Szenario 9: SkyFleet ist auf Luftfrachtdienste spezialisiert und bietet schnelle und zuverlässige Transportlösungen für Unternehmen, die Waren über weite Distanzen zügig ausliefern müssen. Aufgrund der Vertraulichkeit der verarbeiteten Informationen legt SkyFleet größten Wert auf die Einhaltung höchster Informationssicherheitsstandards. Um dies zu erreichen, betreibt das Unternehmen seit einem Jahr ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001. Um seinen Ruf zu stärken, strebt SkyFleet eine Zertifizierung nach ISO/IEC 27001 an.
SkyFleet legt großen Wert auf die kontinuierliche Aufrechterhaltung der Informationssicherheit. Um dieses Ziel zu erreichen, wurde ein strenger Überprüfungsprozess etabliert, der alle zwei Jahre eine eingehende Bewertung der ISMS-Strategie durchführt, um sicherzustellen, dass die Sicherheitsmaßnahmen robust und aktuell bleiben. Darüber hinaus verfolgt das Unternehmen einen ausgewogenen Ansatz bei Abweichungen. Wenn Mitarbeiter beispielsweise die ordnungsgemäßen Datenverschlüsselungsprotokolle für die interne Kommunikation nicht einhalten, bewertet SkyFleet Art und Ausmaß dieser Abweichung. Wird diese Abweichung als geringfügig und von begrenztem Umfang erachtet, priorisiert das Unternehmen keine sofortige Lösung. Zur Behebung einer schwerwiegenden Abweichung wurde jedoch ein umfassender Aktionsplan entwickelt, der die Überarbeitung des gesamten Datenmanagementsystems des Unternehmens zum Schutz der Kundendaten umfasst. SkyFleet übertrug die Genehmigung dieses Aktionsplans den Mitarbeitern, die direkt für die Umsetzung der Änderungen verantwortlich sind. Dieser optimierte Ansatz stellt sicher, dass diejenigen, die mit den Problemen am nächsten stehen, aktiv in den Lösungsprozess eingebunden sind. Die Kombination aus Innovation, Engagement für Informationssicherheit und Anpassungsfähigkeit hat SkyFleet zu einem wichtigen Akteur im IT- und Kommunikationsdienstleistungssektor gemacht.
Obwohl SkyFleet aufgrund versäumter Fristen für die Einreichung der erforderlichen Aktionspläne zunächst nicht für die Zertifizierung empfohlen wurde, ergriff das Unternehmen Korrekturmaßnahmen, um diese Mängel im Hinblick auf den nächsten Zertifizierungsprozess zu beheben. Zu diesen Maßnahmen gehörten die Analyse der Ursachen der Verzögerung, die Entwicklung eines Korrekturmaßnahmenplans, die Neubewertung der ISMS-Implementierung zur Sicherstellung der Einhaltung der ISO/IEC 27001-Anforderungen, die Intensivierung der internen Auditaktivitäten und die Beauftragung eines Folgeaudits durch eine Zertifizierungsstelle.
Hat SkyFleet gemäß Szenario 9 die angemessene Häufigkeit für die Überprüfung seiner ISMS-Strategie genau festgelegt?

• A. Ja. SkyFleet sollte sein ISMS alle zwei Jahre überprüfen
• B. Nein. Überprüfungen sind nur erforderlich, wenn wesentliche Änderungen im Geschäftsbetrieb auftreten
• C. Nein. SkyFleet sollte mindestens einmal jährlich eine Überprüfung des ISMS durchführen.

Das IRT wurde über eine mögliche Gefährdung des Netzwerks der Organisation informiert. Welche Dienste sollte das IRT in dieser Situation am besten bereitstellen?

• A. Dienste zum Sicherheitsqualitätsmanagement
• B. Proaktive Dienste
• C. Reaktive Dienste

Was muss die Organisation bei der Verwendung von Platform as a Service (PaaS) noch verwalten?

• A. Server und Speicher
• B. Betriebssystem und Virtualisierung
• C. Anwendung und Daten

Szenario 7: InfoSec ist ein multinationaler Konzern mit Hauptsitz in Boston, MA, der professionelle Dienstleistungen in den Bereichen Elektronik, Spiele und Unterhaltung anbietet. Nach zahlreichen Informationssicherheitsvorfällen hat InfoSec beschlossen, Teams einzurichten und Maßnahmen zu ergreifen, um mögliche Vorfälle in Zukunft zu verhindern. Emma, ​​Bob und Anna wurden als neue Mitglieder des Informationssicherheitsteams von InfoSec eingestellt, das aus einem Sicherheitsarchitekturteam, einem Incident-Response-Team (IRT) und einem Forensikteam besteht. Emmas Aufgabe besteht darin, Informationssicherheitspläne, Richtlinien, Protokolle und Schulungen zu erstellen, um InfoSec auf eine wirksame Reaktion auf Vorfälle vorzubereiten. Emma und Bob würden Vollzeitangestellte von InfoSec sein, während Anna als externe Beraterin unter Vertrag genommen wurde.
Bob, ein Netzwerkexperte, wird eine abgeschirmte Subnetz-Netzwerkarchitektur implementieren. Diese Architektur isoliert die entmilitarisierte Zone (OMZ), an die gehostete öffentliche Dienste angeschlossen sind, und die öffentlich zugänglichen Ressourcen von InfoSec von ihrem privaten Netzwerk. So kann InfoSec potenzielle Angreifer daran hindern, unerwünschte Ereignisse im Unternehmensnetzwerk zu verursachen. Bob ist außerdem dafür verantwortlich, dass eine gründliche Bewertung der Art eines unerwarteten Ereignisses durchgeführt wird, einschließlich der Details zum Ereignishergang und den möglichen Auswirkungen.
Anna erstellt Aufzeichnungen der Daten, Überprüfungen, Analysen und Berichte, um Beweise für disziplinarische und rechtliche Schritte zu sichern und diese zur Verhinderung künftiger Vorfälle zu nutzen. Um ihre Arbeit entsprechend erledigen zu können, sollte sie sich im Voraus mit der Unternehmensrichtlinie zum Umgang mit Informationssicherheitsvorfällen vertraut machen. Diese Richtlinie legt unter anderem fest, welche Art von Aufzeichnungen erstellt werden sollen, wo sie aufbewahrt werden sollen und welches Format und welchen Inhalt die einzelnen Aufzeichnungstypen haben sollen.
Warum hat InfoSec ein IRT eingerichtet? Siehe Szenario 7.

• A. Zum Sammeln, Aufbewahren und Analysieren von Informationssicherheitsvorfällen
• B. Um Informationssicherheitsvorfälle zu bewerten, darauf zu reagieren und daraus zu lernen
• C. Zur Einhaltung der ISO/IEC 27001-Anforderungen in Bezug auf das Vorfallmanagement

Szenario 5: OperazelT ist ein Softwareentwicklungsunternehmen, das Anwendungen für verschiedene Unternehmen weltweit entwickelt. Vor Kurzem führte das Unternehmen als Reaktion auf die sich entwickelnde digitale Landschaft und die neuen Herausforderungen im Bereich der Informationssicherheit eine Risikobewertung durch. Durch strenge Testverfahren wie Penetrationstests und Code-Reviews identifizierte das Unternehmen Probleme in seinen IT-Systemen, darunter unzulässige Benutzerberechtigungen, falsch konfigurierte Sicherheitseinstellungen und unsichere Netzwerkkonfigurationen. Um diese Probleme zu beheben und die Informationssicherheit zu verbessern, implementierte OperazelT ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001.
In Zusammenarbeit mit dem Implementierungsteam bewertete OperazelT seine Geschäftsanforderungen sowie sein internes und externes Umfeld gründlich, identifizierte seine wichtigsten Prozesse und Aktivitäten und identifizierte und analysierte die interessierten Parteien, um den vorläufigen Umfang des ISMS festzulegen. Anschließend führte das Implementierungsteam eine umfassende Überprüfung der Funktionseinheiten des Unternehmens durch und entschied sich dafür, die meisten Abteilungen des Unternehmens in den ISMS-Umfang einzubeziehen. Darüber hinaus beschloss das Team, interne und externe physische Standorte, sowohl externe als auch interne Aspekte gemäß Abschnitt 4.1, die Anforderungen in Abschnitt 4.2 sowie die Schnittstellen und Abhängigkeiten zwischen den vom Unternehmen durchgeführten Aktivitäten einzubeziehen. Der IT-Manager spielte eine zentrale Rolle bei der Genehmigung des endgültigen Umfangs, was OperazelTs Engagement für Informationssicherheit widerspiegelt.
Das Informationssicherheitsteam von OperazelT entwickelte eine umfassende Informationssicherheitsrichtlinie, die auf die strategische Ausrichtung und die rechtlichen Anforderungen des Unternehmens abgestimmt war und auf den Ergebnissen der Risikobewertung und den Geschäftsstrategien basierte. Diese Richtlinie wurde zusammen mit spezifischen Richtlinien, die Sicherheitsaspekte detailliert beschreiben und Rollen und Verantwortlichkeiten zuweisen, intern kommuniziert und extern weitergegeben. Die Ausarbeitung, Überprüfung und Genehmigung dieser Richtlinien erfolgte unter aktiver Beteiligung des oberen Managements, wodurch ein robuster Rahmen für den Informationsschutz aller Beteiligten gewährleistet wurde.
Im Zuge der Weiterentwicklung von OperazelT begann das Unternehmen mit der Umsetzung der Richtlinien. Dabei wurde ein detaillierter Plan entwickelt, der Sicherheitsdefinitionen, Rollenzuweisungen und Schulungen umfasste. Abschließend wurde die Phase der Richtlinienüberwachung und -pflege durchgeführt. Dabei wurden Überwachungsmechanismen eingerichtet, um sicherzustellen, dass die Informationssicherheitsrichtlinien des Unternehmens eingehalten werden und alle Mitarbeiter die Anforderungen erfüllen.
Um sein Informationssicherheitskonzept weiter zu stärken, leitete OperazelT im Rahmen der ISMS-Implementierung eine umfassende Lückenanalyse ein. Anstatt sich ausschließlich auf interne Bewertungen zu verlassen, entschied sich OperazelT, externe Berater zur Bewertung des ISMS-Zustands hinzuzuziehen. Die Zusammenarbeit mit externen Beratern brachte neue Perspektiven und wertvolle Erkenntnisse in die Lückenanalyse ein und ermöglichte es OperazelT, Schwachstellen und Verbesserungspotenziale objektiver zu identifizieren. Schließlich richtete OperazelT ein Komitee ein, dessen Aufgabe es ist, den ordnungsgemäßen Betrieb des ISMS sicherzustellen, den Risikobewertungsprozess des Unternehmens zu überwachen, Probleme der Informationssicherheit zu bewältigen, Lösungen für Abweichungen zu empfehlen und die Umsetzung von Korrekturen und Abhilfemaßnahmen zu überwachen.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Welche ISMS-Grenzen hat OperazelT in seinen ISMS-Umfang aufgenommen?

• A. Nur physische Grenzen
• B. Organisatorische und physische Grenzen
• C. Ausschließlich Informationssystemgrenzen