BotaneBloom wurde Opfer eines Datenlecks, nachdem ein Praktikant versehentlich einen privaten Administratorschlüssel in einem öffentlichen Forum preisgegeben hatte. Das Unternehmen reagierte darauf mit folgenden Maßnahmen: (1) Änderung aller Systemzugangsdaten, (2) Aktualisierung der Einarbeitungsprozesse für Praktikanten und (3) Einführung einer Protokollanalyse der Kontoaktivitäten.
Als Reaktion auf den Datenverstoß änderte das Unternehmen alle Systemzugangsdaten, aktualisierte die Einarbeitungsprozesse für Praktikanten und führte eine Protokollanalyse der Kontoaktivitäten ein. Wie lässt sich die Abfolge der Maßnahmen des Unternehmens im Zusammenhang mit dem Datenverstoß anhand der Kontrollfunktion kategorisieren? Siehe Szenario 2.

• A. Korrektiv, Präventiv, Detektiv
• B. Präventiv, Korrektiv, Detektiv
• C. Detektiv, Korrektiv, Präventiv

Szenario 3: Socket Inc. ist ein dynamisches Telekommunikationsunternehmen, das auf drahtlose Produkte und Dienstleistungen spezialisiert ist und sich der Bereitstellung hochwertiger und sicherer Kommunikationslösungen verschrieben hat. Socket Inc. nutzt innovative Technologien, darunter die für ihre hohe Verfügbarkeit, Skalierbarkeit und Flexibilität bekannte MongoDB-Datenbank, um seinen Kunden zuverlässige, zugängliche, effiziente und gut organisierte Dienste bereitzustellen. Kürzlich war das Unternehmen mit einer Sicherheitsverletzung konfrontiert, bei der externe Hacker die Standardeinstellungen seiner MongoDB-Datenbank ausnutzten, da ein Versehen in den Konfigurationseinstellungen nicht ordnungsgemäß behoben worden war. Glücklicherweise verhinderten sorgfältige Datensicherungen und die zentrale Protokollierung über einen Server den Informationsverlust. Als Reaktion auf diesen Vorfall nahm Socket Inc. eine gründliche Bewertung seiner Sicherheitsmaßnahmen vor. Das Unternehmen erkannte die dringende Notwendigkeit, seine Informationssicherheit zu verbessern, und beschloss, ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 zu implementieren.
Um die Datensicherheit zu verbessern und die Ressourcen zu schützen, hat Socket Inc. Zugangskontrollen und sichere Zugangspunkte eingeführt. Diese Maßnahmen sollen unbefugten Zugriff auf kritische Bereiche mit sensiblen Daten und wichtigen Vermögenswerten verhindern. In Übereinstimmung mit den geltenden Gesetzen, Vorschriften und ethischen Standards führte Socket Inc. vor der Einstellung Hintergrundüberprüfungen durch, die auf die Geschäftsanforderungen, die Informationsklassifizierung und die damit verbundenen Risiken zugeschnitten waren. Darüber hinaus wurde ein formalisiertes Disziplinarverfahren zur Ahndung von Richtlinienverstößen eingeführt. Zusätzlich wurden Sicherheitsmaßnahmen für Mitarbeiter im Homeoffice implementiert, um den Zugriff auf, die Verarbeitung oder die Speicherung von Informationen außerhalb des Unternehmensgeländes zu schützen.
Socket Inc. schützte seine Informationsverarbeitungsanlagen vor Stromausfällen und anderen Störungen. Um unbefugten Zugriff auf kritische Datensätze aus externen Quellen zu verhindern, implementierte Socket Inc. Datenflusskontrolldienste, um unbefugten Zugriff zwischen Abteilungen und externen Netzwerken zu verhindern. Darüber hinaus nutzte Socket Inc. Datenmaskierung auf Grundlage der allgemeinen Richtlinien des Unternehmens zur Zugriffskontrolle und anderer damit verbundener allgemeiner Richtlinien und Geschäftsanforderungen unter Berücksichtigung der geltenden Gesetzgebung. Darüber hinaus aktualisierte und dokumentierte Socket Inc. alle Betriebsabläufe der Informationsverarbeitungsanlagen und stellte sicher, dass diese ausschließlich der Geschäftsleitung zugänglich waren.
Das Unternehmen implementierte außerdem eine Kontrolle zur Definition und Umsetzung von Regeln für den effektiven Einsatz von Kryptografie, einschließlich der Verwaltung kryptografischer Schlüssel, um die Datenbank vor unbefugtem Zugriff zu schützen. Die Implementierung basierte auf allen relevanten Vereinbarungen, Gesetzen, Vorschriften und dem Informationsklassifizierungsschema. Zur Verbesserung der Sicherheit und zur Reduzierung des Verwaltungsaufwands wurde eine Netzwerktrennung mittels VPNs vorgeschlagen.
Socket Inc. hat die Sicherheitskontrollen in Gruppen zusammengefasst und in einem einzigen Dokument zusammengefasst. Darüber hinaus implementierte Socket Inc. ein neues System zur Verwaltung, Erfassung und Analyse von Informationen über Bedrohungen der Informationssicherheit und zur Integration der Informationssicherheit in das Projektmanagement.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Hat Socket Inc. basierend auf Szenario 3 die Anforderungen von ISO/IEC 27001 bezüglich der dokumentierten ISMS-Informationen eingehalten?

• A. Ja, es gibt keine verbindliche Anforderung zur Dokumentation von Prozessen oder Sicherheitskontrollen im Standard
• B. Ja, der Standard erfordert, dass alle Sicherheitskontrollen in einem einzigen Dokument enthalten sind
• C. Nein, Socket Inc. hat alle Steuerelemente einer Gruppe in einem einzigen Dokument zusammengefasst, während der Standard vorschreibt, dass die Steuerelemente in vier Gruppen dokumentiert werden müssen.

Frage:
Wen sollte eine Organisation befragen, um Informationen über Informationssicherheitsrisiken in ihrem jeweiligen Fachgebiet zu erhalten?

• A. Experten, die direkt für die Informationssicherheit verantwortlich sind
• B. Alle Mitglieder der interessierten Parteien, unabhängig davon, ob sie Experten sind oder nicht
• C. Nur Mitarbeiter, die an Informationssicherheitsaktivitäten und -aufgaben beteiligt sind

Aufgrund der Ergebnisse der Risikobewertung entschied Socket Inc.:
* Erfordert die Verwendung von Passwörtern mit mindestens 12 Zeichen, die Groß- und Kleinbuchstaben, Symbole und Zahlen enthalten
* Fordern Sie die Änderung der Passwörter mindestens alle 60 Tage
* Bewahren Sie Sicherungskopien von Dateien auf von der IT bereitgestellten Netzwerklaufwerken auf
* Weisen Sie Benutzer einem separaten Netzwerk zu, wenn sie Zugriff auf Cloud-Speicherdateien haben, in denen persönliche Daten von Kunden gespeichert sind.
Basierend auf Szenario 5 hat sich Socket Inc. entschieden, Cloud-Speicher zur Speicherung der persönlichen Daten seiner Kunden zu verwenden, da die identifizierten Risiken eine geringe Wahrscheinlichkeit und große Auswirkungen haben. Ist dies akzeptabel?

• A. Nein, da die identifizierten Risiken über dem Schwellenwert der Risikoakzeptanzkriterien liegen
• B. Nein, da die Auswirkungen der identifizierten Risiken in der hohen
• C. Ja, da das berechnete Risikoniveau unter dem akzeptablen Schwellenwert liegt