Mögliche Prüfungsfragen

Question

Answer

• Eine strukturierte Asset-Inventarisierung unterstützt Risikoidentifikation
• Nur personenbezogene Daten gelten als Informationswerte
• Eigentum (Owner) und akzeptable Nutzung sollten definiert sein.
• Schutzbedarf (Vertraulichkeit, Integrität, Verfügbarkeit) ist zu berücksichtigen

Question

Answer

• Relevante interne und externe Themen sind zu bestimmen.
• Nur rechtliche Anforderungen sind zu betrachten.
• Umwelt- und Technologietrends sind irrelevant.
• Ergebnisse beeinflussen Scope, Risiken und Ziele.

Question

Answer

• Verbesserungen können sich auf Prozesse, Kontrollen und Ziele erstrecken.
• Ergebnisse aus Überwachung, Audits und Managementbewertung fließen ein
• Die Organisation muss fortlaufend die Wirksamkeit des ISMS verbessern.
• Eine einmalige große Verbesserungsmaßnahme genügt dauerhaft.

Question

Answer

• Statement of Applicability (SoA)
• Anwendungsbereich (Scope) des ISMS
• Persönliche Urlaubsplanung des ISB
• Ergebnisse der Risikobeurteilung und der Risikobehandlung (inkl. Plan)

Question

Answer

• Basis Absicherung
• Kern Absicherung
• Standard Absicherung
• Minimal Absicherung

Question

Answer

• Organizational (A.5)
• People (A.6)
• Technological (A.8)

Question

Answer

• Oberste Leitung initiiert, steuert und kontrolliert den Sicherheitsprozess
• ISMS ist eine reine IT Aufgabe
• Leitung stellt Ressourcen bereit und verankert Informationssicherheit in allen Bereichen
• Leitung muss alle technischen Maßnahmen selbst konfigurieren

Question

Answer

• Wenn Zielobjekte einen hohen oder sehr hohen Schutzbedarf in mind. einem der Grundwerte V/I/V aufweisen
• Wenn Zielobjekte durch vorhandene IT Grundschutz Bausteine nicht hinreichend abgebildet werden können
• Wenn Zielobjekte in Einsatzszenarien betrieben werden, die im IT Grundschutz nicht vorgesehen sind
• Immer, auch ohne konkreten Anlass, parallel zur Modellierung

Question

Answer

• Liste der Annex A Controls mit Implementierungsstatus
• Begründung für Ein bzw. Ausschluss jedes Controls
• Den ISMS Scope in Gänze
• Vollständige Methodik der Risikobeurteilung als Anhang

Question

Answer

• Die SBF erfolgt vor der Risikoanalyse und bestimmt V/I/V je Zielobjekt
• Risikoanalyse ist nur bei „normalem“ Schutzbedarf erforderlich
• Ergebnisse der Risikoanalyse sind ins Sicherheitskonzept zu integrieren
• Die SBF nutzt u. a. das Maximumprinzip

Question

Answer

• Eine Messung alle 10 Jahre genügt
• ISO 27001 verlangt Überwachung/Messung/Analyse/Bewertung (9.1)
• BSI 200 2 nennt ausdrücklich „Überprüfung anhand von Kennzahlen“
• Messung der Zielerreichung soll in die Sicherheitsstrategie integriert werden

Question

Answer

• Basis Absicherung reicht immer für eine ISO Zertifizierung
• IT Grundschutz und ISO 27001 verfolgen widersprüchliche Ziele
• IT Grundschutz konkretisiert den Rahmen von ISO 27001
• ISO Zertifizierung „auf der Basis von IT Grundschutz“ ist möglich

Question

Answer

• Physische Assets
• direktionale Assets
• temporäre Assets
• Virtuelle Assets

Question

Answer

• Eine Schwachstelle ist eine Eigenschaft eines Wertes, welche durch eine Bedrohung ausgenutzt werden kann
• Eine Schwachstelle ist eine Eigenschaft eines Wertes, welche durch eine Bedrohung ausgenutzt werden kann Alle Assets sind grundsätzlich auch Schwachstellen
• Schwachstellen gibt es in einem ISMS nicht
• Eine Schwachstelle ist keine Eigenschaft eines Wertes

Question

Answer

• Bedrohung plus Schwachstelle = Gefährdung
• Schaden und Eintrittswahrscheinlichkeit zusammen bilden eine Gefährdung
• Eine Gefährdung entsteht durch eine Schwachstelle und einen Incident

Question

Answer

• Zutrittskontrollen
• Physische Schlösser,
• Verschlüsselung von Daten (Kryptografie)

Question

Answer

• Datenbackups
• Wartung von Geräten

Question

Answer

• Kryptografie
• Dokumentenrechte korrekt verteilen
• Hash-Funktionen oder Prüfsummen
• Dokumentenrechte regelmäßig kontrollieren

Question

Answer

• Prozessmodell
• Schichtenmodell
• Ablagensystem

Question

Answer

• Prozessbausteine
• Blockbausteine mit Ablagen
• Systembausteine