EBIOS Risk Manager

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. Rahmen des Risikomanagements

   Die Geschäftsleitung hält Firewall und Antivirensoftware für ausreichend und möchte auf Risikomanagement verzichten. Welches Argument aus EBIOS RM hilft zu beurteilen, ob dieser Schutz den geschäftlichen Bedürfnissen entspricht?

   1. Die Folgen befürchteter Ereignisse für Geschäftswerte feststellen, um das erforderliche Schutzniveau zu begründen
   2. Die technische Abdeckung der Produkte feststellen, um das Risikoniveau der Geschäftstätigkeiten abzuleiten
   3. Die Budgetposition gegenüber ähnlichen Unternehmen feststellen, um das erforderliche Schutzniveau abzuleiten
   4. Die Erfüllung geltender Anforderungen feststellen, um die Akzeptabilität der Risikoexposition abzuleiten

2. Grundlagen und Konzepte

   Bei der Auftaktbesprechung schlägt eine Projektleiterin vor, den strategischen und den operativen Zyklus als voneinander unabhängige Analysen durchzuführen. Wie hängen diese Zyklen in EBIOS RM zusammen?

   1. Der strategische Zyklus bereitet einen Leitungsbeschluss vor, der operative setzt ihn um; nach beiden beginnt eine neue Überprüfung
   2. Der strategische Zyklus bündelt Fachbereiche, der operative technische Experten; ihre Ergebnisse werden am Studienende zusammengeführt
   3. Der strategische Zyklus endet mit der Beurteilung, der operative beginnt mit der Behandlung; jeder erhält einen eigenen Zeithorizont
   4. Der strategische Zyklus überprüft die Studie, der operative aktualisiert operative Szenarien; die Zeiträume richten sich nach dem Kontext

3. Risikobeurteilung mit EBIOS RM

   Eine Beraterin möchte das Gefährdungspotenzial von Parteien des Ökosystems anhand ihres externen Status bewerten und interne Parteien weglassen. Welches Auswahlkriterium entspricht EBIOS RM?

   1. Das Fehlen unmittelbarer rechtlicher Kontrolle, als Grenze der Bewertung auf externe Beziehungen verwendet
   2. Das Bestehen einer Fernzugriffsverbindung, als vollständige Grenze des betrachteten Ökosystems verwendet
   3. Der Abschluss sämtlicher externer Szenarien, als Voraussetzung der Bewertung interner Beziehungen verwendet
   4. Die Relevanz der Wechselwirkung mit dem Objekt, ohne Ausschluss aufgrund internen oder externen Status

4. Rahmen des Risikomanagements

   Ein CISO schätzt den Schweregrad eines befürchteten Ereignisses auf G3, ein Fachverantwortlicher auf G1. Der CISO verweist auf technische Schäden. Welche Definition des Schweregrads sollte die Diskussion nach EBIOS RM leiten?

   1. Die Möglichkeit des Ereigniseintritts unter Berücksichtigung vorhandener Maßnahmen und Schwachstellen der betroffenen Ressourcen
   2. Die Intensität nachteiliger Folgen des Ereignisses für die Geschäftswerte und für die Missionen der betroffenen Organisation
   3. Die Verbindung der beobachteten Ereignishäufigkeit mit der Anzahl technischer Ressourcen, die bei der Verwirklichung betroffen sind
   4. Die Summe direkter und indirekter Wiederherstellungskosten, berechnet für sämtliche betroffenen technischen Ressourcen

5. Grundlagen und Konzepte

   Ein Team plant das Programm einer vollständigen EBIOS-RM-Studie. Welche Reihenfolge entspricht den fünf Workshops der Methode, wobei notwendige Rückkopplungen weiterhin möglich sind?

   1. Rahmen und Sicherheitsbasis; Risikoquellen; operative Szenarien; strategische Szenarien; Risikobehandlung
   2. Rahmen und Sicherheitsbasis; Risikoquellen; strategische Szenarien; Risikobehandlung; Konformitätsprüfung
   3. Rahmen und Sicherheitsbasis; Risikoquellen; strategische Szenarien; operative Szenarien; Risikobehandlung
   4. Einführende Sensibilisierung; Rahmen und Sicherheitsbasis; strategische Szenarien; operative Szenarien; Risikobehandlung

6. Risikobeurteilung mit EBIOS RM

   Eine Studie nutzt das illustrative Modell, das Exposition durch Zuverlässigkeit in der Cybersicherheit teilt, mit vergleichbaren positiven Bewertungen. Welche Kombination weist am deutlichsten auf ein hohes Gefährdungspotenzial hin?

   1. Niedrige Exposition und hohe Zuverlässigkeit: wenige Zugriffsmöglichkeiten bei einer soliden Absicherung
   2. Hohe Exposition und verhältnismäßig noch höhere Zuverlässigkeit: umfangreiche Beziehungen bei starker Absicherung
   3. Hohe Exposition und niedrige Zuverlässigkeit: umfangreiche Zugriffsmöglichkeiten bei schwacher Absicherung
   4. Niedrige Exposition und verhältnismäßig höhere Zuverlässigkeit: begrenzte Beziehungen bei ausreichender Absicherung

7. Rahmen des Risikomanagements

   Eine Organisation untersucht Brände oder Überschwemmungen, die ihre Systeme treffen könnten, sowie gezielte digitale Angriffe. Wie verbindet EBIOS RM den Umgang mit diesen Risiken?

   1. Die Sicherheitsbasis behandelt verbreitete Risiken einschließlich unbeabsichtigter Ereignisse; Szenarien vertiefen absichtliche, gezielte Bedrohungen
   2. Die Sicherheitsbasis dokumentiert Rechtsanforderungen; Szenarien modellieren Unfälle und Angreiferziele nach demselben Vorgehen
   3. Die Sicherheitsbasis erfasst vorhandene Kontrollen; Risiken werden anschließend nach der wirtschaftlichen Rendite ihrer Behandlung ausgewählt
   4. Die Sicherheitsbasis behandelt digitale Vorfälle; Umweltgeschehen wird aus der Studie ausgeschlossen, auch wenn dieselben Systeme betroffen sind

8. Grundlagen und Konzepte

   Welche Auflösung des Kürzels EBIOS und welche Beschreibung seines Ursprungs sind zutreffend?

   1. Examen des Bases d'Information et Organisation de la Sécurité: von ISO entwickeltes Werkzeug zur Anwendung ihres Risikomanagementrahmens
   2. Évaluation des Besoins et Identification des Objectifs de Sécurité: Methode der CNIL, später von ANSSI in ihren Methodenkatalog übernommen
   3. Expression des Besoins et Identification des Objectifs de Sécurité: französische Methode aus der Zeit vor ANSSI, von ihr zu Risk Manager weiterentwickelt
   4. Estimation des Besoins en Information et Objectifs de Sécurisation: europäische Methode, gemeinsam von Club EBIOS und ENISA entwickelt

9. Risikobeurteilung mit EBIOS RM

   Die Bewertung einer Partei des Ökosystems zeigt weitreichende Zugriffe, starke Abhängigkeit von ihren Diensten und unzureichende Absicherung. Welche Ausrichtung greift dieses Ergebnis unmittelbar auf?

   1. Die Abhängigkeit von diesem Anbieter erhöhen, um die Sicherheitsverantwortung bei ihm zu konzentrieren
   2. Das Verpflichtungsinventar der Studie abschließen und als Ersatz für die Untersuchung dieser Beziehung verwenden
   3. Die Exposition verringern oder die Zuverlässigkeit durch begründete Maßnahmen an dieser Beziehung stärken
   4. Die Bedingungen beibehalten und die Arbeit auf Beziehungen verlagern, die bereits besser abgesichert sind

10. Rahmen des Risikomanagements

    Bei der Inventarprüfung möchte eine Auditorin klären, welche Elemente in EBIOS RM als unterstützende Ressourcen eingeordnet werden. Welche Definition ermöglicht diese Zuordnung anhand ihrer Funktion in der Studie?

    1. Ein Prozesshandbuch, eine Arbeitsanweisung oder ein Abhängigkeitsplan, der die Geschäftstätigkeit dokumentiert
    2. Eine Anwendung, ein Server oder ein Netzgerät, das aufgrund seiner Wartungsvereinbarung zu dieser Kategorie gehört
    3. Ein Gebäude, Fahrzeug oder Sachmittel, dessen Buchwert die Zugehörigkeit zu dieser Kategorie bestimmt
    4. Eine digitale, physische oder organisatorische Komponente des Informationssystems, die Geschäftswerte unterstützt

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.