Auf bestimmten physischen Vermögenswerten sehen Sie einen blauen Aufkleber. Was bedeutet dies?

• A. Das Asset mit blauen Aufklebern sollte immer klimatisiert sein
• B. Das Asset ist sehr kritisch und sein Ausfall betrifft die gesamte Organisation
• C. Das Asset ist hochkritisch und sein Versagen wird die Arbeit einer Gruppe/einer Gruppen/Projekte in der Organisation beeinträchtigen
• D. Der Vermögenswert ist kritisch und die Auswirkungen sind nur auf einen Mitarbeiter beschränkt

Während eines Eröffnungsgesprächs im Rahmen eines Stage-1-Audits bittet der Management System Representative (MSR) um die Ausweitung des Auditumfangs auf einen neuen Standort im Ausland, in den das Unternehmen seit der Einreichung des Zertifizierungsantrags expandiert hat.
Wählen Sie zwei Optionen aus, wie der Prüfer reagieren sollte.
* Weisen Sie den MSR darauf hin, dass eine Erweiterung des Geltungsbereichs zwar möglich ist, jedoch die festgelegten Verfahren durchlaufen werden müssen.

• A. Weisen Sie den MSR darauf hin, dass der neue Arbeitsbereich im Rahmen des bestehenden Umfangs problemlos einbezogen werden kann.
• B. Schlagen Sie dem MSR vor, den Prüfungsvertrag zu kündigen und sich für die neue Situation neu zu bewerben.
• C. Prüfen Sie, ob das Managementsystem die Prozesse am neuen Standort abdeckt, und fahren Sie gegebenenfalls mit dem Audit fort.
• D. Teilen Sie dem MSR mit, dass der Prüfungsumfang auf Grundlage seines ursprünglichen Antrags festgelegt wurde und die Prüfung daher wie geplant durchgeführt werden muss.
• E. Bestätigen Sie, dass der Prüfer den Geprüften darüber informieren wird, dass der Prüfungsumfang um den neuen Arbeitsbereich erweitert wird.

Szenario 9
CloudFort, ein kleines Netzwerkunternehmen, bietet Lösungen für Netzwerksicherheit, Cloud Computing und Virtualisierung an. Das Unternehmen wurde kürzlich nach dem Standard ISO/IEC 27001 für sein Informationssicherheitsmanagementsystem (ISMS) zertifiziert, was zu einem deutlichen Anstieg seiner Bekanntheit führte und die hohe Professionalität von CloudFort bestätigt.
CloudFort überprüfte und verbesserte seine Sicherheitskontrollen sowie die Gesamteffektivität und Effizienz des ISMS kontinuierlich durch interne Audits. Aufgrund der Unternehmensgröße und des Wunsches nach größerer Objektivität entschied die Geschäftsleitung, die interne Revision auszulagern, um deren Unabhängigkeit von den geprüften Aktivitäten zu gewährleisten und eine beratende Rolle bei der kontinuierlichen Verbesserung des ISMS zu erhalten.
Nach dem ersten Zertifizierungsaudit richtete das Unternehmen eine neue Abteilung ein, die sich auf Datenspeicherlösungen spezialisierte. Diese bot Router und Switches an, die für Rechenzentren optimiert waren, sowie softwarebasierte Netzwerkgeräte wie Netzwerkvirtualisierungs- und Netzwerksicherheits-Appliances. Aufgrund der neuen Abteilung initiierte CloudFort eine Risikobewertung und ein internes Audit. Im Anschluss an die Ergebnisse des internen Audits bestätigte das Unternehmen die Effektivität und Effizienz der neuen Prozesse und Kontrollen.
Nachdem festgestellt wurde, dass die neue Abteilung die Anforderungen der ISO/IEC 27001 vollständig erfüllt, beschloss die Geschäftsleitung, sie in den Zertifizierungsbereich aufzunehmen. Sie stellte bei der Zertifizierungsstelle einen Antrag auf Erweiterung des Zertifizierungsbereichs, um sicherzustellen, dass die Prozesse und Sicherheitsmaßnahmen der Abteilung vollständig mit dem übergeordneten ISMS übereinstimmen.
Ein Jahr nach dem ersten Zertifizierungsaudit führte die Zertifizierungsstelle ein weiteres Audit des ISMS von CloudFort durch. Ziel dieses Audits war es, die Erfüllung der Anforderungen der ISO/IEC 27001 durch das ISMS von CloudFort zu überprüfen und sicherzustellen, dass das ISMS kontinuierlich verbessert wird. Das Auditteam bestätigte, dass das zertifizierte ISMS die Normvorgaben erfüllt. Allerdings führte die neu gegründete Abteilung Änderungen ein, die die Steuerung des gesamten Managementsystems maßgeblich beeinflussten und Anpassungen der bestehenden Prozesse und Kontrollen erforderlich machten.
Obwohl CloudFort eine Erweiterung des Zertifizierungsumfangs beantragte, versäumte das Unternehmen es, die Zertifizierungsstelle zeitnah über die Auswirkungen der neuen Abteilung auf das ISMS zu informieren. Daher wurde die Zertifizierung von CloudFort ausgesetzt.
Frage
CloudFort hat eine Erweiterung des Zertifizierungsumfangs um die neue Abteilung beantragt. Wie würden Sie diese Situation einordnen? Siehe Szenario 9.

• A. Akzeptabel, viele Geprüfte können für die erste Zertifizierung einen reduzierten Umfang festlegen und dann in den folgenden Jahren eine Erweiterung beantragen.
• B. Nicht akzeptabel, da die Erweiterung im ursprünglichen Zertifizierungsumfang hätte enthalten sein müssen und nicht nachträglich hinzugefügt werden kann, es sei denn, es wird ein umfassendes Rezertifizierungsverfahren durchgeführt.
• C. Nicht akzeptabel, da eine Erweiterung des Umfangs eine erneute vollständige Prüfung der Organisation erfordert.

Nach der Analyse der Audit-Schlussfolgerungen beschloss Unternehmen X, das Risiko im Zusammenhang mit einer der festgestellten Nichtkonformitäten zu akzeptieren. Sie behaupteten, dass keine Korrekturmaßnahmen erforderlich seien; Ihre Entscheidung wurde jedoch nicht dokumentiert. Ist das akzeptabel?

• A. Nein, das geprüfte Unternehmen muss Korrekturmaßnahmen für alle während des Audits dokumentierten Beobachtungen umsetzen
• B. Ja, das Management des geprüften Unternehmens kann entscheiden, das Risiko zu akzeptieren, anstatt Korrekturmaßnahmen umzusetzen, und eine Dokumentation dieser Entscheidung ist nicht erforderlich
• C. Nein, die Entscheidung des geprüften Unternehmens, das Risiko zu akzeptieren, anstatt Korrekturmaßnahmen umzusetzen, sollte begründet und dokumentiert werden

Szenario 5
CyberShielding Systems Inc. bietet Sicherheitsdienstleistungen für die gesamte IT-Infrastruktur. Das Unternehmen stellt Cybersicherheitssoftware bereit, darunter Endpoint-Sicherheit, Firewalls und Antivirensoftware. Seit zwei Jahrzehnten unterstützt CyberShielding Systems Inc. diverse Unternehmen bei der Absicherung ihrer Netzwerke mit fortschrittlichen Produkten und Dienstleistungen. Aufgrund seines guten Rufs im Bereich Informations- und Netzwerksicherheit entschied sich CyberShielding Systems Inc. für die Implementierung eines Sicherheitsinformationsmanagementsystems (ISMS) gemäß ISO/IEC 27001 und die Zertifizierung, um die eigenen und die Kundendaten noch besser zu schützen und sich Wettbewerbsvorteile zu sichern.
Die Zertifizierungsstelle leitete den Prozess ein, indem sie das Auditteam für die ISO-Zertifizierung von CyberShielding Systems Inc. auswählte.
Die Zertifizierungsstelle hatte dem Unternehmen die Namen und Hintergrundinformationen aller Auditoren mitgeteilt. Bei der Überprüfung stellte CyberShielding Systems Inc. jedoch fest, dass einer der Auditoren nicht über die erforderliche Sicherheitsfreigabe verfügte. Daraufhin erhob das Unternehmen Einspruch gegen die Bestellung dieses Auditors. Die Zertifizierungsstelle reagierte auf den Einspruch von CyberShielding Systems Inc. und ersetzte den Auditor.
Im Rahmen des Auditprozesses wurde der Ansatz von CyberShielding Systems Inc. zur Risiko- und Chancenermittlung als eigenständige Aktivität bewertet. Dies umfasste die Prüfung der Methoden des Unternehmens zur Identifizierung und zum Management von Risiken und Chancen. Zu den Kernzielen des Auditteams gehörte die Sicherstellung der Wirksamkeit der Mechanismen von CyberShielding Systems Inc. zur Risiko- und Chancenidentifizierung sowie die Überprüfung der Strategien des Unternehmens zur Bewältigung dieser ermittelten Risiken und Chancen. Dabei identifizierte das Auditteam auch ein Risiko aufgrund mangelnder Aufsicht im Überprüfungsprozess der Firewall-Konfiguration. Änderungen wurden ohne ordnungsgemäße Genehmigung implementiert, wodurch das Unternehmen potenziell Sicherheitslücken ausgesetzt war. Dieser Befund unterstrich die Notwendigkeit stärkerer interner Kontrollen, um solche Probleme zu vermeiden.
Das Auditteam verschaffte sich Zugang zu Prozessbeschreibungen und Organigrammen, um die wichtigsten Geschäftsprozesse und Kontrollen zu verstehen. Aufgrund von Einschränkungen durch Drittanbieter konnte das Team die IT-Risiken und -Kontrollen nur begrenzt analysieren. Dennoch stellte das Auditteam fest, dass das Risiko eines schwerwiegenden Fehlers im ISMS von CyberShielding gering sei, da die meisten Unternehmensprozesse automatisiert seien. Daher beurteilte das Team die Konformität des ISMS insgesamt mit den Standardanforderungen, indem es Vertreter von CyberShielding zu IT-Verantwortlichkeiten, Wirksamkeit der Kontrollen und Maßnahmen gegen Malware befragte. Die Vertreter von CyberShielding legten ausreichende und geeignete Nachweise vor, um alle Fragen zu beantworten.
Trotz der vor dem Audit unterzeichneten Vereinbarung, in der Umfang, Kriterien und Ziele des Audits festgelegt waren, konzentrierte sich das Audit in erster Linie auf die Beurteilung der Übereinstimmung mit den festgelegten Kriterien und die Sicherstellung der Einhaltung gesetzlicher und behördlicher Vorgaben.
Frage
Wurde die Risiko- und Chancenanalyse von CyberShielding Systems Inc. durch das Auditteam gemäß den geltenden Prüfungsstandards durchgeführt? Siehe Szenario 5.

• A. Nein, es sei denn, CyberShielding Systems Inc. hat ausdrücklich eine unabhängige Bewertung angefordert.
• B. Ja, die Durchführung der Beurteilung in Eigenregie ist eine empfohlene Vorgehensweise.
• C. Nein, die Durchführung von Einzelbewertungen wird nicht empfohlen; sie sollte implizit während der gesamten Prüfung eines Managementsystems erfolgen.