ISO/IEC 27005 Foundation

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. Grundbegriffe des Informationssicherheitsrisikomanagements

   ISO/IEC 27005:2022 besteht aus 10 Abschnitten und einem Anhang. Welche Beschreibung ordnet jedem Teil des Dokuments zu, was dieser Teil bietet?

   1. Die Abschnitte 1 bis 4 enthalten allgemeine Informationen, Abschnitt 5 führt den Risikomanagementprozess mit seinen Zyklen ein, die Abschnitte 6 bis 10 entwickeln die Managementtätigkeiten, und Anhang A gibt Beispiele für Techniken.
   2. Die Abschnitte 1 bis 4 legen die Risikokriterien fest, Abschnitt 5 behandelt die Risikobehandlungsoptionen, die Abschnitte 6 bis 10 enthalten die allgemeinen Informationen, und Anhang A listet die von der Organisation umzusetzenden Maßnahmen auf.
   3. Die Abschnitte 1 bis 4 definieren die verwendeten Begriffe, Abschnitt 5 legt die Zertifizierungsanforderungen fest, die Abschnitte 6 bis 10 enthalten die allgemeinen Informationen, und Anhang A führt die Risikomanagementzyklen im Detail ein.
   4. Die Abschnitte 1 bis 5 enthalten die allgemeinen Informationen, die Abschnitte 6 bis 7 führen den Prozess samt seinen Zyklen ein, die Abschnitte 8 bis 10 legen die Risikoakzeptanzkriterien fest, und Anhang A behandelt die Behandlungsoptionen.

2. Ansätze und Prozesse für Informationssicherheitsrisiken

   Bei der Festlegung des Kontexts für ein Logistikunternehmen überprüft ein Risikomanager das Arbeitsblatt eines Junior-Analysten. Der Mangel an geschulten Systemadministratoren wurde als Chance erfasst, und der Markteintritt eines neuen Wettbewerbers wurde als Schwäche erfasst. Welche Bewertung der in diesem Arbeitsblatt verwendeten Terminologie trifft zu?

   1. Beide Einträge sind korrekt bezeichnet, da Schwächen und Chancen einer SWOT-Analyse beide externe Themen abdecken.
   2. Beide Einträge sollten vertauscht werden, da eine PEST-Analyse die internen Themen abdeckt und eine SWOT-Analyse die externen.
   3. Beide Einträge sind falsch bezeichnet, da Stärken und Schwächen einer SWOT-Analyse interne Themen einer Organisation abdecken.
   4. Nur der Eintrag zum Wettbewerber ist falsch bezeichnet, da ein Personalmangel als Chance gilt und ein Wettbewerber als Bedrohung.

3. Grundbegriffe des Informationssicherheitsrisikomanagements

   ISO/IEC 27005:2022 definiert Risiko als die Auswirkung von Ungewissheit auf Ziele und fügt dieser Definition vier Anmerkungen hinzu. Welche Aussage gibt wieder, was diese Anmerkungen festlegen?

   1. Ungewissheit ist das völlige Fehlen von Informationen über ein Ereignis, und Risiko wird üblicherweise in Form der betroffenen Werte, ihres Geldwerts und der bereits vorhandenen Maßnahmen ausgedrückt.
   2. Ungewissheit ist eine Meinungsverschiedenheit zwischen Analysten über ein Ereignis, und Risiko wird üblicherweise in Form der erfassten Auditfeststellungen, ihrer Schwere und der ausstehenden Korrekturmaßnahmen ausgedrückt.
   3. Ungewissheit ist der Zustand des Mangels an Informationen über ein Ereignis, und Risiko wird üblicherweise in Form von Risikoquellen, möglichen Ereignissen, deren Folgen und deren Wahrscheinlichkeit ausgedrückt.
   4. Ungewissheit ist die Fehlertoleranz eines Messinstruments, und Risiko wird üblicherweise in Form der ausgewählten Maßnahmen, ihrer jährlichen Kosten und des letztlich akzeptierten Restniveaus ausgedrückt.

4. Ansätze und Prozesse für Informationssicherheitsrisiken

   Eine Bank erstellt eine Liste der Anforderungen, die ihr Informationssicherheitsrisikomanagementprogramm betreffen. Ein von der Bank freiwillig übernommener Verhaltenskodex für ihre Branche wurde unter Marktanforderungen eingeordnet, und die von Kunden erwarteten Lieferzeiten, die in keinem unterzeichneten Vertrag erwähnt werden, wurden unter internen Richtlinien eingeordnet. Wie ist diese Einordnung zu bewerten?

   1. Nur der Verhaltenskodex ist falsch eingeordnet, da eine implizite Handelserwartung innerhalb der Organisation festgelegt wird und zu den internen Richtlinien gehört.
   2. Beide Einträge sind falsch eingeordnet, da ein freiwillig übernommener Verhaltenskodex zu den Normen gehört und eine implizite Erwartung zum Markt.
   3. Beide Einträge sind korrekt eingeordnet, da jede freiwillige Anforderung zum Markt gehört und jede ungeschriebene Erwartung zu den internen Richtlinien.
   4. Beide Einträge gehören zur Quelle Gesetze und Vorschriften, da jeder von beiden Führungskräfte strafrechtlicher Verfolgung aussetzen kann.

5. Grundbegriffe des Informationssicherheitsrisikomanagements

   Welcher Wortlaut gibt die in ISO/IEC 27005:2022 genannte Definition eines Informationssicherheitsvorfalls wieder?

   1. Ein einzelner oder eine Reihe von Bezugsmaßstäben, anhand derer die Bedeutung eines Risikos bewertet wird und die aus den Zielen einer Organisation oder aus ihren anwendbaren Gesetzen abgeleitet werden.
   2. Eine einzelne oder eine Reihe von Schwächen in einem Wert oder einer Maßnahme, die eine bestehende Bedrohung ausnutzen muss, bevor in der Praxis ein Schaden oder ein Verlust wesentlicher Dienste eintreten kann.
   3. Eine einzelne oder eine Reihe von risikoverändernden Maßnahmen, die von einer Richtlinie oder einem dokumentierten Verfahren bis zu einer organisatorischen Struktur mit Führungscharakter reichen.
   4. Ein einzelnes unerwünschtes oder unerwartetes Informationssicherheitsereignis oder eine Reihe solcher Ereignisse mit erheblicher Wahrscheinlichkeit, den Geschäftsbetrieb zu beeinträchtigen und die Informationssicherheit zu bedrohen.

6. Ansätze und Prozesse für Informationssicherheitsrisiken

   Ein Lenkungsausschuss bittet einen Risikomanager, genau zu erläutern, was ISO/IEC 27005 unter Risikokriterien versteht und wie sich dieser Begriff zu den Risikoakzeptanzkriterien verhält. Welche Aussage ist zutreffend?

   1. Risikokriterien sind die Bezugsmaßstäbe, anhand derer die Bedeutung eines Risikos bewertet wird, und Risikoakzeptanzkriterien sind eines der Grundkriterien.
   2. Risikokriterien werden ausschließlich aus den internen Richtlinien der Organisation abgeleitet, und Risikoakzeptanzkriterien stammen ausschließlich aus externen gesetzlichen Anforderungen.
   3. Risikokriterien sind die Kategorien zur Beschreibung von Folgen, und Risikoakzeptanzkriterien sind die Kategorien zur Beschreibung von Wahrscheinlichkeit.
   4. Risikokriterien sind die Bezugsmaßstäbe, anhand derer eine Behandlungsoption ausgewählt wird, und Risikoakzeptanzkriterien legen das Niveau fest, ab dem die Behandlung endet.

7. Grundbegriffe des Informationssicherheitsrisikomanagements

   Ein technischer Scan deckt mehrere Schwächen in den Systemen einer Organisation auf, dennoch wurde kein Verlust erfasst. Welche Aussage erklärt, in der Terminologie von ISO/IEC 27005:2022, warum diese Schwächen allein keinen Schaden verursacht haben?

   1. Eine Schwäche verursacht keinen Schaden, solange sie als extrinsisch eingestuft ist, da externe Faktoren außerhalb der Grenzen bleiben, die die Organisation für ihre eigenen Werte festgelegt hat.
   2. Eine Schwäche verursacht allein keinen Schaden, da eine Bedrohung bestehen und diese Schwäche dann ausnutzen muss, bevor die Organisation einen tatsächlichen Verlust erleidet.
   3. Eine Schwäche verursacht keinen Schaden, solange sie als positive Eigenschaft erfasst ist, da bestimmte Schwächen um der damit verbundenen Ergebnisse willen akzeptiert werden.
   4. Eine Schwäche verursacht keinen Schaden, solange sie unterhalb der Folgekriterien bleibt, da diese Kriterien festlegen, welche Ereignisse bedeutend genug sind, um als Schaden oder Verlust zu gelten.

8. Ansätze und Prozesse für Informationssicherheitsrisiken

   Eine Organisation ohne bisherige Erfahrung mit formaler Risikobeurteilung beabsichtigt, den Informationssicherheitsrisikomanagementprozess nur auf ihren Beschaffungsprozess am Hauptsitz anzuwenden. Ein Teammitglied wendet ein, dass kein engerer Anwendungsbereich als die gesamte Organisation verwendet werden könne und dass die Grenzen nicht festgelegt werden müssten. Wie ist diese Situation zu bewerten?

   1. Der enge Anwendungsbereich ist akzeptabel, aber die Grenzen können unbestimmt bleiben, da sie nur für Werte und Technologien von Bedeutung sind.
   2. Der enge Anwendungsbereich ist nicht akzeptabel, und die Grenzen müssen festgelegt werden, da jeder relevante Wert innerhalb von ihnen liegen muss.
   3. Der enge Anwendungsbereich ist akzeptabel, und die Grenzen müssen dennoch festgelegt werden, da Risiken durch diese Grenzen entstehen können.
   4. Der enge Anwendungsbereich ist nicht akzeptabel, und die Grenzen können unbestimmt bleiben, da eine erste Beurteilung die gesamte Organisation abdeckt.

9. Grundbegriffe des Informationssicherheitsrisikomanagements

   Eine Organisation erfasst zwei Schwächen, die denselben Server betreffen: Das Gebäude, in dem er untergebracht ist, ist saisonal überschwemmungsgefährdet, und die Maschine selbst kann das von ihr empfangene Datenvolumen nicht verarbeiten. Wie klassifiziert die Terminologie von ISO/IEC 27005:2022 jede dieser Schwächen?

   1. Der überschwemmungsgefährdete Standort ist eine intrinsische Schwachstelle und die Verarbeitungsgrenze eine extrinsische, da ein Standort nicht verändert werden kann, während die Leistung verbessert werden kann.
   2. Der überschwemmungsgefährdete Standort ist eine umweltbedingte Bedrohung und die Verarbeitungsgrenze eine zufällige, da beide Risikoquellen sind, die auf diesen Server einwirken können.
   3. Der überschwemmungsgefährdete Standort ist eine extrinsische Schwachstelle und die Verarbeitungsgrenze eine intrinsische, da die erste aus externen Faktoren entsteht, während die zweite inhärent ist.
   4. Der überschwemmungsgefährdete Standort ist ein Risikoszenario und die Verarbeitungsgrenze eine Folge, da jede von beiden eine bereits von der Organisation gemessene Auswirkung beschreibt.

10. Ansätze und Prozesse für Informationssicherheitsrisiken

    Zwei mögliche Methoden zur Risikobeurteilung werden verglichen. Die erste garantiert, dass ein anderer Analyst, der von denselben Daten ausgeht, zum selben Ergebnis gelangt, und die zweite garantiert, dass der wiederholte Prozess im Zeitverlauf konsistente Ergebnisse liefert. Ein Manager behauptet, dass beide Garantien ein und dieselbe Eigenschaft beschreiben. Wie ist diese Behauptung zu bewerten?

    1. Die Behauptung ist richtig, und beide Garantien beschreiben die Wiederholbarkeit, die eine Methode aufweisen muss, bevor sie zur Anwendung ausgewählt werden kann.
    2. Die Behauptung ist richtig, und beide Garantien beschreiben die Messkonsistenz, die von den Folgekriterien gefordert wird.
    3. Die Behauptung ist falsch, da die beiden Garantien getrennte Fragen betreffen: die eine zur Reproduzierbarkeit, die andere zur Wiederholbarkeit.
    4. Die Behauptung ist falsch, wobei nur die zweite Garantie zählt, da eine Methode aufgrund der von ihr gebotenen Behandlungsoptionen ausgewählt wird.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.