IT Grundschutz Praktiker

Question

Answer

• Risiken müssen hinsichtlich ihrer Schadenshöhe bewertet werden
• Risiken müssen hinsichtlich ihrer Eintrittswahrscheinlichkeit bewertet werden
• Risiken müssen NICHT bewertet werden, wenn bereits Maßnahmen umgesetzt wurden
• Die Risikobewertung muss nachvollziehbar dokumentiert werden

Question

Answer

• Die Risikoanalyse muss nur für Prozesse und Informationen durchgeführt werden
• Es liegt ein abweichendes Einsatzszenario vor
• Es liegt für mindestens ein Schutzziel ein hoher oder sehr hoher Schutzbedarf vor
• Das Zielobjekt kann nicht vollständig durch die BSI It-Grundschutz Bausteine modelliert werden

Question

Answer

• Es sind nur solche Gefährdungen auszuwählen, die sich direkt auf ein Zielobjekt auswirken
• Individuelle Gefährdungen müssen je Zielobjekt geprüft werden
• Es sind nur solche Gefährdungen zu betrachten, die durch die BSI It-Grundschutz Bausteine für ein Zielobjekt vorgegeben werden
• Durch das It-Grundschutz Kompendium werden generische Gefährdungen bereitgestellt

Question

Answer

• Eindeutige ID
• Priorität
• Abhängigkeiten (Vorgänger/Nachfolger)
• Quelle des offenen Punkts

Question

Answer

• Sie sollten spezifisch präzise formuliert sein
• Sie sollten terminierbar sein
• Sie sollten messbar sein
• Sie sollten unerreichbar sein um kontinuierlich zu motivieren

Question

Answer

• Die Erfassung muss elektronisch erfolgen
• Es gibt keine Anforderungen an die Form
• Es müssen Excel Dateien oder CSV Dateien verwendet werden
• Es muss ein Ticketingetool verwendet werden

Question

Answer

• Maßnahmen zur Abstellung von Auditbefunden, die noch nicht umgesetzt wurden
• Standardanforderungen die offen sind
• Basis-Anforderungen die teilweise umgesetzt sind
• Maßnahmen aus der Risikoanalyse, die noch nicht umgesetzt wurden

Question

Answer

• Jeder offene Punkt muss innerhalb des laufenden Fiskaljshrs umgesetzt werden
• Jeder offene Punkt muss innerhalb von einem Kalenderjahr umgesetzt werden
• Die Umsetzung muss immer so erfolgen, dass das höchste Risiko zuerst behandelt wird
• Aufgaben können auch über lange Zeiträume (mehrere Jahre) durch andere Aufgaben verdrängt werden

Question

Answer

• Plan
• Act
• Do
• Check

Question

Answer

• Interne Audits sind nur notwendig, wenn keine IS -revision erfolgt
• Interne Audits sind nur notwendig, wenn keine Zertifizierung vorliegt
• Eine wirksame Überprüfung setzt eine Testierung oder Zertifizierung voraus
• Interne Audits müssen regelmäßig durchgeführt werden

Question

Answer

• Reifegrad 2 setzt u.a. ausreichend personelle Ressourcen voraus
• Reifegrad 4 bedeutet, dass ein Prozess weitgehend durch Kennzahlen (KPIs ) gesteuert wird
• Reifegrad 1 setzt die vollständige Erfüllung von Reifegrad 2 voraus
• Reifegrad 5 bedeutet, dass ein Prozess nicht existiert und auch nicht geplant ist

Question

Answer

• Die Erstellung von Managementberichten ist optional
• Die Erstellung von Managementberichten zur Informationssicherheit erfolgen in der Regel durch die ISBs
• I'm Rahmen des Managementberichts wird auf die Verbesserungspotentiale hingewiesen
• Ziel des Managementberichts ist die detaillierte Darstellung der Mitarbeiter, die Informationssicherheit nur unzureichend umsetzen

Question

Answer

• Es muss stets der aktuelle Stand der Technik implementiert werden
• Die Informationssicherheit Strategie muss sich aus der Institutions und Risikostrategie ableiten
• Änderungen müssen bereits bei ihrer Planung im Sicherheitskonzept berücksichtigt werden
• Soweit die Umsetzung einer Maßnahme die Sicherheit erhöht, muss die Umsetzung geplant und durchgeführt werden

Question

Answer

• Aufgrund der mandatory firm rotation muss der Auditor spätestens nach zehn Jahren gewechselt werden
• Jedes Zertifikat ist mindestens 3 Jahre gültig
• Alle 3 Jahre ist eine Rezertifizierung verpflichtend
• Überwachungsaudits sind eine zwingende Voraussetzung für die Aufrechterhaltung einer Zertifizierung

Question

Answer

• Jeder Auditor muss sorgfältig arbeiten
• Alle Ergebnisse sollten sich durch Nachweise nachvollziehen lassen
• Informationen und Erkenntnisse dürfen nur mit interessierten Parteien geteilt werden
• Ergebnisse müssen objektiv sein

Question

Answer

• Bei der Erst-/Rezertifizierung werden mindestens 6 Bausteine auditiert
• Bei beiden Überwachungsaudits werden jeweils zwingend der Baustein ISMS.1 und mindestens 2 weitere Bausteine auditiert
• Der Baustein ISMS.1 muss nicht zwingend geprüft werden
• I'm Rahmen der Zertifizierungslaufzeit müssen alle modellierten Schichten mit mindestens je einem Baustein überprüft werden

Question

Answer

• Ein Drittparteien Audit liegt vor, wenn Datenschutzbeauftragte ISB und Notfallbeauftragter gemeinsam ein Audit durchführen
• Zertifizierungsaudits sind Drittparteien Audits
• Interne Revisionen sind Drittparteien Audits wenn die Revisionen unabhängig von restlichen Institution sind
• Wird ein Dienstleister Audit durch einen externen Auditor durchgeführt, handelt es sich um ein Drittparteien Audit

Question

Answer

• Das Audit darf erst nach Erteilung einer Zertifizierungsnummer durch das BSI begonnen werden
• Das Audit Team muss seine Unabhängigkeit gegenüber dem BSI erklären
• Das Audit umfasst eine Dokumentensicherung
• Das Audit umfasst eine Vor Ort Prüfung

Question

Answer

• It-Grundschutz Profile sind verpflichtend für eine Standardabsicherung
• It-Grundschutz Profile sind verpflichtend für eine Kernabsicherung
• It-Grundschutz Profile sind verpflichtend für eine Basis-Absicherung
• It-Grundschutz Profile sind nicht verpflichtend einzusetzen

Question

Answer

• Zielgruppe der Profile sind Vertreter von Branchen und Sektoren
• Alle It-Grundschutz Profile müssen auf der Webseite des BSI veröffentlicht werden
• Für die Erstellung der It-Grundschutz Profile liegt eine Anleitung des BSI vor
• It-Grundschutz Profile sollen die Umsetzung für wiederkehrende Anwendungsfälle vereinfachen