Welche der folgenden Schlussfolgerungen im Auditbericht wird von der Zertifizierungsstelle bei der Entscheidung über die Erteilung der Zertifizierung nicht gefordert?

• A. Der Zertifizierungsumfang wurde erfüllt
• B. Die Pläne zur Behebung von Korrekturmaßnahmen im Zusammenhang mit geringfügigen Nichtkonformitäten wurden angenommen
• C. Die Organisation erfüllt alle gesetzlichen und sonstigen Anforderungen, die für das Informationssicherheits-Managementsystem gelten, vollständig.
• D. Die von der Organisation vorgenommenen Korrekturen im Zusammenhang mit schwerwiegenden Nichtkonformitäten wurden akzeptiert.

Frage
Welche Aussage zur Beurteilung der Wesentlichkeit ist NICHT korrekt?

• A. Während des Phase-1-Audits identifizieren die Auditoren die wichtigsten Prozesse und legen fest, welche Prozesse beim Vor-Ort-Audit im Fokus stehen sollen.
• B. Während der ersten Kontaktaufnahme wird die Wesentlichkeit berücksichtigt, um die Dauer des Audits auf der Grundlage der dem Unternehmen innewohnenden Risiken zu bestimmen.
• C. Die Abschlussprüfer können die Wesentlichkeit von Prozessen oder Vermögenswerten während der Phase-2-Prüfung beurteilen, dürfen den Prüfungsplan jedoch nicht auf der Grundlage der Ergebnisse anpassen.

Szenario 5: Data Grid Inc. ist ein bekanntes Unternehmen, das Sicherheitsdienste für die gesamte Informationstechnologie-Infrastruktur bereitstellt. Es bietet Cybersicherheitssoftware, einschließlich Endpunktsicherheit, Firewalls und Antivirensoftware. Seit zwei Jahrzehnten unterstützt Data Grid Inc. verschiedene Unternehmen bei der Sicherung ihrer Netzwerke durch fortschrittliche Produkte und Dienstleistungen. Nachdem sich Data Grid Inc. im Bereich der Informations- und Netzwerksicherheit einen guten Ruf erworben hat, hat sich das Unternehmen für die ISO/IEC 27001-Zertifizierung entschieden, um seine internen Vermögenswerte und Kundenressourcen besser zu schützen und sich einen Wettbewerbsvorteil zu verschaffen.
Data Grid Inc. ernannte das Prüfungsteam, das sich auf die Bedingungen des Prüfungsmandats einigte. Darüber hinaus definierte Data Grid Inc. den Prüfungsumfang, spezifizierte die Prüfungskriterien und schlug vor, die Prüfung innerhalb von fünf Tagen abzuschließen. Das Auditteam lehnte den Vorschlag von Data Grid Inc. ab, das Audit innerhalb von fünf Tagen durchzuführen, da das Unternehmen über eine große Anzahl von Mitarbeitern und komplexe Prozesse verfügt. Data Grid Inc. bestand darauf, dass das Audit innerhalb von fünf Tagen abgeschlossen werden solle, sodass beide Parteien sich darauf einigten, das Audit innerhalb der festgelegten Dauer durchzuführen. Das Prüfungsteam verfolgte einen risikobasierten Prüfungsansatz.
Um einen Überblick über die wesentlichen Geschäftsprozesse und -kontrollen zu erhalten, griff das Audit-Team auf Prozessbeschreibungen und Organigramme zu. Eine tiefergehende Analyse der IT-Risiken und -Kontrollen war ihnen nicht möglich, da ihr Zugriff auf die IT-Infrastruktur und Anwendungen eingeschränkt war. Das Auditteam stellte jedoch fest, dass das Risiko, dass ein erheblicher Fehler im ISMS von Data Grid Inc. auftreten könnte, gering sei, da die meisten Prozesse des Unternehmens automatisiert seien. Daher bewerteten sie, ob das ISMS insgesamt den Standardanforderungen entspricht, indem sie den Vertretern von Data Grid Inc. die folgenden Fragen stellten:
*Wie werden Verantwortlichkeiten für die IT und IT-Kontrollen definiert und zugewiesen?
*Wie beurteilt Data Grid Inc., ob die Kontrollen die gewünschten Ergebnisse erzielt haben?
*Welche Kontrollen verfügt Data Grid Inc., um die Betriebsumgebung und Daten vor bösartiger Software zu schützen?
*Sind Firewall-bezogene Kontrollen implementiert?
Die Vertreter von Data Grid Inc. lieferten ausreichende und geeignete Beweise, um alle diese Fragen zu beantworten.
Der Leiter des Prüfungsteams entwarf die Prüfungsschlussfolgerungen und berichtete sie an das Top-Management von Data Grid Inc.
Obwohl Data Grid Inc. von den Auditoren zur Zertifizierung empfohlen wurde, kam es zu Missverständnissen zwischen Data Grid Inc. und der Zertifizierungsstelle hinsichtlich der Auditziele. Data Grid Inc. gab an, dass das Auditteam diese Informationen nicht bereitgestellt habe, obwohl die Auditziele die Identifizierung von Bereichen mit potenziellen Verbesserungen beinhalteten.
Beantworten Sie anhand dieses Szenarios die folgende Frage:
Data Grid Inc. ist für alle unten aufgeführten Handlungen verantwortlich, AUSSER:

• A. Ernennung des Prüfungsteams
• B. Definieren des Prüfumfangs
• C. Angabe der Prüfkriterien

Welche der folgenden Aussagen beschreibt den Zweck einer Dokumentenprüfung am besten?
* Um aufzudecken, ob das dokumentierte Managementsystem den Prüfkriterien nicht entspricht, und um Beweise zur Unterstützung des Prüfberichts zu sammeln

• A. Um etwaige dokumentierte Abweichungen des Managementsystems von den Auditkriterien zu erkennen und Informationen zur Unterstützung des Auditplans zu ermitteln.
• B. Um die Übereinstimmung des Managementsystems mit den Auditkriterien, soweit dokumentiert, festzustellen und Informationen zur Unterstützung der Vor-Ort-Auditaktivitäten zu sammeln
• C. Die Entscheidung über die Übereinstimmung des dokumentierten Managementsystems mit den Auditstandards und die Sammlung von Erkenntnissen zur Unterstützung des Auditprozesses