ISO 22301 Foundation

Dieci domande di esempio tratte dall'esame

Una per area di competenza, esattamente come nel simulatore.

1. D2 Requisiti ISO 22301 - Clausole da 4 a 10

   Brantford Foods è certificata ISO 22301, riceve ogni anno un audit di sorveglianza dall'organismo di certificazione e ogni due anni viene sottoposta ad audit da due grandi clienti, in virtù di un diritto previsto nei contratti di fornitura. Il responsabile del sistema di gestione per la continuità operativa (SGCO) ha quindi interrotto il programma di audit interno dell'azienda, sostenendo che il sistema è già sottoposto a un doppio controllo. Come va valutata questa decisione rispetto alla clausola 9.2?

   1. È accettabile se i rapporti dei clienti e i rilievi di sorveglianza vengono presentati al riesame di direzione e le azioni conseguenti sono seguite fino alla chiusura.
   2. Non è accettabile: la clausola 9.2 richiede audit interni del proprio SGCO a intervalli pianificati, mentre entrambi gli audit descritti sono esterni.
   3. L'obbligo è assolto per l'anno in questione: la sorveglianza esamina lo stesso SGCO rispetto alla stessa norma e soddisfa quindi la clausola 9.2 per Brantford.
   4. Non è accettabile, ma per un altro motivo: l'audit del cliente non è indipendente dal rapporto commerciale e sarebbero bastati gli audit di sorveglianza.

2. D1 Principi e concetti fondamentali di un SGCO

   Qual è il rapporto tra ISO 22313 e ISO 22301?

   1. Aggiunge ulteriori requisiti che un'organizzazione certificata ISO 22301 deve soddisfare al successivo audit.
   2. Sostituisce la ISO 22301 come norma certificabile della famiglia ISO 22300, mentre la ISO 22301 ne diventa il glossario.
   3. Fornisce una guida all'applicazione dei requisiti della ISO 22301; nessuna sua indicazione è verificabile come requisito autonomo.
   4. Fornisce il vocabolario richiamato come riferimento normativo dalla ISO 22301, le cui definizioni risolvono i dubbi terminologici.

3. D2 Requisiti ISO 22301 - Clausole da 4 a 10

   Kestrel Pharma ha affidato la distribuzione dei vaccini nella catena del freddo, un'attività prioritaria, a un operatore logistico certificato ISO 22301. Il comitato per la continuità vuole verificare che il fornitore sappia ripristinare le consegne entro il termine definito dall'analisi d'impatto operativo di Kestrel. Quale azione è coerente con i requisiti della ISO 22301?

   1. Inserire il fornitore nel programma previsto dalla clausola 9.2 e registrare la visita come audit interno, perché l'attività esternalizzata rientra nel campo del SGCO di Kestrel.
   2. Sottoporre direttamente il fornitore ad audit esercitando il diritto contrattuale, poiché il certificato riguarda il campo del fornitore e non i tempi di ripristino di Kestrel.
   3. Affidarsi all'organismo che certifica il fornitore e archiviare il certificato, perché un audit di terza parte è più approfondito di qualsiasi verifica organizzabile da Kestrel.
   4. Chiedere al fornitore di valutare autonomamente la propria conformità ai requisiti di ripristino di Kestrel e considerare il rapporto risultante come l'audit interno di Kestrel richiesto dalla clausola 9.2.

4. D1 Principi e concetti fondamentali di un SGCO

   Un'organizzazione certificata ISO/IEC 27001 valuta l'adozione di un SGCO basato sulla ISO 22301. Quale affermazione descrive il rapporto tra le due norme?

   1. La ISO 22301 è un'estensione della ISO/IEC 27001 dedicata alla disponibilità delle informazioni, quindi i controlli di sicurezza esistenti ne soddisfano già i requisiti.
   2. La certificazione ISO/IEC 27001 è un prerequisito per la ISO 22301, perché un SGCO dipende da un sistema di gestione della sicurezza delle informazioni.
   3. Sono norme distinte per sistemi di gestione con la stessa struttura armonizzata: ISO/IEC 27001 riguarda la sicurezza delle informazioni, ISO 22301 la continuità di prodotti e servizi.
   4. La sovrapposizione è tale che la conformità a una fa presumere quella all'altra, e un solo audit rispetto a una delle due è accettato come evidenza per entrambe.

5. D2 Requisiti ISO 22301 - Clausole da 4 a 10

   Quando ha attuato il proprio SGCO tre anni fa, un gruppo ospedaliero ha individuato le leggi e i regolamenti applicabili alla continuità dei servizi e ne ha archiviato l'elenco. Da allora nessuno lo ha riesaminato. Che cosa richiede all'organizzazione la clausola 4.2?

   1. Riprodurre integralmente leggi, regolamenti e codici applicabili nelle informazioni documentate del SGCO, per consentirne la consultazione al personale.
   2. Riesaminare l'elenco dei requisiti legali, regolamentari e contrattuali quando un incidente, un reclamo o un audit abbia rivelato una violazione.
   3. Trasferire la responsabilità dei requisiti legali e regolamentari all'ufficio legale, che si trova al di fuori dei confini del SGCO.
   4. Mantenere un processo che individui, renda accessibili e valuti i requisiti applicabili e tenere aggiornate le relative informazioni documentate.

6. D1 Principi e concetti fondamentali di un SGCO

   Quale affermazione esprime meglio il significato di continuità operativa nella ISO 22301?

   1. La capacità di continuare a erogare prodotti e servizi entro tempi accettabili e a una capacità predefinita durante un'interruzione.
   2. L'insieme delle misure tecniche che mantiene disponibili i sistemi informativi e conserva copie dei dati in un secondo centro elaborazione.
   3. L'assenza di qualsiasi interruzione, ottenuta eliminando preventivamente ogni causa capace di fermare le attività prioritarie.
   4. Il processo che riporta l'organizzazione allo stato esatto precedente all'incidente, con gli stessi organici e la stessa capacità.

7. D2 Requisiti ISO 22301 - Clausole da 4 a 10

   Durante la progettazione di un SGCO, un dirigente sostiene che ogni aspettativa espressa da qualsiasi parte interessata debba diventare un requisito del sistema. Come va valutata questa posizione rispetto alla clausola 4.2?

   1. È troppo limitata: la clausola 4.2 riconosce clienti, autorità e azionisti come fonti di aspettative vincolanti, ma non fornitori e dipendenti.
   2. Il dirigente ha ragione: quando l'organizzazione registra un'aspettativa, la clausola 4.2 la trasforma in un requisito del SGCO.
   3. È troppo ampia: la clausola 4.2 richiede di determinare quali parti interessate e quali loro requisiti siano pertinenti al SGCO.
   4. La questione è prematura: i requisiti delle parti interessate sono determinati dall'analisi d'impatto operativo, non ancora svolta in questa fase.

8. D1 Principi e concetti fondamentali di un SGCO

   Quale descrizione corrisponde al piano di continuità operativa previsto dalla ISO 22301?

   1. Un piano di trattamento del rischio che elenca controlli scelti, responsabili e scadenze per ridurre la probabilità di interruzione.
   2. Informazioni documentate che guidano l'organizzazione nella risposta a un'interruzione e nella ripresa e nel ripristino dell'erogazione di prodotti e servizi.
   3. Una procedura tecnica per riportare i sistemi IT e i dati allo stato in cui si trovavano prima dell'interruzione.
   4. Una dichiarazione degli impegni di continuità operativa, approvata dall'alta direzione e resa disponibile alle parti interessate.

9. D2 Requisiti ISO 22301 - Clausole da 4 a 10

   Un'azienda di servizi pubblici vuole escludere dal campo del SGCO uno dei suoi quattro centri di servizio, destinato a chiudere tra due anni. Che cosa consente la ISO 22301?

   1. L'esclusione è valida se il centro è coperto da accordi separati con clienti, autorità di vigilanza e autorità locali, riesaminati ogni anno.
   2. Non è ammessa: quando si intende essere conformi alla ISO 22301, sedi, attività e funzioni devono rientrare nel SGCO finché non cessano effettivamente di operare.
   3. Non occorre alcuna formalità, poiché la clausola 4.3 lascia confini, applicabilità ed esclusioni del SGCO alla valutazione commerciale dell'organizzazione.
   4. L'esclusione è ammessa se documentata con motivazione, senza compromettere la capacità di garantire la continuità di prodotti e servizi. Deve restare intatta la responsabilità dell'organizzazione.

10. D1 Principi e concetti fondamentali di un SGCO

    Quale risultato deriva dall'analisi d'impatto operativo (BIA) anziché dalla valutazione del rischio?

    1. L'individuazione delle attività prioritarie e dei tempi entro cui ciascuna deve essere ripresa.
    2. La decisione sulle opzioni di trattamento del rischio da applicare alle minacce ritenute inaccettabili.
    3. La valutazione dell'adeguatezza dei controlli protettivi nel mantenere tollerabile la probabilità di interruzione.
    4. Un elenco ordinato per priorità delle minacce che potrebbero interrompere le attività, con probabilità e possibili cause.

Risponda alle stesse dieci domande nel simulatore e legga la spiegazione di ogni opzione, anche di quelle errate. Si apre senza registrazione →

Sull'esame ufficiale: formato, durata e numero di domande sono stabiliti dall'organismo di certificazione e possono cambiare; li verifichi nei suoi documenti prima di iscriversi. Questo materiale allena sulla norma, non sull'esame di un organismo specifico, e per questo è utile anche per certificarsi altrove.