Wenn eine Organisation die für das interne Auditprogramm erforderlichen Ressourcen bestimmen muss, welches der folgenden Probleme hat keine Auswirkungen auf das Erreichen der beabsichtigten Ergebnisse?

• A. Auswirkungen unterschiedlicher Zeitzonen.
• B. Verfügbarkeit kompetenter Prüfer und technischer Experten.
• C. Zugriff des Auditprogrammmanagers auf die Kompetenzaufzeichnungen des Managers des Informationssicherheits-Managementsystems.
• D. Verfügbarkeit der notwendigen dokumentierten Informationen.

Szenario 5
CyberShielding Systems Inc. bietet Sicherheitsdienstleistungen für die gesamte IT-Infrastruktur. Das Unternehmen stellt Cybersicherheitssoftware bereit, darunter Endpoint-Sicherheit, Firewalls und Antivirensoftware. Seit zwei Jahrzehnten unterstützt CyberShielding Systems Inc. diverse Unternehmen bei der Absicherung ihrer Netzwerke mit fortschrittlichen Produkten und Dienstleistungen. Aufgrund seines guten Rufs im Bereich Informations- und Netzwerksicherheit entschied sich CyberShielding Systems Inc. für die Implementierung eines Sicherheitsinformationsmanagementsystems (ISMS) gemäß ISO/IEC 27001 und die Zertifizierung, um die eigenen und die Kundendaten noch besser zu schützen und sich Wettbewerbsvorteile zu sichern.
Die Zertifizierungsstelle leitete den Prozess ein, indem sie das Auditteam für die ISO-Zertifizierung von CyberShielding Systems Inc. auswählte.
Die Zertifizierungsstelle hatte dem Unternehmen die Namen und Hintergrundinformationen aller Auditoren mitgeteilt. Bei der Überprüfung stellte CyberShielding Systems Inc. jedoch fest, dass einer der Auditoren nicht über die erforderliche Sicherheitsfreigabe verfügte. Daraufhin erhob das Unternehmen Einspruch gegen die Bestellung dieses Auditors. Die Zertifizierungsstelle reagierte auf den Einspruch von CyberShielding Systems Inc. und ersetzte den Auditor.
Im Rahmen des Auditprozesses wurde der Ansatz von CyberShielding Systems Inc. zur Risiko- und Chancenermittlung als eigenständige Aktivität bewertet. Dies umfasste die Prüfung der Methoden des Unternehmens zur Identifizierung und zum Management von Risiken und Chancen. Zu den Kernzielen des Auditteams gehörte die Sicherstellung der Wirksamkeit der Mechanismen von CyberShielding Systems Inc. zur Risiko- und Chancenidentifizierung sowie die Überprüfung der Strategien des Unternehmens zur Bewältigung dieser ermittelten Risiken und Chancen. Dabei identifizierte das Auditteam auch ein Risiko aufgrund mangelnder Aufsicht im Überprüfungsprozess der Firewall-Konfiguration. Änderungen wurden ohne ordnungsgemäße Genehmigung implementiert, wodurch das Unternehmen potenziell Sicherheitslücken ausgesetzt war. Dieser Befund unterstrich die Notwendigkeit stärkerer interner Kontrollen, um solche Probleme zu vermeiden.
Das Auditteam verschaffte sich Zugang zu Prozessbeschreibungen und Organigrammen, um die wichtigsten Geschäftsprozesse und Kontrollen zu verstehen. Aufgrund von Einschränkungen durch Drittanbieter konnte das Team die IT-Risiken und -Kontrollen nur begrenzt analysieren. Dennoch stellte das Auditteam fest, dass das Risiko eines schwerwiegenden Fehlers im ISMS von CyberShielding gering sei, da die meisten Unternehmensprozesse automatisiert seien. Daher beurteilte das Team die Konformität des ISMS insgesamt mit den Standardanforderungen, indem es Vertreter von CyberShielding zu IT-Verantwortlichkeiten, Wirksamkeit der Kontrollen und Maßnahmen gegen Malware befragte. Die Vertreter von CyberShielding legten ausreichende und geeignete Nachweise vor, um alle Fragen zu beantworten.
Trotz der vor dem Audit unterzeichneten Vereinbarung, in der Umfang, Kriterien und Ziele des Audits festgelegt waren, konzentrierte sich das Audit in erster Linie auf die Beurteilung der Übereinstimmung mit den festgelegten Kriterien und die Sicherstellung der Einhaltung gesetzlicher und behördlicher Vorgaben.
Frage
Welches Prüfungsrisiko hat das Prüfungsteam identifiziert? Siehe Szenario 5.

• A. Entdeckungsrisiko
• B. Inhärentes Risiko
• C. Kontrollrisiko

Welches ist ein Beispiel für einen qualitativen Beweis?

• A. Ein Interview mit dem Informationssicherheitspersonal, um zu überprüfen, ob der Informationssicherheitsprozess den Standardanforderungen entspricht
• B. Die dokumentierten Ergebnisse eines Intrusion-Detection-Tests durch einen Informationssicherheitsexperten einer externen Organisation
• C. Eine definierte Stichprobenanalyse von Nichtkonformitätsberichten, die von der geprüften Organisation zum Zeitpunkt der Implementierung ihres ISMS erstellt wurden

Welche zwei der folgenden Aussagen sind wahr?

• A. Der Auditplan beschreibt die Aktivitäten und Vorkehrungen für ein Audit.
• B. Das Auditprogramm beschreibt die Vereinbarungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind.
• C. Der Auditplan beschreibt die Vereinbarungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant sind und auf einen bestimmten Zweck ausgerichtet sind.
• D. Das Auditprogramm beschreibt die Aktivitäten und Vorkehrungen für ein Audit.
• E. Sobald der Auditplan vereinbart ist, ist er festgelegt und kann während der Durchführung des Audits nicht geändert werden.
• F. Die Verantwortung für die Verwaltung des Auditprogramms liegt beim Leiter des Auditteams.

Frage:
Drei Auditoren wurden mit der Durchführung eines Zertifizierungsaudits bei Unternehmen X beauftragt. Vor Beginn des Audits übermittelte die Zertifizierungsstelle Unternehmen X die Namen und Hintergrundinformationen der Auditoren. Unternehmen X beantragte die Ersetzung eines der Auditoren, da dieser ein ehemaliger Mitarbeiter ist. Ist dies zulässig?

• A. Nein, der Geprüfte kann keinen Wechsel des Prüfers beantragen.
• B. Nein, der Geprüfte kann die Ablösung des Prüfers nur dann beantragen, wenn ein triftiger Grund vorliegt, wie beispielsweise unprofessionelles Verhalten oder ein tatsächlicher Interessenkonflikt.
• C. Ein Interessenkonflikt ist ein triftiger Grund, die Ablösung des Abschlussprüfers zu beantragen.