Szenario 7: Webvue, ein japanisches Technologieunternehmen, ist auf die Entwicklung, den Support und die Wartung von Computersoftware spezialisiert. Webvue bietet Lösungen für verschiedene Technologiebereiche und Branchen. Das Flaggschiffprodukt ist CloudWebvue, eine umfassende Cloud-Computing-Plattform mit Speicher-, Netzwerk- und Virtualisierungsdiensten. CloudWebvue ist sowohl für Unternehmen als auch für Privatanwender konzipiert und bekannt für seine Flexibilität, Skalierbarkeit und Zuverlässigkeit.
Webvue hat beschlossen, CloudWebvue ausschließlich in den Geltungsbereich der ISO/IEC 27001-Zertifizierung aufzunehmen. Daher wurden die Audits der Stufen 1 und 2 parallel durchgeführt. Webvue legt großen Wert auf die Vertraulichkeit seiner Assets. Die in CloudWebvue gespeicherten Informationen werden durch geeignete kryptografische Verfahren geschützt. Jede Information, unabhängig von der Klassifizierungsstufe (intern, eingeschränkt oder vertraulich), wird zunächst mit einem eindeutigen Hashwert verschlüsselt und anschließend in der Cloud gespeichert. Das Auditteam bestand aus fünf Personen: Keith, Sean, Layla, Sam und Tina. Keith, der erfahrenste Auditor im IT- und Informationssicherheits-Auditteam, leitete das Auditteam. Zu seinen Aufgaben gehörten die Planung des Audits und die Führung des Teams. Sean und Layla verfügten über Erfahrung in Projektplanung, Geschäftsanalyse und IT-Systemen (Hardware und Anwendungen). Zu ihren Aufgaben gehörte die Auditplanung gemäß den internen Systemen und Prozessen von Webvue. Sam und Tina hingegen, die erst kürzlich ihr Studium abgeschlossen hatten, waren für die Erledigung der täglichen Aufgaben zuständig und entwickelten gleichzeitig ihre Audit-Kompetenzen weiter. Bei der Überprüfung der Konformität mit Kontrollpunkt 8.24 „Verwendung von Kryptografie“ gemäß ISO/IEC 27001 Anhang A durch Interviews mit den zuständigen Mitarbeitern stellte das Audit-Team fest, dass die kryptografischen Schlüssel ursprünglich mithilfe eines Zufallsbitgenerators (RBG) und anderer bewährter Verfahren zur Generierung kryptografischer Schlüssel generiert wurden. Nach Prüfung der Kryptografie-Richtlinie von Webvue kamen sie zu dem Schluss, dass die in den Interviews gewonnenen Informationen korrekt waren. Die kryptografischen Schlüssel werden jedoch weiterhin verwendet, da die Richtlinie die Verwendung und Lebensdauer kryptografischer Schlüssel nicht regelt.
Wie später zwischen Webvue und der Zertifizierungsstelle vereinbart, entschied sich das Audit-Team für ein virtuelles Audit, das sich speziell auf die Überprüfung der Konformität mit Kontrollpunkt 8.11 „Datenmaskierung“ der ISO/IEC 27001 bei Webvue konzentrierte und damit dem Zertifizierungsumfang und den Auditzielen entsprach. Sie untersuchten die Prozesse zum Schutz von Daten in CloudWebvue und legten dabei besonderen Wert darauf, wie das Unternehmen seine Richtlinien und regulatorischen Standards einhielt. Im Rahmen dieses Prozesses fertigte Keith, der Leiter des Audit-Teams, Screenshots relevanter Dokumente und Verfahren zur kryptografischen Schlüsselverwaltung an, um die Effektivität der Praktiken von Webvue zu dokumentieren und zu analysieren.
Webvue verwendet generierte Testdaten für Testzwecke. Wie jedoch sowohl das Gespräch mit dem Leiter der Qualitätssicherungsabteilung als auch die dort angewandten Verfahren ergaben, werden mitunter auch Live-Systemdaten verwendet. In solchen Fällen werden große Datenmengen generiert, was zu präziseren Ergebnissen führt. Die Testdaten sind geschützt und kontrolliert, wie die Simulation des Verschlüsselungsprozesses durch Webvue-Mitarbeiter während des Audits bestätigte. Im Gespräch mit dem Leiter der Qualitätssicherungsabteilung stellte Keith fest, dass Mitarbeiter der Abteilung für Sicherheitsschulungen die korrekten Verfahren nicht einhielten, obwohl diese Abteilung nicht zum Auditumfang gehörte. Trotz des Ausschlusses aus dem Auditumfang hat die Nichteinhaltung der Vorschriften in der Abteilung für Sicherheitsschulungen potenzielle Auswirkungen auf die Prozesse innerhalb des Auditumfangs, insbesondere auf die Datensicherheit und die kryptografischen Praktiken von CloudWebvue. Daher nahm Keith diesen Befund in den Auditbericht auf und informierte den Auditierten entsprechend.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Hat Keith im Rahmen des virtuellen Audits die richtige Entscheidung hinsichtlich der Dokumente von Webvue getroffen?

• A. Nein, da das Kopieren von Screenshots während virtueller Audits überhaupt nicht zulässig ist.
• B. Ja, das Anfertigen von Screenshots von Dokumentenkopien ist ohne vorherige Genehmigung zulässig, sofern die Prüfung nicht protokolliert wird.
• C. Nein, denn er hätte vor dem Anfertigen von Screenshots der Dokumente eine Genehmigung einholen müssen.

Wählen Sie zwei der folgenden Optionen aus, die während eines Zertifizierungsaudits in den Verantwortungsbereich eines rechtlich-technischen Experten im Auditteam fallen.
* Beurteilung der Rechtskenntnisse des Geprüften

• A. Kritik an den Problemen der Organisation hinsichtlich der Einhaltung gesetzlicher Bestimmungen
• B. Überprüfung des Rechtsstatus der Organisation
• C. Erörterung komplexer Rechtsfragen mit dem Geprüften
• D. Beratung zu rechtlichen Prüfpunkten für das Prüfungsteam
• E. Treffen mit dem Rechtsvertreter der Organisation

Sie fragen den IT-Manager, warum die Organisation die mobile App weiterhin nutzt, obwohl die Tests zur Verschlüsselung und Pseudonymisierung personenbezogener Daten fehlgeschlagen sind. Außerdem fragen Sie, ob der Service Manager berechtigt ist, den Test zu genehmigen.
Der IT-Manager erklärt, dass die Testergebnisse gemäß dem Verfahren zur Software-Sicherheitsverwaltung von ihm genehmigt werden müssen. Die Verschlüsselungs- und Pseudonymisierungsfunktionen schlugen fehl, da sie die System- und Serviceleistung erheblich beeinträchtigten. Um dies auszugleichen, werden zusätzliche Ressourcen in Höhe von 150 % benötigt. Der Service-Manager stimmte zu, dass die Zugriffskontrolle ausreichend und akzeptabel sei. Daher unterzeichnete er die Genehmigung.
Sie bereiten die Prüfungsergebnisse vor. Wählen Sie die richtige Option.
Es liegt eine Abweichung vor. Die Organisation und der Entwickler führen keine Abnahmetests durch.
(Bezieht sich auf Klausel 8.1, Kontrolle A.8.29)

• A. Es liegt keine Abweichung vor. Der Serviceleiter trifft die richtige Entscheidung, den Service fortzusetzen.
  (Bezieht sich auf Klausel 8.1, Kontrolle A.8.30)
• B. Es liegt eine Nichtkonformität (NC) vor. Der Service Manager hält sich nicht an das Verfahren zur Verwaltung der Softwaresicherheit. (Betrifft Abschnitt 8.1, Kontrolle A.8.30)
• C. Es liegt eine Nichtkonformität (NC) vor. Die Organisation und der Entwickler führen Sicherheitstests durch, die fehlschlagen.
  (Bezieht sich auf Klausel 8.1, Kontrolle A.8.29)

Szenario 5: Cobt, ein Versicherungsunternehmen in London, bietet verschiedene Gewerbe-, Industrie- und Lebensversicherungslösungen an. In den letzten Jahren ist die Kundenzahl von Cobt enorm gestiegen. Angesichts der großen Datenmengen, die verarbeitet werden müssen, entschied sich das Unternehmen für eine Zertifizierung nach ISO/IEC 27001, da diese viele Vorteile für die Informationssicherheit mit sich bringen und das Engagement für kontinuierliche Verbesserung unterstreichen würde. Obwohl das Unternehmen bereits Erfahrung mit der Durchführung regelmäßiger Risikobewertungen hatte, führte die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) zu grundlegenden Veränderungen im Tagesgeschäft. Im Rahmen der Risikobewertung wurde ein Risiko identifiziert, bei dem erhebliche Mängel auftraten, ohne von den internen Kontrollmechanismen des Unternehmens erkannt oder verhindert zu werden.
Das Unternehmen befolgte eine Methodik zur Implementierung des ISMS und hatte bereits nach wenigen Monaten ein betriebsbereites ISMS eingerichtet. Nach erfolgreicher Implementierung des ISMS beantragte Cobt die ISO/IEC 27001-Zertifizierung. Sarah, eine erfahrene Auditorin, wurde mit dem Audit beauftragt. Nach gründlicher Analyse des Auditangebots übernahm Sarah die Verantwortung als Audit-Teamleiterin und begann umgehend, allgemeine Informationen über Cobt einzuholen. Sie legte die Auditkriterien und -ziele fest, plante das Audit und wies den Mitgliedern des Audit-Teams die Aufgaben zu.
Sarah räumte ein, dass Cobt zwar durch das Angebot vielfältiger Lösungen für Unternehmen und Versicherungen deutlich expandiert hat, aber weiterhin auf einige manuelle Prozesse angewiesen ist. Daher konzentrierte sie sich zunächst darauf, Informationen darüber zu sammeln, wie das Unternehmen seine Informationssicherheitsrisiken managt. Sarah kontaktierte die Vertreter von Cobt, um Zugang zu den Informationen zum Risikomanagement für die ursprünglich vereinbarte externe Prüfung zu erhalten. Cobt lehnte dies jedoch ab und argumentierte, die Informationen seien zu sensibel für den Zugriff außerhalb des Unternehmens. Diese Ablehnung weckte Bedenken hinsichtlich der Durchführbarkeit der Prüfung, insbesondere im Hinblick auf die Verfügbarkeit und Kooperation des Geprüften sowie den Zugang zu den erforderlichen Nachweisen. Darüber hinaus beanstandete Cobt den Prüfungsplan, da dieser die jüngsten Änderungen im Unternehmen nicht ausreichend widerspiegele. Die geplanten Maßnahmen bezögen sich lediglich auf den ursprünglichen Prüfungsumfang und umfassten nicht die jüngsten Änderungen. Sarah bewertete zudem die Wesentlichkeit der Situation unter Berücksichtigung der Bedeutung der verweigerten Informationen für die Prüfungsziele. Die Ablehnung durch Cobt warf somit Fragen hinsichtlich der Vollständigkeit der Prüfung und ihrer Fähigkeit auf, eine angemessene Sicherheit zu gewährleisten. Nach diesen Vorkommnissen beschloss Sarah, vor Unterzeichnung des Zertifizierungsvertrags vom Audit zurückzutreten und teilte Cobt sowie der Zertifizierungsstelle ihre Entscheidung mit. Diese Entscheidung traf sie, um die Einhaltung der Auditgrundsätze zu gewährleisten und Transparenz zu wahren. Sie unterstreicht damit ihr Engagement für die konsequente Wahrung dieser Grundsätze.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Basierend auf Szenario 5 beschloss Sarah, vor Unterzeichnung einer Zertifizierungsvereinbarung vom Audit zurückzutreten. Ist dies akzeptabel?

• A. Nein, die Zertifizierungsvereinbarung ist direkt an die Anwesenheit des Auditors gebunden.
• B. Ja, Sarah kann sich von dem Audit zurückziehen, jedoch nur, wenn die Zertifizierungsstelle ihrem Rückzug zustimmt.
• C. Ja, es besteht kein Zusammenhang zwischen Sarahs Rücktritt vom Audit und der Zertifizierungsvereinbarung.