ISO/IEC 27001 Lead Auditor

Dieci domande di esempio tratte dall'esame

Una per area di competenza, esattamente come nel simulatore.

1. Principi e concetti fondamentali di un SGSI

   Durante un audit occorre verificare che il mittente reale di una transazione coincida con quello dichiarato. Quale proprietà della sicurezza delle informazioni viene esaminata?

   1. La disponibilità: rende informazioni e servizi accessibili quando un soggetto autorizzato ne ha bisogno.
   2. L'integrità: preserva accuratezza e completezza dei dati durante elaborazione, trasmissione e conservazione.
   3. La riservatezza: impedisce che il contenuto sia comunicato o reso accessibile a soggetti privi di autorizzazione.
   4. L'autenticità: conferma che la fonte effettiva di una comunicazione o transazione corrisponda all'identità dichiarata dal mittente.

2. Sistema di gestione della sicurezza delle informazioni

   In ISO/IEC 27001:2022, quali clausole contengono i requisiti certificabili del SGSI verificati durante un audit?

   1. Le clausole da 1 a 3, che contengono i requisiti certificabili del SGSI, inclusi riferimenti normativi e definizioni.
   2. Le clausole da 4 a 10, dal contesto al miglioramento, che costituiscono i requisiti certificabili del SGSI.
   3. L'Appendice A, i cui controlli costituiscono i requisiti verificati in certificazione sullo stesso piano delle clausole del sistema di gestione.
   4. Le clausole da 4 a 8, poiché il miglioramento continuo è trattato come raccomandazione.

3. Principi e concetti fondamentali di audit

   Tre concetti di ISO 19011:2026 strutturano ogni audit: evidenze dell'audit, risultanze dell'audit e criteri di audit. In che modo differiscono?

   1. Le evidenze esprimono l'esito del confronto con i criteri; le risultanze sono i fatti raccolti; i criteri coincidono con le conclusioni finali.
   2. I criteri fissano il riferimento; le evidenze sono informazioni verificabili; le risultanze esprimono l'esito della loro valutazione rispetto ai criteri.
   3. I criteri sono fatti e registrazioni raccolti sul campo; le evidenze sono le politiche applicabili; le risultanze costituiscono il programma dell'audit.
   4. Le risultanze raccolgono requisiti e procedure di riferimento; i criteri registrano le osservazioni; le evidenze coincidono con il giudizio conclusivo.

4. Preparazione di un audit ISO/IEC 27001

   Il campo di applicazione dell'audit e quello del sistema di gestione della sicurezza delle informazioni (SGSI) sono nozioni da distinguere con cura. Quale affermazione stabilisce correttamente la differenza?

   1. Coincidono sempre: ogni singolo audit deve coprire processi, unità e siti compresi nel SGSI, senza ricorrere a campionamento o programmazione ciclica.
   2. Il primo delimita estensione e confini del singolo incarico; il secondo delimita processi, unità, sedi e interfacce coperti stabilmente dal sistema di gestione.
   3. Il campo del SGSI raccoglie requisiti, politiche e procedure usati come criteri per valutare le evidenze nel singolo audit.
   4. Il campo dell'audit coincide con il piano, perché entrambi descrivono calendario, risorse e assegnazione del lavoro nel gruppo.

5. Principi e concetti fondamentali di un SGSI

   Esaminando i registri, un auditor deve stabilire se ogni operazione possa essere ricondotta senza ambiguità a chi l'ha eseguita. Quale proprietà risponde a questa esigenza?

   1. La disponibilità, perché mantiene servizi e informazioni fruibili dai soggetti autorizzati anche nei periodi di forte domanda.
   2. La riservatezza, perché limita la conoscenza del contenuto a persone, processi ed entità debitamente autorizzati.
   3. L'imputabilità, o accountability, perché rende le attività riconducibili al soggetto responsabile attraverso registrazioni verificabili.
   4. L'integrità, perché preserva accuratezza e completezza dei dati durante la loro elaborazione, trasmissione e conservazione.

6. Sistema di gestione della sicurezza delle informazioni

   In che modo ISO/IEC 27001:2022 e ISO/IEC 27002:2022 differiscono quanto al loro status?

   1. ISO/IEC 27001 offre linee guida applicative, mentre ISO/IEC 27002 stabilisce i requisiti sui quali si basa la certificazione.
   2. ISO/IEC 27001 stabilisce requisiti certificabili; ISO/IEC 27002 offre linee guida sui controlli, priva di valore come base autonoma di certificazione.
   3. Entrambe stabiliscono requisiti certificabili distinti e l'organizzazione deve dimostrare conformità sia alla ISO/IEC 27001 sia alla ISO/IEC 27002.
   4. ISO/IEC 27002 costituisce da sola una norma di certificazione, purché l'organizzazione applichi tutti i controlli che vi sono descritti.

7. Principi e concetti fondamentali di audit

   FabriTech, gruppo produttivo multisito, viene sottoposta ad audit dai propri gruppi, da un cliente importante e da un organismo di certificazione. Come sono classificati i tre audit secondo ISO 19011:2026?

   1. L'audit di prima parte è quello svolto da un organismo indipendente di certificazione attraverso il cosiddetto percorso di terza parte.
   2. L'audit di seconda parte è l'audit interno che FabriTech svolge su se stessa con i propri auditor nell'ambito della supervisione del sistema di gestione.
   3. L'audit di prima parte è interno; quello di seconda parte è svolto da un cliente, parte interessata; quello di terza parte da un organismo indipendente.
   4. L'audit di terza parte è quello svolto da un cliente importante presso FabriTech per verificare gli impegni contrattuali, poiché il cliente opera fuori dall'organizzazione.

8. Preparazione di un audit ISO/IEC 27001

   MetroCounty istituisce un programma di audit pluriennale e prepara per ogni sito un documento specifico dell'audit. In che modo differiscono programma e piano di audit?

   1. Programma e piano indicano lo stesso documento, predisposto per descrivere obiettivi, calendario e attività di ogni singolo audit.
   2. Il piano governa tutti gli audit del periodo; il programma è invece una diramazione locale preparata separatamente per ciascun sito.
   3. Il programma governa più audit nel periodo, con obiettivi e risorse comuni; il piano organizza attività e tempi di un singolo incarico.
   4. Il programma raccoglie requisiti e procedure di riferimento, mentre il piano sostituisce i criteri con il calendario delle visite.

9. Principi e concetti fondamentali di un SGSI

   Un'organizzazione vuole poter provare che un evento si sia realmente verificato e che una parte non possa negarne in seguito il verificarsi. Quale proprietà della sicurezza delle informazioni soddisfa questa precisa esigenza, distinta dalla semplice verifica dell'identità dichiarata da un'entità?

   1. L'affidabilità: la proprietà per cui un sistema o processo mantiene nel tempo il comportamento e i risultati previsti.
   2. L'autenticità: la proprietà che garantisce che un'entità sia effettivamente quella di cui dichiara l'identità, senza tuttavia provare che abbia compiuto un determinato atto.
   3. La disponibilità: la proprietà di essere accessibile quando un'entità autorizzata ne ha bisogno, mantenendo i servizi in condizioni operative.
   4. Il non ripudio: la capacità di provare il verificarsi di un evento o di un'azione affinché non possa essere contestato successivamente.

10. Sistema di gestione della sicurezza delle informazioni

    Quale ruolo svolge l'Appendice A di ISO/IEC 27001:2022 nell'approccio del SGSI?

    1. Fornire un insieme di riferimento di controlli di sicurezza allineato a ISO/IEC 27002, richiamato nella clausola 6.1.3 per determinare i controlli necessari.
    2. Imporre tutti i propri controlli come obbligatori a ogni organizzazione che persegua la certificazione.
    3. Servire da catalogo indicativo separato dalla Dichiarazione di applicabilità, lasciando ogni organizzazione libera di costruire l'elenco da altri quadri riconosciuti.
    4. Costituire le clausole di requisiti del SGSI sullo stesso piano del contesto o della leadership.

Risponda alle stesse dieci domande nel simulatore e legga la spiegazione di ogni opzione, anche di quelle errate. Si apre senza registrazione →

Sull'esame ufficiale: formato, durata e numero di domande sono stabiliti dall'organismo di certificazione e possono cambiare; li verifichi nei suoi documenti prima di iscriversi. Questo materiale allena sulla norma, non sull'esame di un organismo specifico, e per questo è utile anche per certificarsi altrove.