Welche der folgenden Maßnahmen gehört NICHT zu den von ISO/IEC 27001 geforderten Schritten, die eine Organisation ergreifen muss, wenn eine Nichtkonformität festgestellt wird?

• A. Teilen Sie jedem Mitarbeiter der Organisation die Einzelheiten der Nichtkonformität mit und suspendieren Sie den Mitarbeiter, der die Nichtkonformität verursacht hat.
• B. Reagieren Sie auf die Nichtkonformität, ergreifen Sie Maßnahmen, um sie zu kontrollieren und zu korrigieren und gehen Sie mit ihren Folgen um
• C. Bewerten Sie den Handlungsbedarf zur Beseitigung der Ursachen der Nichtkonformität, damit diese nicht erneut auftritt oder an anderer Stelle auftritt.

Szenario 4: TradeB, eine Geschäftsbank, die gerade erst in den Markt eingetreten ist, Einlagen von ihren Kunden entgegennimmt und grundlegende Finanzdienstleistungen sowie Kredite für Investitionen anbietet. TradeB hat beschlossen, ein Informationssicherheits-Managementsystem (ISMS) auf Grundlage von ISO/IEC 27001 einzuführen. Da TradeBs oberstes Management keine Erfahrung mit der Implementierung eines Managementsystems hatte, beauftragte es zwei Experten mit der Leitung und Verwaltung des ISMS-Implementierungsprojekts.
Zunächst analysierte das Projektteam die 93 Kontrollen in Anhang A der ISO/IEC 27001 und listete nur die Sicherheitskontrollen auf, die für das Unternehmen als anwendbar erachtet wurden, sowie deren Ziele. Auf Grundlage dieser Analyse erstellten sie die Erklärung zur Anwendbarkeit. Anschließend führten sie eine Risikobewertung durch, in deren Verlauf sie Vermögenswerte wie Hardware, Software und Netzwerke sowie Bedrohungen und Schwachstellen identifizierten, potenzielle Folgen und Eintrittswahrscheinlichkeiten bewerteten und das Risikoniveau anhand von drei nicht numerischen Kategorien (niedrig, mittel und hoch) bestimmten. Sie beurteilten die Risiken anhand der Risikobewertungskriterien und entschieden, nur die Risikokategorie „Hoch“ zu behandeln. Sie beschlossen außerdem, sich hauptsächlich auf die unbefugte Nutzung von Administratorrechten und Systemunterbrechungen aufgrund mehrerer Hardwarefehler zu konzentrieren, indem sie eine neue Version der Zugriffskontrollrichtlinie erstellten, Kontrollen zur Verwaltung und Kontrolle des Benutzerzugriffs implementierten und eine Kontrolle zur IKT-Bereitschaft für die Geschäftskontinuität einführten. Schließlich erstellten sie einen Risikobewertungsbericht, in dem sie festhielten, dass die Risiken akzeptiert werden, wenn nach der Implementierung dieser Sicherheitskontrollen das Risikoniveau unter dem akzeptablen Niveau liegt. Welche Arten von Vermögenswerten wurden basierend auf Szenario 4 während der Risikobewertung identifiziert?

• A. Betriebsvermögen
• B. Unterstützende Vermögenswerte
• C. Primäre Vermögenswerte

Der Zweck der Kontrolle 7.2 Physischer Zugang von ISO/IEC 27001 besteht darin, sicherzustellen, dass nur autorisierter Zugriff auf die Informationen der Organisation und andere zugehörige Vermögenswerte erfolgt. Welche der folgenden Maßnahmen erfüllt diesen Zweck NICHT?

• A. Überprüfung von Geräten mit Speichermedien
• B. Verwendung geeigneter Eingabekontrollen
• C. Implementieren von Zugriffspunkten

HealthGenic ist eine Kinderklinik, die mithilfe einer webbasierten medizinischen Software die Gesundheit und das Wachstum von Kindern vom Säuglingsalter bis ins frühe Erwachsenenalter überwacht. Die Software dient außerdem zur Terminvereinbarung, Erstellung individueller medizinischer Berichte, Speicherung von Patientendaten und Krankengeschichte sowie zur Kommunikation mit allen Beteiligten, einschließlich Eltern, anderen Ärzten und dem medizinischen Laborpersonal.
Im letzten Monat kam es bei HealthGenic aufgrund der steigenden Zahl von Benutzern, die auf die Software zugriffen, zu mehreren Dienstunterbrechungen. Ein weiteres Problem, mit dem das Unternehmen bei der Verwendung der Software konfrontiert war, war die komplizierte Benutzeroberfläche, deren Verwendung für ungeschultes Personal eine Herausforderung darstellte.
Die Geschäftsleitung von HealthGenic informierte umgehend das Unternehmen, das die Software entwickelt hatte, über das Problem. Das Softwareunternehmen behob das Problem, veränderte dabei jedoch einige Dateien mit vertraulichen Patienteninformationen. Die Änderungen führten zu unvollständigen und fehlerhaften medizinischen Berichten und verletzten – was noch schlimmer war – die Privatsphäre der Patienten.
Wie wirkt sich die Nachlässigkeit von HealthGenic basierend auf Szenario 8 auf das ISMS-Zertifikat aus?

• A. HealthGenic kann das ISMS-Zertifikat möglicherweise nicht erneuern, da es nicht in den geplanten Abständen Managementprüfungen durchgeführt hat.
• B. HealthGenic kann das ISMS-Zertifikat erneuern, da in den letzten zwei Jahren keine Informationssicherheitsvorfälle festgestellt wurden.
• C. HealthGenic kann das ISMS-Zertifikat möglicherweise nicht erneuern, da das interne Audit länger als geplant dauerte

NeuroTrustMed ist ein führendes Medizintechnikunternehmen mit Sitz in Seoul, Südkorea. Das Unternehmen ist auf die Entwicklung KI-gestützter Lösungen für die Neurobildgebung spezialisiert, die in der Früherkennung und Behandlungsplanung neurologischer Erkrankungen eingesetzt werden. Als datenintensives Unternehmen, das sensible Patientendaten und medizinische Forschungsdaten verarbeitet, legt NeuroTrustMed großen Wert auf Cybersicherheit und die Einhaltung gesetzlicher Bestimmungen. Das Unternehmen verfügt seit drei Jahren über ein nach ISO/IEC 27001 zertifiziertes Informationssicherheitsmanagementsystem (ISMS). Dieses wird kontinuierlich überprüft und verbessert, um aufkommenden Bedrohungen zu begegnen, Innovationen in der medizinischen Diagnostik zu fördern und das Vertrauen der Stakeholder zu erhalten. Im Rahmen seines Engagements für kontinuierliche Verbesserung verfolgt NeuroTrustMed aktiv potenzielle Abweichungen, führt Ursachenanalysen durch, implementiert Korrektur- und Präventivmaßnahmen und stellt sicher, dass alle Änderungen dokumentiert und mit den strategischen Zielen des Unternehmens abgestimmt werden. Als eine neue Datenschutzverordnung in Kraft trat, die die regionsübergreifende Datenverarbeitung betraf, führte das Informationssicherheitsteam eine Gap-Analyse zwischen den bestehenden Richtlinien und der neuen Verordnung durch. Anschließend wurden die relevanten Dokumentationen und Prozesse aktualisiert, um die Compliance zu gewährleisten. Nach diesen Überarbeitungen aktualisierte NeuroTrustMed die ISMS-Dokumentation und fügte einen neuen Eintrag im Verbesserungsregister hinzu. Das Register, das als strukturierte Tabelle geführt wurde, enthielt eine eindeutige Änderungsnummer, eine Beschreibung der Aktualisierung, eine Prioritätsklassifizierung aufgrund der Einhaltung gesetzlicher Bestimmungen, das Datum des Beginns und des Abschlusses sowie die Freigabe durch den Informationssicherheitsbeauftragten. Etwa zur gleichen Zeit identifizierte das Informationssicherheitsteam im Rahmen einer planmäßigen Managementprüfung ein Muster von Onboarding-Fehlern. Obwohl diese zu keinen Datenschutzverletzungen geführt hatten, stellten sie ein Risiko für unbefugten Zugriff dar. Daraufhin wurde das Onboarding-Verfahren überarbeitet und ein automatisierter Verifizierungsschritt hinzugefügt, um die Genauigkeit vor der Zugriffsgewährung sicherzustellen. Um die Ursache zu ermitteln, sammelte das Team Daten zum Bereitstellungsprozess. Es analysierte Prozessprotokolle, befragte Onboarding-Mitarbeiter und verfolgte Zugriffsfehler zurück zu einem falsch konfigurierten Schritt im Übergabeprozess zwischen Personalabteilung und IT. Das Team validierte diesen Befund anhand von Testfällen, bevor Änderungen implementiert wurden. Nach der Bestätigung dokumentierte das Informationssicherheitsteam die Abweichung im ISMS-Protokoll. Die Dokumentation enthielt eine Beschreibung des Problems, der betroffenen Systeme und Benutzer sowie eine kurze Risikobewertung potenzieller Folgen im Zusammenhang mit der Zugriffsverwaltung. Beantworten Sie anhand des obigen Szenarios die folgende Frage.
Welche Art von Änderung hat das ISMS-Update bei NeuroTrustMed ausgelöst?

• A. Organisationsänderung
• B. Änderung der internen ISMS-Rollen
• C. Externe Änderung