Siehe Szenario 4 (FinSecure)
Finsecure ist ein finnisches Finanzinstitut, das Dienstleistungen für einen vielfältigen Kundenstamm anbietet. Das Angebot umfasst Privatkunden-, Firmenkunden-, Vermögensverwaltungs- und Online-Banking-Dienstleistungen, die auf die sich wandelnden finanziellen Bedürfnisse von Privatpersonen und Unternehmen in der Region zugeschnitten sind. Finsecure hat die entscheidende Bedeutung der Informationssicherheit im modernen Bankwesen erkannt und daher die Implementierung eines Informationssicherheits-Managementsystems (ISMS) gemäß ISO/IEC 27001 initiiert. Um die erfolgreiche Implementierung des ISMS zu gewährleisten, beauftragte die Geschäftsleitung zwei Experten mit der Leitung und Überwachung des Projekts.
Als primäre Strategie für die Implementierung des ISMS wählten die Experten einen Ansatz, der eine zügige Einführung durch die Erfüllung der Mindestanforderungen der ISO/IEC 27001 und anschließende kontinuierliche Verbesserung im Vordergrund stellt. Unter der Anleitung von Experten entschied sich FinSecure zudem für ein methodisches Rahmenwerk. Dieses dient als strukturierter Rahmen, der die wichtigsten Phasen der ISMS-Implementierung, die zugehörigen Aktivitäten und die zu erbringenden Leistungen beschreibt, ohne dabei spezifische Tools einzubeziehen.
Die Experten führten eine Risikoanalyse durch und identifizierten alle relevanten Vermögenswerte, die als die greifbarsten galten. Sie bewerteten die potenziellen Folgen und die Eintrittswahrscheinlichkeit verschiedener Risiken und bestimmten deren Schweregrad mithilfe eines methodischen Ansatzes, der die Definition und Charakterisierung der im Bewertungsprozess verwendeten Begriffe und Kriterien umfasste. Diese Risiken wurden in nicht-numerische Kategorien eingeteilt (z. B. sehr niedrig, niedrig, mittel, hoch, sehr hoch). Zur Begründung der ermittelten Werte wurden sorgfältig ausgearbeitete Erläuterungen verfasst, mit dem Hauptziel, die Wiederholbarkeit und Reproduzierbarkeit der Ergebnisse zu verbessern.
Nach Abschluss der Risikoanalyse überprüften die Experten eine Auswahl der Sicherheitsmaßnahmen aus Anhang A der ISO/IEC 27001, um deren Anwendbarkeit auf den spezifischen Kontext des Unternehmens zu ermitteln. Die Entscheidung zur Implementierung von Sicherheitsmaßnahmen wurde durch die Ergebnisse der Risikoanalyse begründet. Auf dieser Grundlage erstellten sie die Anwendbarkeitserklärung (Statement of Applicability, SoA). Sie konzentrierten sich dabei auf die Kategorie mit hohem Risiko, insbesondere auf die unbefugte Nutzung von Administratorrechten und Systemausfälle aufgrund von Hardwarefehlern. Um diese Probleme zu beheben, erstellten sie eine neue Version der Zugriffskontrollrichtlinie, implementierten Kontrollen zur Verwaltung und Steuerung des Benutzerzugriffs und führten eine Kontrolle zur IT-Bereitschaft ein, um die Geschäftskontinuität zu gewährleisten.
In ihrem Risikobewertungsbericht wurde festgestellt, dass die Risiken akzeptiert werden, wenn die implementierten Sicherheitsmaßnahmen die Risikostufen auf ein akzeptables Niveau senken. Frage:
Wurde die Anwendbarkeitserklärung (Statement of Applicability, SoA) von den Experten gemäß ISO/IEC 27001 erstellt?

• A. Nein – weil sie nicht alle Kontrollen aus Anhang A der ISO/IEC 27001 geprüft haben.
• B. Ja – weil sie eine ausgewählte Anzahl der Kontrollen aus Anhang A der ISO/IEC 27001 überprüft haben.
• C. Nein – denn die Leistungsbeschreibung hätte unmittelbar vor Abschluss der Risikobewertung erstellt werden müssen.

Diana arbeitet als Kundenbetreuerin für ein großes E-Commerce-Unternehmen. Eines Tages änderte sie versehentlich die Bestelldaten eines Kunden ohne dessen Zustimmung. Dadurch erhielt der Kunde ein falsches Produkt. Welches Informationssicherheitsprinzip wurde in diesem Fall verletzt?

• A. Vertraulichkeit
• B. Verfügbarkeit
• C. Integrität

NeuroTrustMed ist ein führendes Medizintechnikunternehmen mit Sitz in Seoul, Südkorea. Das Unternehmen ist auf die Entwicklung KI-gestützter Lösungen für die Neurobildgebung spezialisiert, die in der Früherkennung und Behandlungsplanung neurologischer Erkrankungen eingesetzt werden. Als datenintensives Unternehmen, das sensible Patientendaten und medizinische Forschungsdaten verarbeitet, legt NeuroTrustMed großen Wert auf Cybersicherheit und die Einhaltung gesetzlicher Bestimmungen. Das Unternehmen verfügt seit drei Jahren über ein nach ISO/IEC 27001 zertifiziertes Informationssicherheitsmanagementsystem (ISMS). Dieses wird kontinuierlich überprüft und verbessert, um aufkommenden Bedrohungen zu begegnen, Innovationen in der medizinischen Diagnostik zu fördern und das Vertrauen der Stakeholder zu erhalten. Im Rahmen seines Engagements für kontinuierliche Verbesserung verfolgt NeuroTrustMed aktiv potenzielle Abweichungen, führt Ursachenanalysen durch, implementiert Korrektur- und Präventivmaßnahmen und stellt sicher, dass alle Änderungen dokumentiert und mit den strategischen Zielen des Unternehmens abgestimmt werden. Als eine neue Datenschutzverordnung in Kraft trat, die die regionsübergreifende Datenverarbeitung betraf, führte das Informationssicherheitsteam eine Gap-Analyse zwischen den bestehenden Richtlinien und der neuen Verordnung durch. Anschließend wurden die relevanten Dokumentationen und Prozesse aktualisiert, um die Compliance zu gewährleisten. Nach diesen Überarbeitungen aktualisierte NeuroTrustMed die ISMS-Dokumentation und fügte einen neuen Eintrag im Verbesserungsregister hinzu. Das Register, das als strukturierte Tabelle geführt wurde, enthielt eine eindeutige Änderungsnummer, eine Beschreibung der Aktualisierung, eine Prioritätsklassifizierung aufgrund der Einhaltung gesetzlicher Bestimmungen, das Datum des Beginns und des Abschlusses sowie die Freigabe durch den Informationssicherheitsbeauftragten. Etwa zur gleichen Zeit identifizierte das Informationssicherheitsteam im Rahmen einer planmäßigen Managementprüfung ein Muster von Onboarding-Fehlern. Obwohl diese zu keinen Datenschutzverletzungen geführt hatten, stellten sie ein Risiko für unbefugten Zugriff dar. Daraufhin wurde das Onboarding-Verfahren überarbeitet und ein automatisierter Verifizierungsschritt hinzugefügt, um die Genauigkeit vor der Zugriffsgewährung sicherzustellen. Um die Ursache zu ermitteln, sammelte das Team Daten zum Bereitstellungsprozess. Es analysierte Prozessprotokolle, befragte Onboarding-Mitarbeiter und verfolgte Zugriffsfehler zurück zu einem falsch konfigurierten Schritt im Übergabeprozess zwischen Personalabteilung und IT. Das Team validierte diesen Befund anhand von Testfällen, bevor Änderungen implementiert wurden. Nach der Bestätigung dokumentierte das Informationssicherheitsteam die Abweichung im ISMS-Protokoll. Die Dokumentation enthielt eine Beschreibung des Problems, der betroffenen Systeme und Benutzer sowie eine kurze Risikobewertung potenzieller Folgen im Zusammenhang mit der Zugriffsverwaltung. Beantworten Sie anhand des obigen Szenarios die folgende Frage.
Welche Maßnahmen hat NeuroTrustMed im Hinblick auf das identifizierte Muster bei Fehlern im Onboarding-Prozess für Benutzer ergriffen?
Siehe Szenario 9.

• A. Vorbeugende Maßnahmen
• B. Korrekturmaßnahme
• C. Korrektur

Szenario 9:
OpenTech mit Hauptsitz in San Francisco ist auf Lösungen im Bereich Informations- und Kommunikationstechnologie (IKT) spezialisiert. Zu den Kunden zählen vor allem Datenkommunikationsunternehmen und Netzbetreiber. Das Kernziel des Unternehmens besteht darin, seinen Kunden den reibungslosen Übergang zu Multi-Service-Providern zu ermöglichen und ihre Geschäftsprozesse an die komplexen Anforderungen der digitalen Landschaft anzupassen.
Kürzlich führte Tim, der interne Prüfer von OpenTech, ein internes Audit durch, bei dem Abweichungen bei den Überwachungsverfahren und Systemschwachstellen aufgedeckt wurden. Als Reaktion auf diese Abweichungen entschied sich OpenTech für einen umfassenden Problemlösungsansatz, um die Probleme systematisch anzugehen. Diese Methode umfasst einen teamorientierten Ansatz mit dem Ziel, die Ursachen der Probleme zu identifizieren, zu beheben und zu beseitigen. Der Ansatz umfasst mehrere Schritte: Zunächst wird eine Gruppe von Experten mit fundierten Prozess- und Kontrollkenntnissen zusammengestellt. Anschließend wird die Abweichung in messbare Komponenten zerlegt und vorläufige Eindämmungsmaßnahmen implementiert. Anschließend werden mögliche Ursachen identifiziert und dauerhafte Korrekturmaßnahmen ausgewählt und überprüft. Schließlich werden diese Maßnahmen in die Praxis umgesetzt, validiert, Schritte zur Verhinderung eines erneuten Auftretens unternommen und die Bemühungen des Teams anerkannt und gewürdigt.
Nach der Analyse der Ursachen der Abweichungen entwickelte Julia, ISMS-Projektmanagerin bei OpenTech, eine Liste mit möglichen Maßnahmen zur Behebung der festgestellten Abweichungen. Julia prüfte die Liste sorgfältig, um sicherzustellen, dass jede Maßnahme die Ursache der jeweiligen Abweichung effektiv beseitigte. Bei der Bewertung möglicher Korrekturmaßnahmen identifizierte Julia ein Problem als signifikant und schätzte dessen Wiederholungswahrscheinlichkeit als hoch ein. Daher entschied sie sich für die Umsetzung temporärer Korrekturmaßnahmen. Anschließend fasste Julia alle Abweichungen in einem Aktionsplan zusammen und holte die Genehmigung der Geschäftsleitung ein. Der vorgelegte Aktionsplan hatte folgenden Wortlaut:
„Es wird eine neue Version der Zugriffskontrollrichtlinie eingeführt und neue Beschränkungen eingeführt, um sicherzustellen, dass der Netzwerkzugriff von der Abteilung für Informations- und Kommunikationstechnologie (IKT) effektiv verwaltet und überwacht wird.“ Julias eingereichter Aktionsplan wurde jedoch nicht von der Geschäftsleitung genehmigt. Als Grund wurde angegeben, dass ein allgemeiner Aktionsplan, der alle Nichtkonformitäten beheben sollte, als inakzeptabel erachtet wurde. Daher überarbeitete Julia den Aktionsplan und reichte separate Pläne zur Genehmigung ein. Leider hielt sich Julia nicht an die vom Unternehmen vorgegebene Einreichungsfrist, was zu einer Verzögerung des Korrekturmaßnahmenprozesses führte. Darüber hinaus fehlte den überarbeiteten Aktionsplänen ein definierter Zeitplan für die Umsetzung.
Welche Methode hat OpenTech gewählt, um nach der Feststellung der Nichtkonformitäten erneut auftretende Probleme zu beheben und zu verhindern?

• A. Lean Six Sigma-Methode
• B. DMAIC-Methode (Define, Measure, Analyze, Improve, Control)
• C. Die Acht-Disziplinen-Problemlösungsmethode (8Ds)

Szenario 5: Operaze ist ein kleines Softwareentwicklungsunternehmen, das Anwendungen für verschiedene Unternehmen weltweit entwickelt. Kürzlich führte das Unternehmen eine Risikobewertung durch, um die Informationssicherheitsrisiken zu ermitteln, die sich aus dem Betrieb in einer digitalen Landschaft ergeben können. Mithilfe verschiedener Testmethoden, darunter Penetrationstests und Code-Reviews, identifizierte das Unternehmen einige Probleme in seinen IKT-Systemen, darunter fehlerhafte Benutzerberechtigungen, falsch konfigurierte Sicherheitseinstellungen und unsichere Netzwerkkonfigurationen. Um diese Probleme zu beheben und die Informationssicherheit zu erhöhen, entschied sich Operaze für die Implementierung eines Informationssicherheits-Managementsystems (ISMS) nach ISO/IEC 27001.
Da Operaze ein kleines Unternehmen ist, war das gesamte IT-Team an der ISMS-Implementierung beteiligt. Zunächst analysierte das Unternehmen die Geschäftsanforderungen sowie das interne und externe Umfeld, identifizierte die wichtigsten Prozesse und Aktivitäten und identifizierte und analysierte die interessierten Parteien. Darüber hinaus beschloss die Geschäftsleitung von Operaze, die meisten Abteilungen des Unternehmens in den ISMS-Umfang einzubeziehen. Der definierte Umfang umfasste die organisatorischen und physischen Grenzen. Das IT-Team entwarf eine Informationssicherheitsrichtlinie und kommunizierte diese an alle relevanten interessierten Parteien. Darüber hinaus wurden weitere spezifische Richtlinien entwickelt, um Sicherheitsaspekte zu erläutern, und allen interessierten Parteien wurden Rollen und Verantwortlichkeiten zugewiesen.
Anschließend behauptete der Personalleiter, dass der durch das ISMS erzeugte Papierkram dessen Wert nicht rechtfertige und die Implementierung des ISMS abgebrochen werden sollte. Das Topmanagement entschied jedoch, dass diese Behauptung ungültig war und organisierte eine Informationsveranstaltung, um allen interessierten Parteien die Vorteile des ISMS zu erläutern.
Operaze beschloss, seine physischen Server auf virtuelle Server auf einer Drittanbieter-Infrastruktur zu migrieren. Die neue Cloud-Computing-Lösung brachte zusätzliche Veränderungen für das Unternehmen mit sich. Das Top-Management von Operaze hingegen wollte nicht nur ein effektives ISMS implementieren, sondern auch dessen reibungslosen Ablauf sicherstellen. In dieser Situation kam das Top-Management von Operaze zu dem Schluss, dass die Umsetzung der Informationssicherheitsstrategien externe Experten erforderte. Das IT-Team wiederum beschloss, den Umfang des ISMS zu ändern und nahm die erforderlichen Anpassungen an den Unternehmensprozessen vor.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Was hat Operaze dazu bewogen, das ISMS zu implementieren?

• A. Identifizierung von Schwachstellen
• B. Identifizierung von Bedrohungen
• C. Identifizierung von Vermögenswerten