Die folgenden sind Zwecke der Informationssicherheit, mit Ausnahme von:

• A. Maximierung der Kapitalrendite
• B. Erhöhung des Geschäftsvermögens
• C. Minimieren Sie das Geschäftsrisiko
• D. Geschäftskontinuität sicherstellen

Szenario 8: Tessa, Malik und Michael bilden ein unabhängiges und qualifiziertes Audit-Team mit Experten für Sicherheit, Compliance sowie Geschäftsplanung und -strategien. Sie wurden mit der Durchführung eines Zertifizierungsaudits bei Clastus, einem großen Webdesign-Unternehmen, beauftragt. In der Vergangenheit haben sie bei Audits stets hervorragende Arbeitsmoral bewiesen, insbesondere Unparteilichkeit und Objektivität. Clastus ist überzeugt, dass eine Zertifizierung nach ISO/IEC 27001 ihnen einen Wettbewerbsvorteil verschaffen wird.
Tessa, die Leiterin des Prüfungsteams, verfügt über umfassende Expertise im Bereich der Wirtschaftsprüfung und langjährige Erfahrung in IT-bezogenen Themen, Compliance und Governance. Malik hat Erfahrung in Organisationsplanung und Risikomanagement. Seine Expertise beruht auf der Synthese und Analyse der Sicherheitskontrollen und der Risikotoleranz einer Organisation, um das Risikoniveau innerhalb einer Organisation präzise zu charakterisieren. Michael hingegen ist Experte für die praktische Bewertung der Sicherheit von Kontrollen mithilfe strenger, standardisierter Programme.
Nach Abschluss der erforderlichen Prüfungsaktivitäten leitete Tessa eine Sitzung des Prüfungsteams ein. Dieses analysierte einen von Michaels Feststellungen, um die Angelegenheit objektiv und präzise zu klären. Michael hatte eine geringfügige Abweichung im täglichen Betriebsablauf festgestellt, die seiner Ansicht nach von einem der IT-Techniker des Unternehmens verursacht worden war. Daraufhin sprach Tessa mit der Geschäftsleitung und teilte ihr mit, wer für die Abweichung verantwortlich war, nachdem diese nach den Namen der Verantwortlichen gefragt hatte. Um Klarheit und Verständnis zu gewährleisten, führte Tessa am letzten Tag der Prüfung die Abschlussbesprechung durch.
Während dieses Treffens präsentierte sie die festgestellten Abweichungen dem Management von Clastus. Tessa wurde jedoch geraten, im Prüfbericht für das Clastus-Zertifizierungsaudit unnötige Nachweise zu vermeiden, um sicherzustellen, dass der Bericht prägnant bleibt und sich auf die wichtigsten Ergebnisse konzentriert.
Auf Grundlage der geprüften Beweise erstellte das Auditteam den Prüfbericht und entschied, dass zwei Bereiche der Organisation vor der Zertifizierung geprüft werden müssten. Diese Entscheidungen wurden dem Auditierten vorgelegt, der die Ergebnisse jedoch nicht akzeptierte und zusätzliche Informationen anbot. Trotz der Einwände des Auditierten lehnten die Auditoren, die bereits über die Zertifizierungsempfehlung entschieden hatten, die zusätzlichen Informationen ab. Die Geschäftsleitung des Auditierten beharrte darauf, dass die Prüfergebnisse nicht der Realität entsprächen, doch das Auditteam blieb bei seiner Entscheidung.
Beantworten Sie anhand des obigen Szenarios die folgende Frage:
Frage:
Wurde die Abschlussbesprechung ordnungsgemäß durchgeführt?

• A. Ja, das Abschlussgespräch findet am letzten Tag der Prüfung statt.
• B. Nein, sie sollte mehrere Wochen nach dem Vor-Ort-Audit durchgeführt werden.
• C. Nein, sie sollte erst durchgeführt werden, nachdem die Prüfungsergebnisse formuliert wurden.

Sie führen ein ISMS-Erstzertifizierungsaudit in einem Pflegeheim durch, das Gesundheitsdienstleistungen anbietet. Der nächste Schritt in Ihrem Auditplan ist die Durchführung der Abschlussbesprechung. Während der Abschlussbesprechung des Auditteams erklären Sie sich als Auditteamleiter damit einverstanden, zwei geringfügige Nichtkonformitäten und 1 Verbesserungsmöglichkeit wie folgt zu melden:

Wählen Sie eine Option der Empfehlung an den Auditprogrammmanager aus, die Sie dem geprüften Unternehmen in der Abschlussbesprechung mitteilen möchten.

• A. Empfehlen Sie die Durchführung eines unangekündigten Audits zu einem späteren Zeitpunkt
• B. Empfehlen Sie, dass innerhalb von 6 Monaten ein vollständiges erneutes Audit erforderlich ist
• C. Empfehlen Sie die Zertifizierung nach Ihrer Genehmigung des vorgeschlagenen Korrekturmaßnahmenplans. Empfehlen Sie, dass die Ergebnisse bei einem Überwachungsaudit in einem Jahr abgeschlossen werden können
• D. Empfehlen Sie die Zertifizierung sofort
• E. Empfehlen Sie, dass innerhalb von 3 Monaten eine Teilprüfung erforderlich ist

Sie sind ein erfahrener ISMS-Prüfungsteamleiter, der einen Prüfer in der Schulung leitet. Ihr Team hat gerade ein Überwachungsaudit eines Mobilfunkanbieters durch Dritte abgeschlossen. Der Auditor in der Schulung fragt Sie, wie Sie sich auf das Abschlussgespräch vorbereiten wollen. Welche vier der folgenden Antworten sind angemessen?

• A. Ich werde die Prüfungsnachweise und die Prüfungsergebnisse mit dem Rest des Teams durchgehen
• B. Ich werde alle erforderlichen Folgemaßnahmen mit meinem Prüfungsteam besprechen
• C. Ich werde das geprüfte Unternehmen darüber informieren, dass der Zweck der Abschlussbesprechung darin besteht, dass das Prüfungsteam unsere Ergebnisse kommuniziert. Für das geprüfte Unternehmen besteht keine Gelegenheit, die Feststellungen anzufechten
• D. Ich werde mein Prüfungsteam anweisen, vor den Büros des geprüften Unternehmens zu warten, damit wir nach der Abschlussbesprechung so schnell wie möglich gehen können. Das spart uns und dem Kunden Zeit
• E. Ich werde eine Abschlussbesprechung mit den Vertretern des geprüften Unternehmens vereinbaren, bei der die Prüfungsergebnisse vorgestellt werden
• F. Es ist nicht notwendig, sich auf das Abschlussgespräch vorzubereiten. Wenn Sie so viele Audits wie ich durchgeführt haben, wissen Sie bereits, was zu besprechen ist
• G. Ich werde die Audit-Schlussfolgerungen meines Teams überprüfen und gegebenenfalls genehmigen
• H. Ich werde die Zentrale kontaktieren, um sicherzustellen, dass unsere Rechnung bezahlt wurde. Andernfalls werde ich die Abschlussbesprechung absagen und den Prüfungsbericht vorübergehend zurückhalten