ISO/IEC 27001 Foundation

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. D1 Grundprinzipien und -konzepte eines ISMS

   In welcher Beziehung stehen ISO/IEC 27001 und ISO/IEC 27002 zueinander?

   1. ISO/IEC 27002 ersetzt ISO/IEC 27001 bei Organisationen, die nach ihrer Zertifizierung einen ausreichenden Reifegrad erreicht haben
   2. ISO/IEC 27001 enthält die zertifizierbaren Anforderungen, während ISO/IEC 27002 Leitlinien zur Umsetzung von Informationssicherheitsmaßnahmen bereitstellt
   3. ISO/IEC 27002 enthält die auditierbaren Anforderungen, während ISO/IEC 27001 lediglich das gemeinsame Vokabular der Normenfamilie zusammenfasst
   4. Beide Normen enthalten zertifizierbare Anforderungen, und eine Organisation muss ihre Konformität mit beiden gleichzeitig erklären

2. D2 Informationssicherheitsmanagementsystem (ISMS)

   Eine Organisation legt ohne weitere Konkretisierung »die Sicherheit der Systeme verbessern« als Informationssicherheitsziel fest und benennt weder einen Verantwortlichen noch eine Frist. Welche Anforderung der ISO/IEC 27001 erfüllt sie damit nicht?

   1. Hier wird keine Anforderung verletzt: Die Formulierung von Informationssicherheitszielen und ihre langfristige Nachverfolgung liegen unabhängig von der Größe im Ermessen jeder Organisation
   2. Die Anforderung aus Abschnitt 5.2, weil die Ziele, ihre Kennzahlen, Ressourcen, Verantwortlichen und Fristen vollständig und detailliert im Wortlaut der Informationssicherheitspolitik stehen müssen
   3. Die Anforderung aus Abschnitt 9.1, nach der Ziele erst nach einer vorherigen Messung und Bewertung der Informationssicherheitsleistung des Vorjahres festgelegt werden dürfen
   4. Die Anforderung aus Abschnitt 6.2, der mit der Politik übereinstimmende, soweit praktikabel messbare Ziele sowie Ressourcen, einen Verantwortlichen und eine Frist verlangt

3. D1 Grundprinzipien und -konzepte eines ISMS

   Wie unterstützt ein Managementsystem nach ISO/IEC 27001 eine Organisation bei der Erfüllung ihrer rechtlichen Verpflichtungen?

   1. Indem es die anwendbaren Rechtsvorschriften durch die Anforderungen der Norm ersetzt, die für die Rechtskonformität als gleichwertig behandelt werden
   2. Indem es die gesamte Verantwortung für die Rechtskonformität auf die Zertifizierungsstelle überträgt, die anschließend gegenüber Behörden, Kunden und betroffenen Dritten haftet
   3. Indem es relevante rechtliche und vertragliche Anforderungen einbindet und A.5.31, sofern nach Abschnitt 6.1.3 notwendig, zu ihrer Steuerung nutzt
   4. Indem es die Organisation während der Gültigkeit des Zertifikats in den auditierten Bereichen von ihren sektorspezifischen Verpflichtungen befreit

4. D2 Informationssicherheitsmanagementsystem (ISMS)

   Die Geschäftsleitung eines Unternehmens erfasst in ihrer Kontextanalyse die Entwicklung der Branche, regulatorische Änderungen und neue Wettbewerber, lässt jedoch die eigene Organisationsstruktur, die Ressourcen und die Kultur außer Betracht. Wie ist diese Analyse zu beurteilen?

   1. Sie ist unvollständig, weil Abschnitt 4.1 sowohl die externen als auch die internen Themen zu bestimmen verlangt
   2. Sie ist zutreffend, weil interne Themen erst später bei der Bestimmung der Anforderungen interessierter Parteien behandelt werden
   3. Sie ist zutreffend, weil Abschnitt 4.1 diejenigen Themen behandelt, die außerhalb der Kontrolle der Organisation liegen, etwa den Markt oder das regulatorische Umfeld
   4. Sie ist nur bei einer angestrebten Drittzertifizierung unvollständig; in allen anderen Fällen genügt eine Analyse des externen Umfelds

5. D1 Grundprinzipien und -konzepte eines ISMS

   Was ist nach der gemeinsamen Definition der Managementsystemnormen ein Managementsystem?

   1. Die Gesamtheit aus Softwareanwendungen, Dokumentenmanagementlösungen und Automatisierungswerkzeugen, mit denen eine Organisation Aufzeichnungen, Arbeitsabläufe und Genehmigungswege verwaltet
   2. Ein Satz zusammenhängender oder sich gegenseitig beeinflussender Elemente einer Organisation, mit denen Politiken und Ziele sowie Prozesse zum Erreichen dieser Ziele festgelegt werden
   3. Das Organigramm zusammen mit den Stellenbeschreibungen und Berichtswegen der einzelnen Abteilungen
   4. Die Gesamtheit der von der obersten Leitung genehmigten Dokumente, in denen die vom Personal einzuhaltenden Arbeitsanweisungen festgehalten sind

6. D2 Informationssicherheitsmanagementsystem (ISMS)

   Beim Aufbau eines Managementsystems nimmt der Sicherheitsverantwortliche ausschließlich Kunden in die Liste der interessierten Parteien auf. Was muss nach ISO/IEC 27001 zusätzlich berücksichtigt werden?

   1. Die übrigen relevanten interessierten Parteien und ihre relevanten Anforderungen
   2. Die in den unterzeichneten Verträgen und deren Anhängen formalisierten Kundenanforderungen genügen als alleinige Grundlage der Parteienliste
   3. Die Lieferanten mit direktem oder über Unterauftragnehmer vermitteltem Systemzugriff; die Risikobeurteilung deckt die übrigen interessierten Parteien bereits ab
   4. Die zuständigen Behörden und ihre rechtlichen Anforderungen; die Einbeziehung weiterer interessierter Parteien bleibt freiwillig

7. D1 Grundprinzipien und -konzepte eines ISMS

   Wie ist ISO/IEC 27001:2022 aufgebaut?

   1. Aus den einleitenden Abschnitten 1 bis 3, den Abschnitten 4 bis 10 mit den Anforderungen an das Managementsystem und Anhang A mit den Referenzmaßnahmen
   2. Aus vier einleitenden Abschnitten und sechs Kapiteln mit technischen Maßnahmen, ohne Anforderungen an das Managementsystem
   3. Aus zehn vollständig auditierbaren Anforderungsabschnitten, gefolgt von drei informativen Anhängen mit Umsetzungsbeispielen und Checklisten
   4. Aus einem Anforderungsteil und einem Leitlinienteil, die beide für die Zertifizierung und ihre Aufrechterhaltung bei Überwachungsaudits verbindlich sind

8. D2 Informationssicherheitsmanagementsystem (ISMS)

   In einem Audit wird festgestellt, dass die oberste Leitung zwar die Informationssicherheitspolitik genehmigt, aber keine Ressourcen bereitgestellt, die Bedeutung des Systems nicht kommuniziert und nicht an der Managementbewertung teilgenommen hat. Welche Schlussfolgerung folgt daraus?

   1. Es liegt eine Nichtkonformität mit Abschnitt 7.5 vor, weil das Problem in der unzureichenden Dokumentation und Verteilung der Politik besteht
   2. Es liegt keine Nichtkonformität vor, weil die Genehmigung der Politik die einzige Handlung ist, die die Norm von der obersten Leitung verlangt
   3. Es liegt eine Nichtkonformität mit Abschnitt 5.1 vor, weil Führung und Verpflichtung Handlungen weit über die Genehmigung der Politik hinaus verlangen; außerdem begründet die fehlende normkonforme Managementbewertung durch die oberste Leitung eine eigenständige Nichtkonformität nach Abschnitt 9.3
   4. Es liegt keine Nichtkonformität vor, sofern ein von der obersten Leitung schriftlich, ausdrücklich, umfassend und nachweisbar bevollmächtigter Informationssicherheitsverantwortlicher vorhanden ist

9. D1 Grundprinzipien und -konzepte eines ISMS

   Welche Norm innerhalb der Normenfamilie ISO/IEC 27000 zur Informationssicherheit vermittelt den Überblick über ihre Konzepte, Grundsätze und Beziehungen?

   1. ISO/IEC 27003, die innerhalb der Normenfamilie sowohl Leitlinien für den Aufbau des Managementsystems als auch die zugehörigen Begriffe und Definitionen bereitstellt
   2. ISO/IEC 27005, die Leitliniennorm für das Management von Informationssicherheitsrisiken innerhalb der Normenfamilie
   3. ISO/IEC 27000, die den Überblick über die Konzepte, Grundsätze und Beziehungen innerhalb der Normenfamilie vermittelt
   4. ISO/IEC 27004, die Überwachung, Messung, Analyse und Bewertung behandelt

10. D2 Informationssicherheitsmanagementsystem (ISMS)

    Welche der folgenden Strukturen ist mit der normgerechten Steuerung von Informationssicherheitspolitiken vereinbar?

    1. Eine einzige allgemeine Politik für das gesamte interne Regelwerk, da zusätzliche normative Dokumente Verständnis, Verteilung und wirksame Lenkung durch das Personal beeinträchtigen
    2. Eine allgemeine Informationssicherheitspolitik, die bei Bedarf durch themenspezifische Informationssicherheitspolitiken ergänzt wird
    3. Je eine Politik für jede in Anhang A als anwendbar erklärte Informationssicherheitsmaßnahme, sodass das Politiksystem die Erklärung zur Anwendbarkeit spiegelt
    4. Je eine von der Leitung des betreffenden Bereichs eigenständig verfasste und genehmigte Politik pro Abteilung

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.