Mögliche Prüfungsfragen

Question

Answer

• Audit zuerst, dann Projektplanung
• Nur Asset-Inventar ohne Bewertung
• Zertifizierung vor Umsetzung
• Festlegung Geltungsbereich, Identifikation „Kronjuwelen“, Soll-Ist-Vergleich, Maßnahmenableitung

Question

Answer

• Nur rechtliche Verweise
• Nur Projektmanagement-Vorlagen
• Nur technische Härtungs-Checklisten
• Zielsetzung, Abgrenzung/Modellierung, spezifische Gefährdungen, Anforderungen; plus Umsetzungs¬hinweise

Question

Answer

• Produkt-Roadmaps der Hersteller bestimmen
• Fachbereichsleiter ernennen
• Notfallvorsorge- und andere Teilkonzepte koordinieren
• Netzwerkdesign alleine freigeben

Question

Answer

• Der Anwendungsbereich ist die Bewertung von Maßnahmen und die Auswahl von Maßnahmenzielen, zu deren Erreichung sie sinnvoll eingesetzt werden können
• Der Anwendungsbereich kann die gesamte Organisation, bestimmte Teile davon, wie z. B. einzelne Standorte (durch geographische Abgrenzung) oder nur einzelne Abteilungen umfassen
• Der Anwendungsbereich definiert die Mindestanzahl an Mitarbeitern, die notwendig sind, um eine Zertifizierung nach ISO/IEC 27001 erlangen zu können
• Der Anwendungsbereich beschreibt die Werte einer Organisation und das Minimum ihres notwendigen Schutzbedarfs.

Question

Answer

• Ob durch einen Prozess, ein Verfahren oder eine Maßnahme die damit verbundenen Ziele auch tatsächlich erreicht wurde
• Ob ein Prozess, ein Verfahren oder eine Maßnahme gemäß der Planung durchgeführt bzw. umgesetzt wurde oder ob die tatsächliche Umsetzung von den Planungsvorgaben abweicht
• Keine der oben genannten Antworten trifft zu
• Wenn die eingesetzten Ressourcen in einem möglichst optimalen (aber mindestens vertretbaren) Verhältnis zum Ergebnis stehen

Question

Answer

• Der gesamte Anhang A.
• Anforderungen aus den Kapiteln 4 bis 8.
• Einzelne Maßnahmen aus Anhang A.
• Ausschlüsse sind generell unzulässig.

Question

Answer

• Das IT-Grundschutz-Zertifikat des BSI deckt auch ISO/IEC 27001 mit ab
• Die BSI IT-Grundschutzkataloge sind genauso wie ISO/IEC 27001 strukturiert, vertiefen die einzelnen Punkte aber mit konkreten technischen Aspekten
• Die BSI IT-Grundschutzkataloge ergänzen genau solche Maßnahmen, die in ISO/IEC 27001 nicht berücksichtigt wurden.
• BSI IT-Grundschutz und ISO/IEC 27001 konkurrieren miteinander und schließen sich gegenseitig aus

Question

Answer

• Die Risikoeinschätzung muss sicherstellen, dass subjektive Resultate geliefert werden.
• Die Einschätzung des geschäftlichen Schadens für die Organisation, der durch Sicherheitsprobleme entstehen könnte.
• Assets, Schwachstellen und Bedrohungen
• Organisationseigene Werte, die Auswirkungen des Verlusts der Vertraulichkeit und das verfügbare Budget.

Question

Answer

• Ein inhärentes Risiko, für das es keine Risikobehandlung gibt.
• Ein Risiko, das im Rahmen der Risikoanalyse nicht weiter betrachtet wird.
• Ein Risiko, für das entschieden wurde, dass es akzeptiert werden kann.
• Ein nach der Risikobehandlung verbleibendes Risiko

Question

Answer

• Empfehlungen für Verbesserungen.
• Ergebnisse von Messungen der Wirksamkeit des ISMS.
• Ergebnisse von ISMS-Audits und -Überprüfungen.
• Ein aktualisierter Risikobehandlungsplan.

Question

Answer

• Alle Schritte sind richtig.
• Nur 3 und 4 sind richtig.
• Nur 3, 4 und 5 sind richtig
• Nur 1, 2 und 3 sind richtig.

Question

Answer

• ISO/IEC 27011
• ISO/IEC 27002
• ISO/IEC 27006
• ISO/IEC 27007

Question

Answer

• Nur 1, 2, 3 und 5.
• Nur 1, 2, 3 und 4.
• Alle Rollen sind relevant.
• Nur 2, 3, 4 und 5.

Question

Answer

• Ein normativer Standard wird ausschließlich im Rahmen von Zertifizierungsaudits verwendet und enthält Prüfkriterien
• Ein normativer Standard enthält detaillierte Beschreibungen, die es bei der Umsetzung eines Standards zu berücksichtigen gilt.
• Ein normativer Standard enthält verbindliche Vorgaben, die zu erfüllen sind, wenn Konformität mit dem Standard beansprucht wird.
• Verbindliche Vorgaben, die ein normativer Standard definiert, müssen organisationsweit umgesetzt werden. Eine Einschränkung auf Teile oder einzelne Geschäftsprozesse einer Organisation ist nicht möglich.

Question

Answer

• Ein Managementsystem ist nach ISO/IEC 27000 ein Rahmenwerk von Leitlinien, Verfahren, Regelungen sowie zugehörigen Ressourcen, die dazu dienen, die Ziele der Organisation zu erreichen.
• Der Begriff des Managementsystems wird in ISO/IEC 27000 nicht verwendet.
• Keine der Antworten trifft zu
• Ein Managementsystem bezeichnet ein System, das die Sicherheit eines Unternehmens garantiert.

Question

Answer

• Das Risikoniveau muss eingeschätzt werde
• Die Bedrohungen für organisationseigene Werte (Assets) müssen identifiziert werden
• Es muss eine Methode identifiziert werden, die zur Risikoeinschätzung eingesetzt wird.
• Es muss eine Leitlinie erstellt werden, die die generelle Richtung sowie die Grundsätze für Aktionen im Rahmen der Risikoeinschätzung festlegt.

Question

Answer

• Die Informationssicherheitsleitlinie muss in regelmäßigen Abständen überprüft werden, um ihre Eignung, Angemessenheit und Wirksamkeit auf Dauer sicherzustellen.
• In einer Informationssicherheitsleitlinie muss ihr Geltungsbereich festgelegt werden.
• Das Management muss die Informationssicherheitsleitlinie genehmigen.
• Die Informationssicherheitsleitlinie spezifiziert verschiedene Sicherheitszonen und Zutrittsrechte innerhalb einer Organisation.

Question

Answer

• Kontinuierliche Verbesserung des ISMS
• Zwingende Umsetzung aller 93 Annex A Controls unabhängig vom Risiko
• 100%ige Sicherheit garantieren
• Sicherstellung von Vertraulichkeit, Integrität und Verfügbarkeit

Question

Answer

• Aus dem internationalen Standard ISO 9001.
• Aus dem internationalen Standard ISO/IEC 20000-1
• Aus den deutschen BSI IT-Grundschutzkatalogen
• Aus dem britischen Standard BS 7799-2

Question

Answer

• Jeder Informationssicherheitsvorfall überprüft die Wirksamkeit des ISMS
• Eine Aktivität im Rahmen der Act-Phase des PDCA-Zyklus besteht in der Überprüfung der Wirksamkeit des ISMS.
• Die Überprüfung der Wirksamkeit des ISMS muss in regelmäßigen Zeitabständen durchgeführt werden
• Die Wirksamkeit des ISMS wird nur im Rahmen von Audits überprüft.