ISO/IEC 27005 Lead Risk Manager

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. Grundprinzipien und Konzepte

   Wie wird Risiko gemäß ISO/IEC 27005:2022, die die Definition aus ISO 31000:2018 übernimmt, normativ definiert?

   1. Risiko ist ein Ereignis, das aus der Ausnutzung einer Schwachstelle durch eine identifizierte Bedrohung resultiert und durch einen operativen Akteur gekennzeichnet ist.
   2. Risiko ist die Kombination aus der Eintrittswahrscheinlichkeit eines Ereignisses und der Folge, die sich daraus für die Ziele der Organisation ergeben kann.
   3. Risiko ist die gemessene Differenz zwischen dem beobachteten Wert einer Sicherheitskennzahl und dem von der Leitung erwarteten Zielwert.
   4. Risiko ist die Auswirkung von Unsicherheit auf die Erreichung von Zielen, unabhängig davon, ob es sich um Ziele der Informationssicherheit, Compliance oder Geschäftsfortführung handelt.

2. Informationssicherheitsrisikobeurteilung

   Welche Tätigkeiten fasst Abschnitt 7 von ISO/IEC 27005:2022 mit dem Titel Informationssicherheitsrisikobeurteilung in seinen Unterabschnitten zusammen?

   1. Kommunikation, Risikoüberwachung und fortlaufende Verbesserung des Managementprozesses.
   2. Behandlungsoptionen, Bestimmung notwendiger Maßnahmen und Erstellung des Risikobehandlungsplans.
   3. Interner und externer Kontext, Beurteilungskriterien und der für die Organisation gewählte methodische Ansatz.
   4. Identifikation, Analyse und Bewertung von Informationssicherheitsrisiken.

3. Informationssicherheitsrisikobehandlung

   Welche Zusammenstellung entspricht den in ISO/IEC 27005:2022 Abschnitt 8.2 beschriebenen Optionen der Informationssicherheitsrisikobehandlung?

   1. Teilen, übertragen, beibehalten und zurückweisen, wobei Übertragung als eigenständige fünfte Strategie behandelt wird.
   2. Das Risiko modifizieren, das Risiko beibehalten, das Risiko vermeiden und das Risiko teilen.
   3. Modifizieren, akzeptieren, übertragen und verringern, wobei Modifikation und Verringerung als getrennte Optionen gelten.
   4. Akzeptieren, übertragen, mindern und ignorieren, ausgewählt ohne Bezug auf die Risikokriterien.

4. Methoden der Risikobeurteilung

   Zur Strukturierung der Risikobeurteilung eines branchenspezifischen ISMS-Projekts vergleicht der Lead Risk Manager mehrere anerkannte nationale Methoden. Welche Aussage beschreibt den institutionellen Ursprung von MEHARI, CRAMM, NIST SP 800-30 und Harmonized TRA zutreffend?

   1. MEHARI wird von CLUSIF in Frankreich, CRAMM von der britischen Regierung über CCTA, NIST SP 800-30 von NIST in den Vereinigten Staaten und Harmonized TRA von den kanadischen Behörden CSE und RCMP veröffentlicht.
   2. MEHARI wurde von CLUSIF 2020 zurückgezogen, CRAMM wird seit 2010 nicht mehr gepflegt, NIST SP 800-30 wurde mit Veröffentlichung von ISO/IEC 27005:2018 obsolet, und Harmonized TRA wurde nie offiziell veröffentlicht.
   3. MEHARI, CRAMM, NIST SP 800-30 und Harmonized TRA bezeichnen sämtlich eine einzige, von IEC 31010:2019 übernommene Referenzmethode; ihre Akronyme sind lediglich lokale Varianten desselben methodischen Rahmens.
   4. MEHARI wird in Frankreich von ANSSI, CRAMM in den Vereinigten Staaten von NIST, NIST SP 800-30 von der britischen Regierung und Harmonized TRA von ENISA für die Europäische Union veröffentlicht.

5. Kommunikation, Überwachung und Verbesserung

   Welche Rolle spielen die mit ISO/IEC 27005:2022 eingeführten Auslösekriterien bei der Steuerung des Risikomanagementprozesses?

   1. Die Auslösekriterien bestimmen Ereignisse oder Veränderungen, die abschnittsübergreifend eine erneute Beurteilung des Prozesses oder Risiken auslösen.
   2. Die Auslösekriterien wurden mit der Überarbeitung 2022 gestrichen und erscheinen nicht mehr im normativen Hauptteil der aktuellen Ausgabe von ISO/IEC 27005.
   3. Die Auslösekriterien bestimmen eine streng kalenderbasierte Periodizität, jährlich oder vierteljährlich, und schließen ungeplante Ereignisse sowie organisatorische Veränderungen aus.
   4. Die Auslösekriterien sind verbindliche Anforderungen ausschließlich für Abschnitt 6 zur Festlegung des Kontexts und wirken nicht querschnittlich auf andere Abschnitte.

6. Umsetzung des Risikomanagementprogramms

   MetroCity strukturiert sein dreijähriges Programm durch Verzahnung von ISO/IEC 27001:2022 und ISO/IEC 27005:2022. Welche Aussage beschreibt die unterschiedliche Rolle der beiden Normen im Programm zutreffend?

   1. ISO/IEC 27005:2022 ist für eine Zertifizierung nach ISO/IEC 27001 verbindlich; ihre Nichterfüllung führt automatisch zur Ablehnung des Zertifizierungsantrags.
   2. ISO/IEC 27001:2022 und ISO/IEC 27005:2022 enthalten beide zertifizierbare, auditierbare Anforderungen; Abweichungen von den beiden Referenznormen können im Zertifizierungsaudit getrennte Nichtkonformitäten ergeben.
   3. ISO/IEC 27005:2022 legt die zertifizierbaren Anforderungen an das Managementsystem fest, während ISO/IEC 27001:2022 lediglich ein optionaler Anwendungsleitfaden für das Programm ist.
   4. ISO/IEC 27001:2022 legt die Anforderungen an das ISMS fest, während ISO/IEC 27005:2022 Leitlinien für den Risikomanagementprozess bereitstellt.

7. Grundprinzipien und Konzepte

   Welche Aussage gibt die Definition von Wahrscheinlichkeit nach ISO/IEC 27005:2022 Abschnitt 3.1.13 korrekt wieder und beschreibt zulässige Formen ihrer Bestimmung?

   1. Für finanzielle Risiken muss Wahrscheinlichkeit stets quantitativ, für operative und Cybersicherheitsrisiken dagegen ausschließlich qualitativ ausgedrückt werden.
   2. Wahrscheinlichkeit darf nur aus historischen Daten ermittelt werden; auf Expertenurteilen beruhende Schätzungen sind nach der Norm unzulässig.
   3. Wahrscheinlichkeit ist die Möglichkeit, dass etwas geschieht; sie kann objektiv oder subjektiv sowie qualitativ oder quantitativ bestimmt werden.
   4. ISO 31000:2018 führte eine zwingend numerische Darstellung ein, die ISO/IEC 27005:2022 unverändert übernommen hat und qualitative Skalen ausschließt.

8. Informationssicherheitsrisikobeurteilung

   BankSecure Europe entwickelt für den Anwendungsbereich seiner Kartenzahlungen einen Ansatz zur Identifikation von Cyberrisiken. Der Lead Risk Manager muss zwischen dem ereignisbasierten und dem informationswertbasierten Ansatz nach ISO/IEC 27005:2022 wählen. Welche Aussage beschreibt ihr normatives Zusammenspiel zutreffend?

   1. Der informationswertbasierte Ansatz entstand in der Praxis zuerst, und der ereignisbasierte Ansatz ist seine Verallgemeinerung; die Abschnitte 7.3.1 beschreiben zwei aufeinanderfolgende Phasen eines einzigen Identifikationsansatzes.
   2. Der ereignisbasierte und der informationswertbasierte Ansatz sind spiegelbildliche Umkehrungen; abgesehen vom geänderten Ausgangspunkt müssen ihre Ergebnisse identisch sein.
   3. Der ereignisbasierte Ansatz ist eine optionale Vorgehensweise ausschließlich für Großunternehmen mit eigener Bedrohungsaufklärungseinheit und einem ausgereiften TLPT-Programm.
   4. Der ereignisbasierte Ansatz folgt einer Top-down-Logik mit Szenarien von großer strategischer Tragweite, während der informationswertbasierte Ansatz einer Bottom-up-Logik mit Bestandsverzeichnis der Informationswerte, Bedrohungen und Schwachstellen folgt.

9. Informationssicherheitsrisikobehandlung

   Wie greifen Abschnitt 6.1.3.d von ISO/IEC 27001:2022 zur Erklärung zur Anwendbarkeit (SoA) und Abschnitt 8.5 von ISO/IEC 27005:2022 bei der Erstellung der SoA ineinander?

   1. ISO/IEC 27001:2022 verlangt eine SoA, die anwendbaren Informationssicherheitsmaßnahmen mit Begründung aufführt. ISO/IEC 27005:2022 gibt dazu methodische Hinweise.
   2. Die SoA ist für ein zertifizierungswilliges ISMS ein optionales Ergebnis; Organisationen in der Anfangsphase sind durch die Überarbeitung 2022 von ISO/IEC 27001 davon befreit.
   3. Die SoA ist eine mechanische Kopie von Anhang A der ISO/IEC 27001:2022 und übernimmt alle 93 Informationssicherheitsmaßnahmen ohne Auswahl oder kontextbezogene Begründung.
   4. Die SoA ist lediglich eine unmittelbare Folge der Risikobeurteilung nach 27005 und entsteht am Prozessende mechanisch ohne formale Mitwirkung der Organisation.

10. Methoden der Risikobeurteilung

    Im Spektrum der Risikobeurteilungsmethoden begegnen dem Lead Risk Manager die vom Software Engineering Institute (SEI) veröffentlichten Varianten OCTAVE und OCTAVE Allegro. Welche Aussage beschreibt ihren institutionellen Ursprung und ihr internes Verhältnis zutreffend?

    1. OCTAVE und OCTAVE Allegro werden vom Software Engineering Institute (SEI) der Carnegie Mellon University veröffentlicht; Allegro ist eine vereinfachte, auf kritische Informationswerte konzentrierte Variante.
    2. OCTAVE und OCTAVE Allegro bezeichnen dieselbe Methode in zwei Sprachvarianten, Englisch und Latein für Allegro; beide Akronyme sind in der Fachliteratur vollständig austauschbar.
    3. OCTAVE Allegro wurde 2018 durch eine Zusammenführung mit FAIR ersetzt; daraus entstand eine einzige Methode, welche den Informationswert-Schwachstellen-Ansatz des SEI mit der monetären Quantifizierung des FAIR Institute verbindet.
    4. OCTAVE wird von NIST im Rahmen des SP-800-Programms herausgegeben, während OCTAVE Allegro eine separat von Carnegie Mellon veröffentlichte proprietäre Variante ohne Verbindung zwischen beiden Fassungen ist.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.