BioLooVitalis ist ein biopharmazeutisches Unternehmen mit Hauptsitz in Singapur, das für seine Pionierarbeit im Bereich der Humantherapie bekannt ist. BioLooVitalis legt großen Wert auf die Behandlung kritischer Gesundheitsprobleme, insbesondere in den Bereichen Herz-Kreislauf-Erkrankungen, Onkologie, Knochengesundheit und Entzündungen. BioLooVitalis hat sein Engagement für Datensicherheit und -integrität durch die Aufrechterhaltung eines effektiven Informationssicherheitsmanagementsystems (ISMS) gemäß ISO/IEC 77001 in den letzten zwei Jahren unter Beweis gestellt. Nachdem über mehrere Wochen ein Anstieg fehlgeschlagener Anmeldeversuche festgestellt wurde, überprüfte das IT-Sicherheitsteam von BioLooVitalis die Protokolldaten, korrelierte sie mit Nutzerverhaltensmustern und ordnete sie bekannten Angriffsvektoren zu, um mögliche Ursachen zu ermitteln. Basierend auf ihren Erkenntnissen erstellten sie einen technischen Bericht, der die Art der Anomalien detailliert beschrieb, und reichten ihn bei der Compliance-Abteilung ein. Das Compliance-Team fasste die Ergebnisse zusammen und präsentierte sie der Geschäftsleitung im Rahmen der vierteljährlichen ISMS-Leistungsüberprüfung. Ziel war es, das Systemverhalten nach dem Anstieg der fehlgeschlagenen Anmeldeversuche proaktiv zu überwachen. Das IT-Sicherheitsteam von BioLooVitalis konfigurierte ein Dashboard, das Anmeldeaktivitäten in Echtzeit, Systemreaktionszeiten und die Verfügbarkeit von Endpunkten abteilungsübergreifend anzeigte. Dies half dem Team, ungewöhnliches Verhalten schnell zu erkennen, ohne auf formale Meldeverfahren warten zu müssen.
Nach der Implementierung des Echtzeit-Zugriffskontroll-Dashboards prüfte das interne Revisionsteam von BioLooVitalis, ob die neuen Prozesse und Tools unautorisierte Zugriffsversuche effektiv reduzierten und sowohl die technischen als auch die Richtlinienanforderungen erfüllten. Abschließend sammelten die internen Revisoren systemgenerierte Zugriffsprotokolle, überprüften Benutzerzugriffsberichte und führten Interviews mit IT-Mitarbeitern. Diese Datenquellen halfen ihnen zu verifizieren, ob die neuen Kontrollen wie vorgesehen funktionierten und mit den internen ISMS-Zielen übereinstimmten.
Beantworten Sie anhand des obigen Szenarios die folgende Frage.
Welcher Prozess wird veranschaulicht, nachdem über mehrere Wochen hinweg eine Zunahme fehlgeschlagener Anmeldeversuche festgestellt wurde?

• A. Überwachung
• B. Analyse
• C. Auswertung

NeuroTrustMed ist ein führendes Medizintechnikunternehmen mit Sitz in Seoul, Südkorea. Das Unternehmen ist auf die Entwicklung KI-gestützter Lösungen für die Neurobildgebung spezialisiert, die in der Früherkennung und Behandlungsplanung neurologischer Erkrankungen eingesetzt werden. Als datenintensives Unternehmen, das sensible Patientendaten und medizinische Forschungsdaten verarbeitet, legt NeuroTrustMed großen Wert auf Cybersicherheit und die Einhaltung gesetzlicher Bestimmungen. Das Unternehmen verfügt seit drei Jahren über ein nach ISO/IEC 27001 zertifiziertes Informationssicherheitsmanagementsystem (ISMS). Dieses wird kontinuierlich überprüft und verbessert, um aufkommenden Bedrohungen zu begegnen, Innovationen in der medizinischen Diagnostik zu fördern und das Vertrauen der Stakeholder zu erhalten. Im Rahmen seines Engagements für kontinuierliche Verbesserung verfolgt NeuroTrustMed aktiv potenzielle Abweichungen, führt Ursachenanalysen durch, implementiert Korrektur- und Präventivmaßnahmen und stellt sicher, dass alle Änderungen dokumentiert und mit den strategischen Zielen des Unternehmens abgestimmt werden. Als eine neue Datenschutzverordnung in Kraft trat, die die regionsübergreifende Datenverarbeitung betraf, führte das Informationssicherheitsteam eine Gap-Analyse zwischen den bestehenden Richtlinien und der neuen Verordnung durch. Anschließend wurden die relevanten Dokumentationen und Prozesse aktualisiert, um die Compliance zu gewährleisten. Nach diesen Überarbeitungen aktualisierte NeuroTrustMed die ISMS-Dokumentation und fügte einen neuen Eintrag im Verbesserungsregister hinzu. Das Register, das als strukturierte Tabelle geführt wurde, enthielt eine eindeutige Änderungsnummer, eine Beschreibung der Aktualisierung, eine Prioritätsklassifizierung aufgrund der Einhaltung gesetzlicher Bestimmungen, das Datum des Beginns und des Abschlusses sowie die Freigabe durch den Informationssicherheitsbeauftragten. Etwa zur gleichen Zeit identifizierte das Informationssicherheitsteam im Rahmen einer planmäßigen Managementprüfung ein Muster von Onboarding-Fehlern. Obwohl diese zu keinen Datenschutzverletzungen geführt hatten, stellten sie ein Risiko für unbefugten Zugriff dar. Daraufhin wurde das Onboarding-Verfahren überarbeitet und ein automatisierter Verifizierungsschritt hinzugefügt, um die Genauigkeit vor der Zugriffsgewährung sicherzustellen. Um die Ursache zu ermitteln, sammelte das Team Daten zum Bereitstellungsprozess. Es analysierte Prozessprotokolle, befragte Onboarding-Mitarbeiter und verfolgte Zugriffsfehler zurück zu einem falsch konfigurierten Schritt im Übergabeprozess zwischen Personalabteilung und IT. Das Team validierte diesen Befund anhand von Testfällen, bevor Änderungen implementiert wurden. Nach der Bestätigung dokumentierte das Informationssicherheitsteam die Abweichung im ISMS-Protokoll. Die Dokumentation enthielt eine Beschreibung des Problems, der betroffenen Systeme und Benutzer sowie eine kurze Risikobewertung potenzieller Folgen im Zusammenhang mit der Zugriffsverwaltung. Beantworten Sie anhand des obigen Szenarios die folgende Frage.
Beziehen Sie sich auf Szenario 10: Ist die Zusammensetzung des Zertifizierungsentscheidungsausschusses akzeptabel?

• A. Nein, der Ausschuss hätte ausschließlich Mitglieder des Prüfungsteams und keine anderen Experten umfassen dürfen, die nicht Teil der Prüfung waren.
• B. Ja, da die Personen, die die Entscheidung über die Zertifizierung treffen, nicht mit denjenigen identisch sind, die das Audit durchgeführt haben.
• C. Nein, der Ausschuss muss ein Mitglied des Auditteams und weitere Personen, die für die Zertifizierungsstelle arbeiten, umfassen.

Szenario 5: OperazelT ist ein Softwareentwicklungsunternehmen, das Anwendungen für verschiedene Unternehmen weltweit entwickelt. Vor Kurzem führte das Unternehmen als Reaktion auf die sich entwickelnde digitale Landschaft und die neuen Herausforderungen im Bereich der Informationssicherheit eine Risikobewertung durch. Durch strenge Testverfahren wie Penetrationstests und Code-Reviews identifizierte das Unternehmen Probleme in seinen IT-Systemen, darunter unzulässige Benutzerberechtigungen, falsch konfigurierte Sicherheitseinstellungen und unsichere Netzwerkkonfigurationen. Um diese Probleme zu beheben und die Informationssicherheit zu verbessern, implementierte OperazelT ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001.
In Zusammenarbeit mit dem Implementierungsteam bewertete OperazelT seine Geschäftsanforderungen sowie sein internes und externes Umfeld gründlich, identifizierte seine wichtigsten Prozesse und Aktivitäten und identifizierte und analysierte die interessierten Parteien, um den vorläufigen Umfang des ISMS festzulegen. Anschließend führte das Implementierungsteam eine umfassende Überprüfung der Funktionseinheiten des Unternehmens durch und entschied sich dafür, die meisten Abteilungen des Unternehmens in den ISMS-Umfang einzubeziehen. Darüber hinaus beschloss das Team, interne und externe physische Standorte, sowohl externe als auch interne Aspekte gemäß Abschnitt 4.1, die Anforderungen in Abschnitt 4.2 sowie die Schnittstellen und Abhängigkeiten zwischen den vom Unternehmen durchgeführten Aktivitäten einzubeziehen. Der IT-Manager spielte eine zentrale Rolle bei der Genehmigung des endgültigen Umfangs, was OperazelTs Engagement für Informationssicherheit widerspiegelt.
Das Informationssicherheitsteam von OperazelT entwickelte eine umfassende Informationssicherheitsrichtlinie, die auf die strategische Ausrichtung und die rechtlichen Anforderungen des Unternehmens abgestimmt war und auf den Ergebnissen der Risikobewertung und den Geschäftsstrategien basierte. Diese Richtlinie wurde zusammen mit spezifischen Richtlinien, die Sicherheitsaspekte detailliert beschreiben und Rollen und Verantwortlichkeiten zuweisen, intern kommuniziert und extern weitergegeben. Die Ausarbeitung, Überprüfung und Genehmigung dieser Richtlinien erfolgte unter aktiver Beteiligung des oberen Managements, wodurch ein robuster Rahmen für den Informationsschutz aller Beteiligten gewährleistet wurde.
Im Zuge der Weiterentwicklung von OperazelT begann das Unternehmen mit der Umsetzung der Richtlinien. Dabei wurde ein detaillierter Plan entwickelt, der Sicherheitsdefinitionen, Rollenzuweisungen und Schulungen umfasste. Abschließend wurde die Phase der Richtlinienüberwachung und -pflege durchgeführt. Dabei wurden Überwachungsmechanismen eingerichtet, um sicherzustellen, dass die Informationssicherheitsrichtlinien des Unternehmens eingehalten werden und alle Mitarbeiter die Anforderungen erfüllen.
Um sein Informationssicherheitskonzept weiter zu stärken, leitete OperazelT im Rahmen der ISMS-Implementierung eine umfassende Lückenanalyse ein. Anstatt sich ausschließlich auf interne Bewertungen zu verlassen, entschied sich OperazelT, externe Berater zur Bewertung des ISMS-Zustands hinzuzuziehen. Die Zusammenarbeit mit externen Beratern brachte neue Perspektiven und wertvolle Erkenntnisse in die Lückenanalyse ein und ermöglichte es OperazelT, Schwachstellen und Verbesserungspotenziale objektiver zu identifizieren. Schließlich richtete OperazelT ein Komitee ein, dessen Aufgabe es ist, den ordnungsgemäßen Betrieb des ISMS sicherzustellen, den Risikobewertungsprozess des Unternehmens zu überwachen, Probleme der Informationssicherheit zu bewältigen, Lösungen für Abweichungen zu empfehlen und die Umsetzung von Korrekturen und Abhilfemaßnahmen zu überwachen.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Welches Komitee hat OperazelT eingerichtet, um den ordnungsgemäßen Betrieb des ISMS zu gewährleisten?

• A. Verwaltungsausschuss
• B. Informationssicherheitsausschuss
• C. Betriebsausschuss

Szenario 2:
Beauty ist ein etabliertes Kosmetikunternehmen in der Schönheitsbranche. Das Unternehmen wurde vor mehreren Jahrzehnten mit der Leidenschaft gegründet, hochwertige Hautpflege-, Make-up- und Körperpflegeprodukte zu entwickeln, die die natürliche Schönheit unterstreichen. Im Laufe der Jahre hat sich Beauty einen hervorragenden Ruf für sein innovatives Produktangebot, sein Engagement für Kundenzufriedenheit und sein Engagement für ethische und nachhaltige Geschäftspraktiken erarbeitet.
Als Reaktion auf die sich rasant verändernden Einkaufsgewohnheiten der Verbraucher vollzog Beauty den Übergang vom traditionellen Einzelhandel zum E-Commerce-Modell. Um diese Strategie umzusetzen, führte Beauty eine umfassende Risikobewertung der Informationssicherheit durch und analysierte potenzielle Bedrohungen und Schwachstellen des neuen E-Commerce-Projekts, abgestimmt auf seine Geschäftsstrategie und -ziele.
Um die identifizierten Risiken zu minimieren, implementierte das Unternehmen verschiedene Sicherheitsmaßnahmen. Alle Mitarbeiter mussten Vertraulichkeitsvereinbarungen unterzeichnen, um die Bedeutung des Schutzes sensibler Kundendaten zu unterstreichen. Das Unternehmen überprüfte die Benutzerzugriffsrechte sorgfältig und stellte sicher, dass nur autorisiertes Personal Zugriff auf vertrauliche Informationen hatte. Da das Unternehmen wertvolle Produkte und einzigartige Formeln im Lager lagert, installierte es außerdem Alarmsysteme und Überwachungskameras mit Echtzeit-Warnmeldungen, um möglichen Vandalismus zu verhindern.
Nach einiger Zeit analysierte das IT-Sicherheitsteam die Prüfprotokolle, um die Aktivitäten der neu implementierten Sicherheitskontrollen zu überwachen und zu verfolgen. Bei der Untersuchung und Analyse der Prüfprotokolle stellte sich heraus, dass sich ein Angreifer über veraltete Anti-Malware-Software Zugriff auf das System verschafft hatte und vertrauliche Kundendaten wie Namen und Adressen offengelegt hatte. Daraufhin ersetzte das IT-Team die Anti-Malware-Software durch eine neue, die Schadcode bei ähnlichen Vorfällen automatisch entfernen kann. Die neue Software wurde auf allen Arbeitsstationen installiert und regelmäßig mit den neuesten Malware-Definitionen aktualisiert, wobei eine automatische Update-Funktion aktiviert war. Für den Zugriff auf vertrauliche Informationen wurde außerdem ein Authentifizierungsprozess implementiert, der eine Benutzerkennung und ein Kennwort erfordert.
Während der Untersuchung stellte Maya, die Informationssicherheitsmanagerin von Beauty, fest, dass die Verantwortlichkeiten für die Informationssicherheit in den Stellenbeschreibungen nicht klar definiert waren. Das Unternehmen ergriff daraufhin umgehend Maßnahmen. Angesichts der globalen Reichweite seiner E-Commerce-Aktivitäten recherchierte Beauty sorgfältig und hielt sich an die gesetzlichen, behördlichen und vertraglichen Anforderungen der Branche. Dabei wurden internationale und lokale Vorschriften berücksichtigt, darunter Datenschutzgesetze, Verbraucherschutzgesetze und globale Handelsabkommen.
Um diese Anforderungen zu erfüllen, investierte Beauty in Rechtsberater und Compliance-Experten, die die Einhaltung der gesetzlichen Standards in allen Märkten, in denen das Unternehmen tätig war, kontinuierlich überwachten und sicherstellten. Darüber hinaus führte Beauty mehrere Schulungen zur Sensibilisierung des IT-Teams und anderer Mitarbeiter mit Zugriff auf vertrauliche Informationen zum Thema Informationssicherheit durch und betonte dabei die Bedeutung der System- und Netzwerksicherheit.
Welche Art von Kontrollen hat Beauty basierend auf Szenario 2 während der Untersuchung des Vorfalls angewendet?

• A. Präventive Kontrollen
• B. Korrekturkontrollen
• C. Detektivsteuerung