Sie haben eine gedruckte Kopie eines Kundenentwurfsdokuments, die Sie entsorgen möchten. Was würden Sie tun

• A. Zerkleinern Sie es mit einem Aktenvernichter
• B. Geben Sie es dem Bürojungen, um es für andere Zwecke wiederzuverwenden
• C. Seien Sie umweltfreundlich und verwenden Sie es zum Schreiben wieder
• D. Werfen Sie es in eine beliebige Mülltonne

Szenario 2:
Clinic, gegründet in den 1990er-Jahren, ist ein Medizintechnikunternehmen, das sich auf die Behandlung von Herzerkrankungen und komplexe chirurgische Eingriffe spezialisiert hat. Das in Europa ansässige Unternehmen betreut sowohl Patienten als auch medizinisches Fachpersonal. Clinic erfasst Patientendaten, um Behandlungen individuell anzupassen, Behandlungsergebnisse zu überwachen und die Gerätefunktionalität zu verbessern. Zur Erhöhung der Datensicherheit und zum Aufbau von Vertrauen implementiert Clinic ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001. Diese Initiative unterstreicht das Engagement von Clinic für den sicheren Umgang mit sensiblen Patientendaten und firmeneigenen Technologien.
Die Klinik legte den Geltungsbereich ihres Informationssicherheitsmanagementsystems (ISMS) ausschließlich unter Berücksichtigung interner Belange, Schnittstellen, Abhängigkeiten zwischen internen und ausgelagerten Aktivitäten sowie der Erwartungen der beteiligten Parteien fest. Dieser Geltungsbereich wurde sorgfältig dokumentiert und öffentlich zugänglich gemacht. Bei der Definition ihres ISMS konzentrierte sich die Klinik insbesondere auf Schlüsselprozesse in kritischen Abteilungen wie Forschung und Entwicklung, Patientendatenmanagement und Kundensupport.
Trotz anfänglicher Herausforderungen hielt die Klinik an der Implementierung ihres ISMS fest und passte die Sicherheitsmaßnahmen an ihre spezifischen Bedürfnisse an. Das Projektteam schloss bestimmte Kontrollen aus Anhang A der ISO/IEC 27001 aus und integrierte stattdessen zusätzliche branchenspezifische Kontrollen zur Erhöhung der Sicherheit. Das Team bewertete die Anwendbarkeit dieser Kontrollen anhand interner und externer Faktoren und erstellte schließlich eine umfassende Anwendbarkeitserklärung (Statement of Applicability, SoA), die die Gründe für die Auswahl und Implementierung der Kontrollen detailliert darlegt.
Im Zuge der Zertifizierungsvorbereitungen wandte Brian, der zum Teamleiter ernannt wurde, eine eigenständige Risikobewertungsmethodik an, um die strategischen Herausforderungen und Sicherheitspraktiken des Unternehmens zu identifizieren und zu bewerten. Dieser proaktive Ansatz stellte sicher, dass die Risikobewertung der Klinik mit ihren Zielen und ihrer Mission übereinstimmte.
Frage:
Entspricht das SoA-Dokument der Klinik den Anforderungen der ISO/IEC 27001 für SoA?

• A. Nein, da es keine Begründung für den Ausschluss von Kontrollen aus Anhang A der ISO/IEC enthält.
  27001
• B. Nein, da Sicherheitskontrollen, die aus anderen Quellen als Anhang A der ISO/IEC 27001 ausgewählt wurden, enthalten sind.
• C. Ja, denn es enthält eine vollständige Liste der in Anhang A der ISO als anwendbar erachteten Kontrollen.
  /IEC 27001 und die anderen Quellen

Frage:
Welche der folgenden Aussagen zum Prüfungsplan ist korrekt?

• A. Der Prüfungsplan beinhaltet die Anwendung mehrerer Prüfungsverfahren
• B. Der Prüfungsplan sollte flexibel sein, um Änderungen zu ermöglichen.
• C. Die oberste Führungsebene des geprüften Unternehmens erstellt den Prüfungsplan.

Szenario 1
Fintive ist ein renommierter Sicherheitsanbieter, der sich auf Online-Zahlungen und Schutzlösungen spezialisiert hat. Das Unternehmen wurde 1999 von Thomas Fin in San Jose, Kalifornien, gegründet und bietet Dienstleistungen für online tätige Unternehmen an, die ihre Informationssicherheit verbessern, Betrug verhindern und Nutzerdaten wie personenbezogene Daten (PII) schützen möchten.
Fintive stützt seine Entscheidungs- und Betriebsprozesse auf frühere Fälle, indem es Kundendaten sammelt, diese dem jeweiligen Fall entsprechend klassifiziert und analysiert.
Anfangs benötigte Fintive eine große Anzahl von Mitarbeitern, um solche komplexen Analysen durchführen zu können.
Mit dem technologischen Fortschritt erkannte das Unternehmen die Chance, ein modernes Tool – einen Chatbot – einzuführen, um Musteranalysen zur Betrugsprävention in Echtzeit durchzuführen. Dieses Tool sollte auch zur Verbesserung des Kundenservice beitragen.
Die ursprüngliche Idee wurde dem Softwareentwicklungsteam mitgeteilt, das die Initiative unterstützte und mit der Projektarbeit beauftragt wurde. Sie begannen, den Chatbot in das bestehende System zu integrieren und setzten sich ein Ziel: 85 % aller Chat-Anfragen sollten beantwortet werden.
Nach erfolgreicher Integration des Chatbots wurde dieser für die Kunden freigegeben. Allerdings wies der Chatbot mehrere Mängel auf. Aufgrund unzureichender Tests und fehlender Beispieldaten während der Trainingsphase – in der er das Anfragemuster erlernen sollte – konnte der Chatbot Nutzeranfragen nicht effektiv beantworten. Zudem sendete er bei ungültigen Eingaben, wie beispielsweise ungewöhnlichen Punktmustern und Sonderzeichen, zufällige Dateien an die Nutzer.
Folglich konnte der Chatbot die Kundenanfragen nicht effektiv beantworten, überlastete den traditionellen Kundensupport und hinderte diesen daran, den Kunden bei ihren Anliegen zu helfen.
Fintive erkannte die potenziellen Risiken und beschloss daher, neue Kontrollmechanismen einzuführen. Diese umfassten die Aktivierung einer umfassenden Protokollierung von Zugriffen, die Konfiguration automatisierter Warnsysteme zur Erkennung ungewöhnlicher Aktivitäten, regelmäßige Zugriffsüberprüfungen und die Überwachung des Systemverhaltens auf Anomalien. Ziel war es, unberechtigte Zugriffe, Fehler oder verdächtige Aktivitäten zeitnah zu erkennen und so sicherzustellen, dass potenzielle Probleme schnell erkannt und untersucht werden können, bevor sie erheblichen Schaden anrichten.
Frage
Welche Kontrollmaßnahmen hat Fintive gemäß Szenario 1 als Reaktion auf die identifizierten Probleme ergriffen?

• A. Detektiv
• B. Präventiv
• C. Korrektiv

Was ist der Unterschied zwischen einem eingeschränkten und einem vertraulichen Dokument?

• A. Eingeschränkt – zur gemeinsamen Nutzung durch eine autorisierte Gruppe
  Vertraulich – zur Weitergabe an namentlich genannte Personen
• B. Eingeschränkt – zur Weitergabe an namentlich genannte Personen
  Vertraulich – zur Weitergabe an eine autorisierte Gruppe
• C. Eingeschränkt – zur Weitergabe an namentlich genannte Personen
  Vertraulich – nur zur Weitergabe an die gesamte Organisation
• D. Eingeschränkt – zur Weitergabe an namentlich genannte Personen
  Vertraulich - zur Weitergabe an Freunde und Familie