Ich führe die Prüfungshandlung trotzdem durch.

Ich führe die Prüfungshandlung durch und führe ggf eine weitere Begehung durch.

Ich verschiebe den Termin der Begehung und führe diese dann später vorbereitet durch

Ich sage den Termin ab und wähle eine andere Art der Prüfungshandlung zur Gewinnung vor Findings.

Es gibt einen Konflikt, da derLeiter Revision sich selbst überprüfen muss

DAs ist keine Schwierigkeit. die beiden Disziplinen können sich in methode und organisatorischer Einbindung wunderbar ergänzen.

die Schwierigkeit liegt darin, dass der security manager ein erfüllungsgehilfe der Geschäftsführung ist und die Revision ein Kontollorgan der Geschäftsführung darstellt.

es gibt hier keine direkten Schwierigkeiten. indirekt gesehen, könnte aufgrund der Aufgabenfülle ein Zeitproblem entstehen

sie lassen heimlich ein tonband mitlaufen und zeichnen das gespräch auf. so ist es den befragten nachher nicht möglich zu leugnen.

sie protokollieren die telefonkonferenz.

sie vereinbaren einfach eine videokonferenz und zeichnen diese auf.

sie stimmen das protokoll der telefonkonferenz im nachgang mit den befragten ab.

sie verschweigen diese feststellung(finding) schreiben sich die auf und haben dann im auditbericht ein echtes highlight.

sie kommunizieren es sofort und fordern die abstellung dieses findings an

im auditbericht wird dieses finding trotz durchgeführter abstellung erwähnt

sie zeigen das finding auf und müssen es aufgrund der kurzfristigen behebung auch nicht weiter verfolgen

alle maßnahmen der iso 27001 und der iso 27002 werden bei einem audit geprüft

die prüfung erfolgt grundsätzlich auf konformität mit der iso 27001

die iso 27002 enhält lediglich empfehlungenzur umsetzung der iso 27001

der auditor entscheidet anhand seiner erfahrung ob er nach iso 27001 oder iso 27001 auditiert.

archivierte abgestimmte meetingprotokolle

durch den auditee dokumentierte antworten aud die fragen des auditors

textreferenzen

fotos

dokumentenprüfung und verifizierumg vor ort

voraudit und verifizierung vor ort

voraudit, dokumentenprüfung und verifikation vor ort

es gibt keine vorgaben, die phasen werden für jedes audit festgelegt

die bsi-maßnahmen können als inspirationsquelle genutzt werden, wie man die anforderungen der iso 27001 umsetzten kann.

gar nicht, da sich iso 27001 und bsi-grundchutz in vielen punkten widersprechen

der auditor muss sich vor dem audit entscheiden, ob er die bsi-maßnahmen als referenz nutzt

da die grundschutzkataloge kompatibel zur iso 27001 sind, müssen die maßnahmen

integrität

verlässlichkeit

verschlüßelung

verwendung digitaler signaturen

erkläung zum anwendungsbereich (scoping statement)

ausschlußerlärung (satement of exclusion)

sicherheitsleitlinien (security policy)

anwendbarkeitserkläung (statment of applicability)

iso/iec 27000 und iso 9000

iso/iec 20000 und iso/iec 27000

nur iso 27000

iso/iec 9000 und iso 19011

manag.bewertungen werden von einer akkreditierten zertifizierungsstelle durchgeführt.

manag.bewertungen berücksichtigen ergebnisse interner audits

manag.bewertungen müssen regelmäßig durchgeführt werden

managementbewertungen sollen die konformität und effektivität des isms beurteilen

anleitung zur umsetzung von maßnahmen zur betriebs und kommunikationssicherheit

anleitung zur umsetzung von maßnahmen zur physischen und ungebungsbezogenen sicherheit

anleitung zur umsetzung von maßnahmen zur persönlichen sicherheit

anleitung zur umsetzung aller maßnahmen aus iso/iec 27001 anhang a

wenn sie dies schlüßig begründen kann

wenn es sich um eine organisation des gesundheitswesen handelt, dür die der branchenspezifische leitfaden iso/iec 27799 gilt

wenn die organisation bereits nach iso 9001 oder iso/iec 20000-1 zertifiziert ist

unter keinen umständen

sicherheit der verkabelung

instandhaltung von gerätschaften

zutrittskontrolle

keine der antwort ist richtig

wie erfolgt bei ihnen die leitung von dokumenten und aufzeichnungen?

gibt es informationen die sie vertraulich weitergeben möchten?

hat sie ihr vorgesetzter hinreichend über mein aufgabe aufgeklärt?

möchten sie dass der betriebsrat hinzugezogen wird?

im rahmen der zertifizierung lässt die zertifizierungsstelle die konformität des isms zu den anforderungen der norm iso/iec 27001 durch ein sogenanntes zertifizierungsaudit überprüfen

die zertifizierungsstelle erfüllt die anforderungen der iso/iec 27021

die zertifizierungsstelle muss bei einer nationalen akkredierungsstelle (zb deutschland die dakks) akkreditiert sein

wenn durch eine zertifizierungsstelle ein sogenanntes voraudit erfolgreich durchgeführt wurde kann auf ein weiters zertifizierungsaudit verzivhtet werden

iso 27001:2013 / Clause 4 bis 5

ISO 27001:2005 / Clause 5-9

ISO 27001:2013 / Clause 6 bis 10

ISO 27001:2013 / Annex A. 1

entwickeln der auditziele

1. planung der Prüfungshandlungen

1. Gliederung des abschlussberichts

1. Definition der Security policy

Ein Audit ist die analytische und wissenschaftliche Überprüfung eines sachverhaltes

Ein Audit ist die Untersuchung nach Konformität gegenüber Anforderungen, die von der Geschäftsführung erlassen wurden

1. Audits dienen zum Nachweis der Konformität zwischen Anforderung und tatsächlichen Verhältnissen.

1. Audits dienen zum Nachweis, dass sich ein Unternehmen in Sachen Steuer nichts hat zu Schulden kommen lassen.

1. Gar nicht, denn das Ergebnis eines Management Systems ist eine Policy, die dann im Unternehmen verbreitet wird.

1. Die Rückkopplung in einem Management System in Bezug auf dessen Wirksamkeit z.B. gemäß ISO 9001 oder ISO 27001 wird über die regelmäßig durchzuführenden internen und externen Audits sowie das Management Review

der Geschäftsführung erzielt.

1. Die Rückkopplung in einem Management System in Bezug auf dessen Wirksamkeit gemäß ISO 27001 wird über die regelmäßig durchzuführenden internen und externen Audits sowie das Management Review der Geschäftsführung erzielt. Es kann sich dabei um Audits im organisatorischen Bereich wie auch um technische Audits handeln.

1. Das Feedback wird durch die in Abständen von drei Jahren durchzuführenden Zertifizierungsaudits erzielt.

Ein „Nachweis" ist ein ordentlicher, nachhaltiger Beleg für eine Aussage des

Prüfbereichs.

Ein „Finding" ist die Tatsache, dass es Abweichungen vom Sollzustand gibt.

Ein „Evidence" ist der englische Begriff für „Nachweis".

Die Begriffe "Finding", „Evidence" und „Nachweis" können synonym verwendet werden

1. unter anderem Rundgang zur Prüfung der physikalischen Sicherheit

1. Konformitätsprüfung gegen internationale Standards, Prüfung der Einhaltung von Richtlinien der Organisation, Prüfung der technischen Umsetzung dokumentierter Konfigurationsvorgaben

1. Eine Prüfung der Dokumentenlage ist ausreichend, da sie dem Auditor einen guten Überblick über den Prüfgegenstand gibt.

1. unter anderem Beobachtung der Mitarbeiter (als Ergänzung zu anderen prüfungen)

1. Keine, Auditergebnisse werden nach Auswertung und Berichterstellung ausschließlich dem Fachbereich bzw. der auditierten Organisationseinheit direkt mitgeteilt

1. Mit dem Management Review überprüft die Geschäftsführung die Wirksamkeit des Management- Systems. Aus dem Management Review leiten sich neue

Maßnahmen für die Folgeperiode ab

C: Das Management Review hat keine Bedeutung für die Ergebnisse eines internen audits

D: In dem Management Review werden unter anderem Auditergebnisse präsentiert und diskutiert. Entscheidungen zur Informationssicherheit werden für die Folgeperiode durch das Management getroffen.

Sie hätten den IT-Leiter vor der Präsentation zur Seite genommen und mit ihm im Stillen eine Vorabrede getroffen.

B: Sie hätten die Sachlage bereits im Vorhinein mit dem IT-Leiter abgestimmt,

um Unklarheiten zu beseitigen.

C: Sie hätten sich die Antworten durch den IT-Leiter unterschreiben lassen

sollen und dann nochmals mit ihm die Zwischenergebnisse abgestimmt.

Das Verhalten des IT-Leiters zeigt doch, dass er etwas zu verstecken hat und damit sind die Ergebnisse auf jeden Fall richtig. Sie fahren in der Präsentation fort

A: Im ersten Schritt werden Fragebögen verschickt, danach entscheidet der

Auditor, wie es weiter geht.

B: Interviews, Fragebögen

C: Begehungen, Analysen, Durchsicht von Unterlagen und andere

D: Die Methoden werden zufällig bestimmt (etwa mit einem Würfel).

p = plan phase

b = check Phase

c = audit phase

d = do phase

1. Ein Zertifizierungsaudit erfolgt überraschend und unangemeldet.

1. Über die Durchführung eines Zertifizierungsaudits ist zwischen Zertifizierungsstelle und Unternehmen immer ein Vertrag zu schließen.

1. Ein Zertifizierungsaudit wird auf Grundlage eines vereinbarten

   Zertifizierungsprogrammes durchgeführt.

1. Die zu auditierenden Bereiche sind durch den Auditteamleiter rechtzeitig und

   schriftlich über das Audit zu informieren.

1. Auditfragelisten / -checklisten

1. Auditprotokollformular

1. Teilnehmendenliste

1. Formular für den Auditbericht

ehrlich

diskret

fair

parteiisch

aufgeschlossenheit

integrität

kuturelle sensibilitäe

selbstsicherheit

1. Mitarbeitendeninterview

1. Werksrundgang

1. Überwachung der Auditfolgemaßnahmen

1. Verteilen des Auditberichtes

A: die Auditteilnehmer

B: der Auditteamleiter

C: die auditierten Bereicheder

der betriebsrat

ein verfahren ist zum teil nicht erfüllt

ein verfahren ist teilweise umgesetzt

ein komplettes gefordertes verfahren ist nicht erfüllt

die vorgaben sind vorhanden aber unwirksam

begrüßung und vorstellen alles teilnehmenden

bestätigung des auditplanes

bestätigung der vertraulichkeit

festlegung der nachfolgemaßnahmen

aus der beobachtungen der presse

aus leistungsbewertungen durch kennzahlen

aus mitarbeiterbefragungen

aus neuen kundenanforderungen

rezertifizierung

überwachungsaudit evtl?

erstzertifizierungsaudit

lieferantenaudit

der auditterminplan enthält die detailierte zeitliche planung eines audits

"" wird vom auditleiter/ auditteam erstellt

die geschäftsführung

der betriebsrat

ablenkungsmanöver, auseinandersetzungen

einhalten von terminen um das ganze schnell hinter sich zu bringen

fälschung von daten

keine brötchen

stärken und schwächen der auditteammitglieder ausgleichen

erstellen von pp

audits planen und ressourcen während der audits wirksam einsetzen

risken oder unsicherheiten bei der erreichung der auditziele handhaben

auditteam

oberste leitung

auditteamleiter

interviewpartener