ISO/IEC 27005 Risk Manager

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. Grundlagen des Informationssicherheitsrisikos

   Szenario: HealthData: HealthData ist ein zertifizierter Hosting-Anbieter für Gesundheitsdaten (HDS) mit Sitz in Paris. Die Organisation hostet die elektronischen Patientenakten (EHR) von 200 Kundenkliniken und verarbeitet über eine Cloud-Infrastruktur täglich 2 Millionen Anfragen. Die Organisation unterliegt der DSGVO, der HDS-Zertifizierung und den Empfehlungen der ANSSI, der französischen nationalen Cybersicherheitsbehörde. Die Sicherheitsdirektorin Frau Morel hat ein an ISO/IEC 27005 ausgerichtetes Risikomanagementprogramm eingeleitet. Während der Identifikationsphase stellte ihr Team Folgendes fest: (1) nicht dokumentierte APIs in der EHR-Zugriffsschicht, (2) fehlende Protokollierung auf dem Authentifizierungsserver und (3) einen Unterauftragnehmervertrag mit einem Cloud-Anbieter, in dem eine Bestimmung zur Meldung von Sicherheitsvorfällen fehlt. Die Beurteilung ergab eine hohe Risikohöhe hinsichtlich der Exfiltration von Patientendaten über die nicht dokumentierten APIs. Der Risikoeigner, der medizinische Direktor Dr. Fabre, muss eine Entscheidung treffen. Wie sind in diesem Szenario die nicht dokumentierten APIs, die fehlende Protokollierung und der Vertrag ohne Meldebestimmung einzuordnen?

   1. Es handelt sich um drei Schwachstellen: zwei technische und eine organisatorische.
   2. Es handelt sich um drei Restrisiken, die aus einer unzureichenden früheren Risikobehandlung resultieren.
   3. Die nicht dokumentierten APIs sind eine Bedrohung, die fehlende Protokollierung ist eine Schwachstelle und der Vertrag ist ein Risiko.
   4. Es handelt sich um drei Bedrohungen für die bei HealthData gespeicherten Patientendaten.

2. Risikomanagement nach ISO/IEC 27005

   Szenario: HealthData: HealthData ist ein zertifizierter Hosting-Anbieter für Gesundheitsdaten (HDS) mit Sitz in Paris. Die Organisation hostet die elektronischen Patientenakten (EHR) von 200 Kundenkliniken und verarbeitet über eine Cloud-Infrastruktur täglich 2 Millionen Anfragen. Die Organisation unterliegt der DSGVO, der HDS-Zertifizierung und den Empfehlungen der ANSSI, der französischen nationalen Cybersicherheitsbehörde. Die Sicherheitsdirektorin Frau Morel hat ein an ISO/IEC 27005 ausgerichtetes Risikomanagementprogramm eingeleitet. Während der Identifikationsphase stellte ihr Team Folgendes fest: (1) nicht dokumentierte APIs in der EHR-Zugriffsschicht, (2) fehlende Protokollierung auf dem Authentifizierungsserver und (3) einen Unterauftragnehmervertrag mit einem Cloud-Anbieter, in dem eine Bestimmung zur Meldung von Sicherheitsvorfällen fehlt. Die Beurteilung ergab eine hohe Risikohöhe hinsichtlich der Exfiltration von Patientendaten über die nicht dokumentierten APIs. Der Risikoeigner, der medizinische Direktor Dr. Fabre, muss eine Entscheidung treffen. Dr. Fabre beschließt als Risikoeigner, die APIs zu verschlüsseln und eine zentrale Protokollierung einzuführen. Parallel schließt er eine Cyberversicherung ab, die die Kosten von Meldungen nach der DSGVO abdeckt. Welche Kombination von Behandlungsoptionen hat er gewählt?

   1. Ausschließlich Risikoänderung, da eine Versicherung eine finanzielle Informationssicherheitsmaßnahme ist.
   2. Risikovermeidung und Risikoteilung, da Verschlüsselung eine Ausnutzung vollständig verhindert.
   3. Risikobeibehaltung und Risikoänderung, da eine Versicherung bedeutet, das Risiko zu akzeptieren.
   4. Eine Risikoänderung in Verbindung mit einer Risikoteilung.

3. Risikomanagementprogramm umsetzen

   Szenario: HealthData: HealthData ist ein zertifizierter Hosting-Anbieter für Gesundheitsdaten (HDS) mit Sitz in Paris. Die Organisation hostet die elektronischen Patientenakten (EHR) von 200 Kundenkliniken und verarbeitet über eine Cloud-Infrastruktur täglich 2 Millionen Anfragen. Die Organisation unterliegt der DSGVO, der HDS-Zertifizierung und den Empfehlungen der ANSSI, der französischen nationalen Cybersicherheitsbehörde. Die Sicherheitsdirektorin Frau Morel hat ein an ISO/IEC 27005 ausgerichtetes Risikomanagementprogramm eingeleitet. Während der Identifikationsphase stellte ihr Team Folgendes fest: (1) nicht dokumentierte APIs in der EHR-Zugriffsschicht, (2) fehlende Protokollierung auf dem Authentifizierungsserver und (3) einen Unterauftragnehmervertrag mit einem Cloud-Anbieter, in dem eine Bestimmung zur Meldung von Sicherheitsvorfällen fehlt. Die Beurteilung ergab eine hohe Risikohöhe hinsichtlich der Exfiltration von Patientendaten über die nicht dokumentierten APIs. Der Risikoeigner, der medizinische Direktor Dr. Fabre, muss eine Entscheidung treffen. Frau Morel muss die Risikoakzeptanzkriterien festlegen. Der CEO möchte, dass ausschließlich die Kosten der Informationssicherheitsmaßnahmen berücksichtigt werden. Wie sollte Frau Morel am besten reagieren?

   1. Die Risikoakzeptanzkriterien sollten ausschließlich die Anforderungen der DSGVO berücksichtigen; die übrigen Faktoren sind nachrangig.
   2. Frau Morel sollte die Auffassung des CEO außer Acht lassen und ihre eigenen Kriterien unabhängig festlegen.
   3. Die Kriterien müssen Geschäftsziele, regulatorische Anforderungen und den Risikoappetit einbeziehen, nicht nur die Kosten.
   4. Der CEO hat recht: Das Kosten-Nutzen-Verhältnis ist das einzige von ISO/IEC 27005 anerkannte relevante Kriterium.

4. Weitere Methoden der Risikobeurteilung

   Szenario: GovSecure: Die staatliche Behörde GovSecure ist für den Schutz nationaler kritischer Infrastrukturen zuständig. Sie beschäftigt 500 Personen und verwaltet als 'Defense Confidential' eingestufte Systeme. Der Direktor Herr Bertin möchte das Risikomanagementprogramm durch Einführung einer strukturierten Methodik modernisieren. Das Technikteam empfiehlt EBIOS Risk Manager, die Methode der ANSSI; der externe Berater schlägt OCTAVE Allegro vor; und der DPO empfiehlt MEHARI aufgrund seiner Wissensbasis mit Szenarien. Die Behörde muss die Richtlinien der ANSSI und die europäische NIS2-Regulierung einhalten. Welche Methodik passt angesichts der verbindlichen ANSSI-Richtlinien am besten zum regulatorischen Rahmen von GovSecure?

   1. CRAMM, weil es von einer europäischen Regierung entwickelt wurde und klassifizierte Systeme abdeckt.
   2. EBIOS Risk Manager.
   3. OCTAVE Allegro, weil es international anerkannt und aktueller als EBIOS ist.
   4. MEHARI, weil seine Wissensbasis mit Szenarien die umfassendste am Markt ist.

5. Grundlagen des Informationssicherheitsrisikos

   Ein CISO bereitet eine Präsentation für den Leitungsausschuss vor. Er muss erläutern: Nach ISO/IEC 27005 wird ein Informationssicherheitsrisiko ausgedrückt durch:

   1. Regulatorische Nichtkonformitäten und anwendbare Sanktionen.
   2. Eintrittswahrscheinlichkeit und Kosten der finanziellen Auswirkungen.
   3. Ausschließlich Bedrohungen, Schwachstellen und den Wert der Informationswerte.
   4. Risikoquellen, mögliche Ereignisse, Folgen und Wahrscheinlichkeit.

6. Risikomanagement nach ISO/IEC 27005

   Szenario: HealthData: HealthData ist ein zertifizierter Hosting-Anbieter für Gesundheitsdaten (HDS) mit Sitz in Paris. Die Organisation hostet die elektronischen Patientenakten (EHR) von 200 Kundenkliniken und verarbeitet über eine Cloud-Infrastruktur täglich 2 Millionen Anfragen. Die Organisation unterliegt der DSGVO, der HDS-Zertifizierung und den Empfehlungen der ANSSI, der französischen nationalen Cybersicherheitsbehörde. Die Sicherheitsdirektorin Frau Morel hat ein an ISO/IEC 27005 ausgerichtetes Risikomanagementprogramm eingeleitet. Während der Identifikationsphase stellte ihr Team Folgendes fest: (1) nicht dokumentierte APIs in der EHR-Zugriffsschicht, (2) fehlende Protokollierung auf dem Authentifizierungsserver und (3) einen Unterauftragnehmervertrag mit einem Cloud-Anbieter, in dem eine Bestimmung zur Meldung von Sicherheitsvorfällen fehlt. Die Beurteilung ergab eine hohe Risikohöhe hinsichtlich der Exfiltration von Patientendaten über die nicht dokumentierten APIs. Der Risikoeigner, der medizinische Direktor Dr. Fabre, muss eine Entscheidung treffen. Die elektronischen Patientenakten und der Prozess der Fernkonsultation wurden als Informationswerte identifiziert. Der Authentifizierungsserver ist ein weiterer identifizierter Informationswert. Wie sind diese korrekt einzuordnen?

   1. Alle drei sind primäre Informationswerte, weil sie für den Betrieb von HealthData gleichermaßen wesentlich sind.
   2. Alle drei sind unterstützende Informationswerte, weil sie sämtlich von der Cloud-Infrastruktur abhängen.
   3. Die EHRs sind informationelle unterstützende Informationswerte und der Server ist ein technischer primärer Informationswert.
   4. Die EHRs und die Fernkonsultation sind primäre Informationswerte; der Authentifizierungsserver ist ein unterstützender Informationswert.

7. Risikomanagementprogramm umsetzen

   Eine Organisation verfügt zu Beginn des Risikomanagements nur über begrenzte Ressourcen. Was wird nach ISO/IEC 27005 empfohlen?

   1. Den vollständigen Prozess zwingend bereits im ersten Zyklus auf die gesamte Organisation anzuwenden.
   2. Das Risikomanagement im ersten Jahr vollständig an eine Beratung auszulagern.
   3. Mit einem begrenzten Anwendungsbereich zu beginnen und ihn schrittweise zu erweitern.
   4. Das Risikomanagement aufzuschieben, bis ein Budget für die gesamte Organisation verfügbar ist.

8. Weitere Methoden der Risikobeurteilung

   Szenario: GovSecure: Die staatliche Behörde GovSecure ist für den Schutz nationaler kritischer Infrastrukturen zuständig. Sie beschäftigt 500 Personen und verwaltet als 'Defense Confidential' eingestufte Systeme. Der Direktor Herr Bertin möchte das Risikomanagementprogramm durch Einführung einer strukturierten Methodik modernisieren. Das Technikteam empfiehlt EBIOS Risk Manager, die Methode der ANSSI; der externe Berater schlägt OCTAVE Allegro vor; und der DPO empfiehlt MEHARI aufgrund seiner Wissensbasis mit Szenarien. Die Behörde muss die Richtlinien der ANSSI und die europäische NIS2-Regulierung einhalten. Herr Bertin möchte den Aufbau von EBIOS RM verstehen. Workshop Nr. 2 dient dazu, die 'RO/TO-Paare' zu identifizieren. Was bedeutet dieser Begriff?

   1. Risikoquellen und Zielobjekte: die Zuordnung eines potenziellen Angreifers zu dem, was er erreichen möchte.
   2. Risikoszenarien und Schwachstellenoptionen: die Zuordnung eines Szenarios zu den entsprechenden Schwächen.
   3. Gefährdete Systeme und Sorgfaltspflichten: die kritischen Systeme und die zugehörigen regulatorischen Anforderungen.
   4. Referenznormen und Verifikationsziele: die anwendbaren Normen und die zugehörigen Auditkriterien.

9. Grundlagen des Informationssicherheitsrisikos

   Ein Sicherheitsvorfall machte einen Onlinedienst für 8 Stunden unzugänglich, ohne dass Daten offengelegt oder verändert wurden. Diese Situation verdeutlicht, wie wichtig der Schutz der drei grundlegenden Säulen der Informationssicherheit ist. Welche drei Säulen sind dies?

   1. Authentifizierung, Autorisierung und Nichtabstreitbarkeit.
   2. Vertraulichkeit, Integrität und Verfügbarkeit.
   3. Vorbeugung, Aufdeckung und Korrektur.
   4. Identifikation, Schutz und Wiederherstellung.

10. Risikomanagement nach ISO/IEC 27005

    Szenario: HealthData: HealthData ist ein zertifizierter Hosting-Anbieter für Gesundheitsdaten (HDS) mit Sitz in Paris. Die Organisation hostet die elektronischen Patientenakten (EHR) von 200 Kundenkliniken und verarbeitet über eine Cloud-Infrastruktur täglich 2 Millionen Anfragen. Die Organisation unterliegt der DSGVO, der HDS-Zertifizierung und den Empfehlungen der ANSSI, der französischen nationalen Cybersicherheitsbehörde. Die Sicherheitsdirektorin Frau Morel hat ein an ISO/IEC 27005 ausgerichtetes Risikomanagementprogramm eingeleitet. Während der Identifikationsphase stellte ihr Team Folgendes fest: (1) nicht dokumentierte APIs in der EHR-Zugriffsschicht, (2) fehlende Protokollierung auf dem Authentifizierungsserver und (3) einen Unterauftragnehmervertrag mit einem Cloud-Anbieter, in dem eine Bestimmung zur Meldung von Sicherheitsvorfällen fehlt. Die Beurteilung ergab eine hohe Risikohöhe hinsichtlich der Exfiltration von Patientendaten über die nicht dokumentierten APIs. Der Risikoeigner, der medizinische Direktor Dr. Fabre, muss eine Entscheidung treffen. Nach der Behandlung wurde das Exfiltrationsrisiko auf 'mittel' reduziert. Nach den Kriterien von HealthData ist diese Risikohöhe unter Überwachung tolerierbar. Wer muss dieses Restrisiko formell akzeptieren?

    1. Dr. Fabre als benannter Risikoeigner.
    2. Der externe Zertifizierungsauditor für ISO/IEC 27001 beim nächsten Audit.
    3. Der Cloud-Anbieter, weil ihm die Infrastruktur gehört und er Mitverantwortung trägt.
    4. Frau Morel als Sicherheitsdirektorin, die die Risikobeurteilung durchgeführt hat.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.