersuchung und Analyse der Prüfprotokolle stellte sich heraus, dass sich ein Angreifer über veraltete Anti-Malware-Software Zugriff auf das System verschafft hatte und vertrauliche Kundendaten wie Namen und Adressen offengelegt hatte. Daraufhin ersetzte das IT-Team die Anti-Malware-Software durch eine neue, die Schadcode bei ähnlichen Vorfällen automatisch entfernen kann. Die neue Software wurde auf allen Arbeitsstationen installiert und regelmäßig mit den neuesten Malware-Definitionen aktualisiert, wobei eine automatische Update-Funktion aktiviert war. Für den Zugriff auf vertrauliche Informationen wurde außerdem ein Authentifizierungsprozess implementiert, der eine Benutzerkennung und ein Kennwort erfordert.
Während der Untersuchung stellte Maya, die Informationssicherheitsmanagerin von Beauty, fest, dass die Verantwortlichkeiten für die Informationssicherheit in den Stellenbeschreibungen nicht klar definiert waren. Das Unternehmen ergriff daraufhin umgehend Maßnahmen. Angesichts der globalen Reichweite seiner E-Commerce-Aktivitäten recherchierte Beauty sorgfältig und hielt sich an die gesetzlichen, behördlichen und vertraglichen Anforderungen der Branche. Dabei wurden internationale und lokale Vorschriften berücksichtigt, darunter Datenschutzgesetze, Verbraucherschutzgesetze und globale Handelsabkommen.
Um diese Anforderungen zu erfüllen, investierte Beauty in Rechtsberater und Compliance-Experten, die die Einhaltung der gesetzlichen Standards in allen Märkten, in denen das Unternehmen tätig war, kontinuierlich überwachten und sicherstellten. Darüber hinaus führte Beauty mehrere Schulungen zur Sensibilisierung des IT-Teams und anderer Mitarbeiter mit Zugriff auf vertrauliche Informationen zum Thema Informationssicherheit durch und betonte dabei die Bedeutung der System- und Netzwerksicherheit.
Welche Informationssicherheitsanforderung wurde von Beauty basierend auf Szenario 2 NICHT bewertet?

• A. Ausrichtung der Risikobewertung an der Strategie der Organisation
• B. Grundsätze und Ziele für den Informationslebenszyklus
• C. Einhaltung gesetzlicher, regulatorischer und vertraglicher Verpflichtungen

Szenario 8: SunDee ist ein amerikanisches Biopharmaunternehmen mit Hauptsitz in Kalifornien, USA. Es ist auf die Entwicklung neuartiger Humantherapeutika spezialisiert, mit Schwerpunkt auf Herz-Kreislauf-Erkrankungen, Onkologie, Knochengesundheit und Entzündungen. Das Unternehmen verfügt seit zwei Jahren über ein Informationssicherheits-Managementsystem (ISMS) auf Grundlage von SO/IEC 27001. Allerdings wurden Leistung und Effektivität des ISMS nicht überwacht oder gemessen und es wurden keine regelmäßigen Managementbewertungen durchgeführt. Kurz vor dem Rezertifizierungsaudit entschied sich das Unternehmen für ein internes Audit. Außerdem wurden die meisten Mitarbeiter gebeten, die schriftlichen Einzelberichte der letzten zwei Jahre für ihre Abteilungen zusammenzustellen. Dadurch verfügte die Produktionsabteilung nicht über die optimale Belegschaft, was den Lagerbestand des Unternehmens schmälerte.
Tessa war SunDees interne Auditorin. Mit mehreren Berichten von 50 verschiedenen Mitarbeitern dauerte der interne Auditprozess viel länger als geplant, war sehr inkonsistent und enthielt keinerlei qualitative Maßnahmen. Tessa kam zu dem Schluss, dass SunDee die Leistung des ISMS angemessen bewerten müsse. Sie definierte SunDees Nachlässigkeit bei der ISMS-Leistungsbewertung als schwerwiegende Abweichung und verfasste einen Abweichungsbericht mit einer Beschreibung der Abweichung, den Auditergebnissen und Empfehlungen. Darüber hinaus erstellte Tessa einen neuen Plan zur Lösung dieser Probleme und stellte ihn der Geschäftsleitung vor. Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Was hat die Störung der Belegschaft von SunDee verursacht?

• A. Die umfangreichen schriftlichen Berichte
• B. Die Vernachlässigung der Leistungsbewertung und der Überwachungs- und Messverfahren
• C. Die Inkonsistenz der Berichte verschiedener Mitarbeiter

Szenario 1: HealthGenic ist eine Kinderklinik, die mithilfe einer webbasierten medizinischen Software die Gesundheit und das Wachstum von Kindern vom Säuglingsalter bis ins frühe Erwachsenenalter überwacht. Die Software wird auch zur Terminvereinbarung, zur Erstellung individueller medizinischer Berichte, zur Speicherung von Patientendaten und Krankengeschichte sowie zur Kommunikation mit allen Beteiligten, einschließlich Eltern, anderen Ärzten und dem medizinischen Laborpersonal, verwendet.
Im letzten Monat kam es bei HealthGenic aufgrund der steigenden Zahl von Benutzern, die auf die Software zugriffen, zu mehreren Dienstunterbrechungen. Ein weiteres Problem, mit dem das Unternehmen bei der Verwendung der Software konfrontiert war, war die komplizierte Benutzeroberfläche, deren Verwendung für ungeschultes Personal eine Herausforderung darstellte.
Die Geschäftsleitung von HealthGenic informierte umgehend das Unternehmen, das die Software entwickelt hatte, über das Problem. Das Softwareunternehmen behob das Problem, veränderte dabei jedoch einige Dateien mit sensiblen Patienteninformationen. Die Änderungen führten zu unvollständigen und fehlerhaften medizinischen Berichten und verletzten – was noch schlimmer war – die Privatsphäre der Patienten.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Welches der folgenden Anzeichen deutet darauf hin, dass die Vertraulichkeit von Informationen verletzt wurde?

• A. Dienstunterbrechungen aufgrund der gestiegenen Benutzerzahl
• B. Änderung der medizinischen Berichte der Patienten
• C. Verletzung der Privatsphäre von Patienten