ISO/IEC 27001 Lead Implementer

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. D1 Grundprinzipien und -konzepte des ISMS

   Wie sind Auditverfahren und entstehende Auditberichte nach der funktionalen Unterscheidung der ISO-Terminologie einzuordnen?

   1. Das Auditverfahren ist eine Aufzeichnung, und die Auditberichte sind Dokumente, die es unterstützen.
   2. Das Auditverfahren ist ein Dokument, und die daraus entstehenden Berichte sind Aufzeichnungen.
   3. Beides sind Aufzeichnungen, weil beides durch den Auditprozess erzeugt wird.
   4. Beides sind Verfahrensdokumente, die verbindlich festlegen, wie Audits durchzuführen sind

2. D2 Anforderungen an ein ISMS

   Woraus besteht bei der ISMS-Umsetzung eine gute Sicherheitsarchitektur?

   1. Aus einer Hierarchie von Richtlinien, themenspezifischen Richtlinien und Verfahren, die von der obersten Leitung genehmigt und vom ISMS-Manager in geplanten Abständen überprüft werden
   2. Aus einem Verzeichnis der Informationswerte, in dem jedem Wert ein Verantwortlicher zugewiesen ist
   3. Aus einer Reihe von Sicherheitsdiensten, die die Sicherheit mehrerer Prozesse, Systeme und Anwendungen gewährleisten
   4. Aus einem Plan technischer Tests, Penetrationstests und Schwachstellenscans für jedes von der Organisation produktiv betriebene System

3. D3 Planung einer ISMS-Umsetzung

   Bei der Planung eines ISMS erklärt ein Berater, für eine Zertifizierung müsse jede gute Praxis aus ISO-Leitlinien wie ISO/IEC 27002 oder ISO/IEC 27003 übernommen werden. Wie ist diese Aussage zu bewerten?

   1. Falsch: Gute Praxis ist eine unverbindliche Empfehlung.
   2. Sie ist richtig, weil gute Praktiken aus ISO-Leitlinien verbindliche Anforderungen werden, sobald die Organisation eine Zertifizierung anstrebt.
   3. Sie ist richtig, weil gute Praktiken unter Fachleuten allgemein anerkannt und deshalb für jede Organisation verbindlich sind, die ein ISMS umsetzt.
   4. Sie ist nur bei kleinen Organisationen falsch, da diese gute Praktiken überspringen dürfen, die ihre Ressourcen übersteigen.

4. D4 Umsetzung eines ISMS

   Ein Implementierer legt die Kopfzeile der ISMS-Dokumentenvorlage fest. Welche Kombination entspricht bewährter Praxis?

   1. Autor und genehmigende Stelle werden mit den persönlichen Namen der betreffenden Personen angegeben; für jedes Datum im Dokument und im Dateinamen wird DD/MM/YY verwendet.
   2. Nur der externe Berater, der das Dokument geprüft hat, wird genannt; als Datum dient die Nummer der Kalenderwoche.
   3. Jede Angabe zur Urheberschaft entfällt; jede Version wird anhand der seit Einführung des ISMS verstrichenen Tage datiert.
   4. Autor und genehmigende Stelle werden anhand ihrer Rolle statt ihres Namens bezeichnet; für Datumsangaben wird YYYY-MM-DD verwendet, damit Dateien chronologisch sortiert und leichter gesucht werden können.

5. D5 Überwachung und Messung eines ISMS

   Wie wird eine Nichtkonformität definiert?

   1. Als Nichterfüllung einer beliebigen anwendbaren Anforderung
   2. Als vorübergehende Unterbrechung von Diensten aufgrund geplanter Wartungsarbeiten, die vorab geplant und den Benutzern mitgeteilt wurden
   3. Als Unvermögen, mit den interessierten Parteien der Organisation wirksam über die Sicherheit der ihr anvertrauten Informationen zu kommunizieren
   4. Als jede Abweichung von guter Praxis, deren Anerkennung die auditierte Organisation während der Abschlussbesprechung eines internen Audits oder Zertifizierungsaudits verweigert

6. D6 Fortlaufende Verbesserung eines ISMS

   In der jährlichen Planungssitzung nennt der ISMS-Manager eines Logistikunternehmens die Veränderungsfaktoren, die fortlaufend überwacht werden müssen, damit das ISMS aktuell bleibt. Welcher Punkt gehört NICHT dazu?

   1. Technologische Veränderungen
   2. Externe Veränderungen
   3. Organisatorische Veränderungen
   4. Produktbewertungen

7. D7 Vorbereitung auf das Zertifizierungsaudit

   Eine nationale Stelle akkreditiert die in ihrem Land tätigen Zertifizierungsstellen und muss ihre Kompetenz und Zuverlässigkeit bei der Erbringung von Akkreditierungsleistungen nachweisen können. Welche Norm muss sie dafür erfüllen?

   1. ISO/IEC 17021-1, weil diese Norm Stellen regelt, die Managementsysteme auditieren und zertifizieren
   2. ISO/IEC 17011, weil diese Norm allgemeine Anforderungen an Stellen festlegt, die Zertifizierungsstellen bewerten und akkreditieren
   3. ISO/IEC 17065, weil diese Norm für Stellen gilt, die öffentlich angebotene Produkte, Prozesse und Dienstleistungen zertifizieren
   4. ISO/IEC 17024, weil diese Norm für die Zertifizierung von Personen anhand eines festgelegten Zertifizierungsprogramms gilt

8. D1 Grundprinzipien und -konzepte des ISMS

   Eine Organisation möchte genau wissen, wozu sie verpflichtet ist, um Konformität mit einer Norm für Informationssicherheitsmanagementsysteme beanspruchen zu können. Welche Aussage beschreibt die Funktion von ISO/IEC 27001 richtig?

   1. Sie bietet Leitlinien für das Management von Informationssicherheitsrisiken in jeder Organisation.
   2. Sie gibt einen Überblick über das ISMS und enthält die in der Normenfamilie verwendeten Begriffe und Definitionen.
   3. Sie bietet einen Referenzsatz allgemeiner Informationssicherheitsmaßnahmen zusammen mit Umsetzungshinweisen.
   4. Sie legt die verbindlichen ISMS-Anforderungen fest.

9. D2 Anforderungen an ein ISMS

   Warum ist es bei der ISMS-Umsetzung gute Praxis, Beschäftigte mit wichtigen Informationssicherheitsaufgaben an Entwurf, Überprüfung und Validierung von Informationssicherheitsverfahren und -richtlinien zu beteiligen?

   1. Weil ISO/IEC 27001 ausdrücklich verlangt, dass diese Beschäftigten die dokumentierte Information des Managementsystems erstellen und genehmigen
   2. Weil dadurch Zeit und Ressourcen gespart werden, indem sich die Zahl der erforderlichen Überarbeitungszyklen verringert
   3. Weil es sie motiviert, zur Umsetzung der Informationssicherheitsmaßnahmen beizutragen
   4. Weil dadurch die Verantwortung für das Restrisiko vom Risikoeigner auf die Verfasser des Verfahrens übergeht

10. D3 Planung einer ISMS-Umsetzung

    Wie unterscheiden sich die Definitionen einer Richtlinie und einer Leitlinie?

    1. Eine Richtlinie ist eine unverbindliche Information, die zu einer anforderungskonformen Lösung führt, während eine Leitlinie Absichten und Ausrichtung einer Organisation ausdrückt.
    2. Eine Richtlinie ist eine Art Leitlinie, die Orientierung zu verschiedenen Themen bietet; beide sind für die Organisation gleichermaßen optional.
    3. Eine Richtlinie drückt die von der obersten Leitung formell festgelegten Absichten und die Ausrichtung einer Organisation aus; eine Leitlinie ist eine unverbindliche Information, die zu einer anforderungskonformen Lösung führt.
    4. Die beiden Begriffe sind innerhalb der ISMS-Dokumentation austauschbar, weil beide lediglich beschreiben, wie etwas getan werden sollte.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.