A- ISO 27005

B- ISO 9001

C- ISO 31000

D- BSI Grundschutz 200-3

A- Risiken bestimmen

B- Risiken bewerten

C- Risiken vermeiden

D- Risiken behandeln

A- sollten festgelegt werden

B- dienen dem Schutz der organisationseigenen Werte

C- sind meist entbehrlich

D- brauchen nur festgelegt werden, wenn das Unternehmen besondere Arten personenbezogener Daten speichert und verarbeitet

A- Die Möglichkeit der Nutzung eines IT-Systems, ggf. nach vorheriger Anmeldung.

B- Die Möglichkeit einen begrenzten Bereich betreten zu können.

C- Die Möglichkeit zur Nutzung bestimmter Daten oder Informationen.

D- Den Zutritt zu einer bestimmten Benutzergruppe zu erhalten, z. B. der AD-Gruppe der Administratoren.

A- Die Möglichkeit zur Nutzung bestimmter Daten oder Informationen.

B- B-Die Möglichkeit einen begrenzten Bereich betreten zu können.

C- C-Die Möglichkeit der Nutzung eines IT-Systems, ggf. nach vorheriger Anmeldung.

D- D-Die Möglichkeit in ein Gebäude hineingehen zu können.

A- Die Möglichkeit der Nutzung eines IT-Systems, ggf. nach vorheriger Anmeldung.

B- Die Möglichkeit einen begrenzten Bereich betreten zu können.

C- Die Möglichkeit einen Datenträger mitnehmen zu können.

D- Die Möglichkeit zur Nutzung bestimmter Daten oder Informationen.

A- Im Einstellungsprozess sollen automatisch Zugangsrechte zu allen Systemen des Unternehmens vergeben werden

B- Für die Zugangssteuerung sollte es eine Richtlinie geben.

C- Bei Beendigung der Beschäftigung sollen die Zugangsrechte wieder entzogen werden.

D- Benutzerzugangsrechte sollen regelmäßig überprüft werden.

A- Privilegierte Benutzer, wie System- oder Tool-Administratoren.

B- Empfang

C- Poststelle

D- Der Einsatz von Werkzeugen mit privilegierten Rechten, wie z. B. Netzwerk-Sniffer oder Datenbanktools.

A- Die Dokumentation von Bedienabläufen ist nur bei hoher Personalfluktuation wichtig.

B- Die Dokumentation sollte Informationen zur Durchführung von Backups enthalten.

C- Die Dokumentation sollte Informationen zur Durchführung von Systemneustarts enthalten.

D- Die Dokumentation von Bedienabläufen ist bei ausreichend qualifizierten Personal entbehrlich.

A- Änderungen könnnen nach Rücksprache jederzeit durchgeführt werden.

B- Es sollte Regeln und Prozesse für eine Änderungssteuerung geben (Change Management).

C- Es sollte sichergestellt werden, dass auch bei und nach Veränderungen alle Vorgaben der Informationssicherheit eingehalten werden.

D- Die Änderungssteuerung sollte ein formales Genehmigungsverfahren beinhalten.

A- Technische Maßnahmen sind allein völlig ausreichend.

B- Organisatorische Maßnahmen sind allein immer völlig ausreichend.

C- Mitarbeiter sollten für das Problem von Schadsoftware angemessen sensibilisiert werden.

D- Bekannte technische Schwachstellen sollten behoben werden (Patch Management).

A- Das Nichtanfertigen von Datensicherungen ist eine grobe Pflichtverletzung.

B- Backups sollten regelmäßig überprüft werden, z. B. durch Recovery-Übungen.

C- Der Aspekt der Vertraulichkeit der gesicherten Daten ist zu berücksichtigen, z. B. durch Verschlüsselung.

D- Datensicherungen sollten ausreichend geschützt werden, z. B. durch die Auslagerung an einen anderen Ort.

A- Es sollte definiert werden, was protokolliert wird.

B- Ereignisprotokolle sollten regelmäßig überprüft werden.

C- Da Ereignisprotokolle oftmals personenbezogenen Daten enthalten, müssen sie besonders geschützt werden

D- Da Ereignisprotokolle möglicherweise Rückschlüsse auf das Arbeitsverhalten von Mitarbeitern erlauben, ist ggf. der Betriebsrat zu beteiligen.

A- Auch Aktivitäten von Administratoren sollten protokolliert werden.

B- Es sollte grundsätzlich so viel wie möglich protokolliert werden.

C- Nicht synchron laufende Uhren in den Systemen erschweren die Auswertung von Protokollinformation deutlich.

D- Administratoren sollten nicht in der Lage sein, die Protokolle ihrer eigenen Aktivitäten zu ändern.

A- Informationen zu technischen Schwachstellen sollten rechtzeitig eingeholt werden.

B- Die Organisation sollte Aufgaben und Verantwortlichkeiten zum Einholen von Informationen über und zum Umgang mit technischen Schwachstellen festlegen.

C- Bei unverzüglichem Einspielen von neuen Patches erübrigen sich weitere Maßnahmen.

D- Ein Patch sollte vor der Installation getestet und beurteilt werden.

A- Vor dem Aufspielen neuer oder geänderter Software sollte eine Rollback-Strategie existieren.

B- Software sollte nur bei vorliegender Genehmigung installiert werden.

C- Nutzen und Risiko einer Software-Installation sollten gegeneinander abgewogen werden.

D- Alle Benutzer sollten die Software installieren dürfen, die sie für notwendig halten.

A- Mitarbeiter, die Mobilgeräte einsetzen, sollten besonders für die Gefahren des Einsatzes dieser Geräte sensibilisiert werden.

B- Mobilgeräte sollten vor Diebstahl geschützt werden.

C- Bei Einsatz von Mobilgeräten an öffentlichen Plätzen (z. B. am Flughafen oder in der Bahn) ist besonders auf die Vertraulichkeit zu achten

D- Auch private Mobilgeräte können bedenkenlos für dienstliche Zwecke gebraucht werden.

A- Nutzername/Passwort

B- Zugangskonrolllisten

C- Biometrie

D- Sotware-basierte Zugangsregelungen

A- Vor Spam-Mails schützen.

B- Viren aufspüren und löschen.

C- Alle Daten kontrollieren, die in das eigene Netzwerk hineinkommen oder es verlassen.

D- Die installierten Programme regelmäßig aktualisieren.