ISO/IEC 27001 Lead Implementer

Dieci domande di esempio tratte dall'esame

Una per area di competenza, esattamente come nel simulatore.

1. D1 Principi e concetti fondamentali di un SGSI

   Nella classificazione funzionale che distingue documenti prescrittivi e registrazioni di evidenza, come vanno classificati una procedura di audit e i rapporti di audit che essa genera?

   1. La procedura di audit è un documento e i rapporti che genera sono registrazioni
   2. La procedura di audit è una registrazione e i rapporti di audit sono documenti che la supportano
   3. Sono entrambi registrazioni, perché entrambi sono prodotti dal processo di audit
   4. Sono entrambi documenti procedurali prescrittivi che definiscono come deve essere svolto l'audit

2. D2 Requisiti di un SGSI

   Un'organizzazione adotta un'architettura di sicurezza orientata ai servizi per offrire protezioni coerenti a più applicazioni e processi. Quale elemento ne costituisce il nucleo?

   1. Una gerarchia di politiche e procedure approvate, usata per disciplinare il comportamento del personale
   2. Un inventario degli asset informativi e una matrice che assegna un titolare a ciascun asset
   3. Un programma di penetration test e scansioni delle vulnerabilità per tutti i sistemi in produzione
   4. Un insieme di capacità condivise, riutilizzabili da processi, sistemi e applicazioni

3. D3 Pianificazione dell'implementazione di un SGSI

   Durante la pianificazione di un SGSI, un consulente afferma che, per ottenere la certificazione, occorre adottare ogni buona pratica contenuta nelle linee guida ISO utilizzate dalla metodologia. Come va valutata questa affermazione?

   1. È errata, perché una buona pratica è una raccomandazione ampiamente condivisa, non un requisito vincolante di certificazione
   2. È corretta, perché le buone pratiche delle linee guida ISO diventano requisiti obbligatori non appena l'organizzazione decide di ottenere la certificazione
   3. È corretta, perché le buone pratiche sono generalmente riconosciute dagli specialisti e sono quindi vincolanti per ogni organizzazione che applica la metodologia
   4. È errata soltanto per le piccole organizzazioni, che possono omettere le buone pratiche superiori alle proprie risorse

4. D4 Implementazione di un SGSI

   Un implementatore sta definendo l'intestazione del modello dei documenti del SGSI. Quale coppia di scelte è corretta?

   1. Indicare autore e organo approvante con il nome delle persone interessate e usare il formato GG/MM/AA per ogni data nel documento e nel nome del file
   2. Indicare autore e organo approvante per ruolo. Usare il formato YYYY-MM-DD nelle date affinché i file siano ordinati cronologicamente e facilmente reperibili
   3. Omettere qualsiasi attribuzione di paternità e datare ogni versione con il numero di giorni trascorsi dall'istituzione del SGSI
   4. Indicare soltanto il consulente esterno che ha riesaminato il documento e datarlo con il numero della settimana dell'anno

5. D5 Monitoraggio e misurazione di un SGSI

   Come viene definita una non conformità?

   1. Un'interruzione temporanea dei servizi causata da attività di manutenzione pianificate e comunicate in anticipo agli utenti
   2. Il mancato soddisfacimento di un requisito proveniente da una delle fonti pertinenti all'organizzazione
   3. La mancata comunicazione efficace con le parti interessate riguardo alla sicurezza delle informazioni affidate all'organizzazione
   4. Qualsiasi deviazione da una buona pratica che l'organizzazione sottoposta ad audit rifiuti di accettare durante la riunione di chiusura di un audit interno o di certificazione

6. D6 Miglioramento continuo di un SGSI

   Durante il riesame del SGSI, un'impresa logistica valuta cambiamenti del contesto, della tecnologia e dell'organizzazione che potrebbero modificare rischi o requisiti. Quale elemento, considerato isolatamente, NON segnala un cambiamento pertinente al SGSI?

   1. L'introduzione di una piattaforma cloud e la migrazione dei dati dei clienti verso il nuovo servizio
   2. L'entrata in vigore di obblighi contrattuali e requisiti di sicurezza imposti da un cliente strategico
   3. La scelta dei colori per la vetrina stagionale di un punto vendita che non tratta informazioni del SGSI
   4. Una riorganizzazione che trasferisce responsabilità e controlli a una nuova unità aziendale

7. D7 Preparazione all'audit di certificazione

   Un organismo nazionale accredita gli organismi di certificazione operanti nel proprio Paese e deve dimostrare competenza e affidabilità nell'erogazione dei servizi di accreditamento. A quale norma deve conformarsi?

   1. ISO/IEC 17021-1:2015, perché disciplina gli organismi che svolgono audit e certificazione dei sistemi di gestione
   2. ISO/IEC 17065, perché si applica agli organismi che certificano prodotti, processi e servizi offerti al pubblico
   3. ISO/IEC 17011, perché stabilisce i requisiti generali per gli organismi che valutano e accreditano gli organismi di certificazione
   4. ISO/IEC 17024, perché si applica alla certificazione delle persone rispetto a uno schema di certificazione definito

8. D1 Principi e concetti fondamentali di un SGSI

   Un'organizzazione vuole sapere esattamente che cosa deve fare per dichiarare la conformità a una norma sui sistemi di gestione della sicurezza delle informazioni. Quale affermazione descrive correttamente ciò che offre ISO/IEC 27001?

   1. Specifica i requisiti vincolanti per istituire, attuare, mantenere e migliorare continuamente un SGSI
   2. Fornisce una panoramica del SGSI e i termini e le definizioni utilizzati nell'intera famiglia di norme
   3. Fornisce un insieme di riferimento di controlli generici corredati da linee guida per l'attuazione
   4. Fornisce linee guida per la gestione del rischio per la sicurezza delle informazioni in qualsiasi organizzazione

9. D2 Requisiti di un SGSI

   Perché è importante che i dipendenti con rilevanti responsabilità per la sicurezza delle informazioni partecipino alla redazione, al riesame e alla convalida delle procedure e delle politiche di sicurezza delle informazioni?

   1. Perché ISO/IEC 27001 richiede esplicitamente che i dipendenti redigano e approvino le informazioni documentate del sistema di gestione
   2. Perché ciò li motiva a contribuire all'attuazione dei controlli
   3. Perché consente di risparmiare tempo e risorse riducendo il numero di cicli di riesame dei documenti
   4. Perché trasferisce la titolarità del rischio residuo dal titolare del rischio alle persone che hanno autorizzato la procedura

10. D3 Pianificazione dell'implementazione di un SGSI

    In che cosa differiscono le definizioni di politica e linea guida?

    1. Una politica è un'informazione non obbligatoria che conduce a una soluzione conforme, mentre una linea guida esprime le intenzioni e l'orientamento di un'organizzazione
    2. Una politica è un tipo di linea guida che fornisce indicazioni su più argomenti ed entrambe sono parimenti facoltative per l'organizzazione
    3. I due termini sono intercambiabili nella documentazione del SGSI, poiché entrambi descrivono semplicemente come svolgere un'attività
    4. La politica stabilisce regole vincolanti dell'organizzazione; la linea guida indica un percorso raccomandato per applicarle, senza introdurre un obbligo equivalente

Risponda alle stesse dieci domande nel simulatore e legga la spiegazione di ogni opzione, anche di quelle errate. Si apre senza registrazione →

Sull'esame ufficiale: formato, durata e numero di domande sono stabiliti dall'organismo di certificazione e possono cambiare; li verifichi nei suoi documenti prima di iscriversi. Questo materiale allena sulla norma, non sull'esame di un organismo specifico, e per questo è utile anche per certificarsi altrove.