Font size
WorksheetsInformatik und Trends Quiz X
Total questions: 20
Worksheet time: 10mins
Gemäss dem neuen Schweizer Datenschutzgesetz (DSG) müssen Unternehmen bei jeder Datenschutzverletzung, unabhängig vom Risiko, immer sowohl den EDÖB als auch alle potenziell betroffenen Personen informieren.
Richtig
Falsch
ISO/IEC 27001 ist ein Standard, der sich ausschliesslich auf die technischen Aspekte der IT-Sicherheit konzentriert und organisatorische Massnahmen nicht berücksichtigt.
Richtig
Falsch
Im "Shared Responsibility Model" der Cloud-Sicherheit ist der Cloud-Kunde bei Nutzung von Infrastructure-as-a-Service (IaaS) für das Patchen des Betriebssystems seiner virtuellen Maschinen verantwortlich.
Richtig
Falsch
Ein Auftragsverarbeitungsvertrag (AVV) ist gemäss DSG/DSGVO nur dann notwendig, wenn ein Cloud-Provider seinen Hauptsitz ausserhalb der EU/Schweiz hat.
Richtig
Falsch
Das NIST Cybersecurity Framework besteht aus sieben Kernfunktionen: Identify, Protect, Detect, Respond, Recover, Report und Remediate.
Richtig
Falsch
Welches der folgenden Elemente ist KEIN zwingender Mindestinhalt eines Verzeichnisses der Bearbeitungstätigkeiten gemäss Art. 12 DSG?
Der Bearbeitungszweck der Personendaten.
Die Kategorien der betroffenen Personen.
Die detaillierten technischen Spezifikationen aller eingesetzten Server.
Die Aufbewahrungsdauer der Personendaten (oder Kriterien dafür).
Die Kategorien der Empfänger, denen Personendaten bekannt gegeben werden.
Was ist das primäre Ziel des PDCA-Zyklus (Plan-Do-Check-Act) im Kontext eines ISMS nach ISO 27001?
Die einmalige Implementierung aller Sicherheitsmassnahmen aus Anhang A.
Die kontinuierliche Verbesserung des Informationssicherheits-Managementsystems.
Die ausschliessliche Durchführung von externen Sicherheitsaudits.
Die Erstellung eines detaillierten Budgets für die IT-Sicherheit.
Die Auswahl eines geeigneten Cloud-Service-Providers.
Welche der folgenden Aussagen beschreibt das "Shared Responsibility Model" im Kontext von Software-as-a-Service (SaaS) am treffendsten bezüglich der Verantwortung des Kunden?
Der Kunde ist für die physische Sicherheit der Rechenzentren des SaaS-Anbieters verantwortlich.
Der Kunde ist für die Wartung und das Patchen des Betriebssystems der SaaS-Anwendung verantwortlich.
Der Kunde ist für die Entwicklung und Programmierung der Kernfunktionalität der SaaS-Anwendung verantwortlich.
Der Kunde ist für die Netzwerkinfrastruktur bis zum Server des SaaS-Anbieters verantwortlich.
Der Kunde ist primär für die sichere Konfiguration der ihm zur Verfügung gestellten Anwendungsoptionen und das Management der Benutzerzugänge verantwortlich.
Ein Unternehmen nutzt einen US-amerikanischen Cloud-Dienst zur Speicherung von Personendaten von Schweizer Bürgern. Die Server des Anbieters stehen in Irland (EU). Welche der folgenden Massnahmen ist oft eine notwendige "geeignete Garantie" im Sinne des DSG/DSGVO für diese Datenübermittlung?
Eine einfache mündliche Zusage des Cloud-Anbieters, die Daten sicher zu behandeln.
Der Abschluss von Standardvertragsklauseln (SCCs) mit dem Cloud-Anbieter.
Die Anonymisierung aller Personendaten, bevor sie in die Cloud geladen werden (was den Zweck oft verfehlt).
Die Hoffnung, dass US-Behörden kein Interesse an den Daten haben.
Die ausschliessliche Nutzung des Dienstes ausserhalb der normalen Geschäftszeiten.
Was ist ein Hauptnutzen der Implementierung eines ISMS nach ISO 27001 für ein Unternehmen aus betriebswirtschaftlicher Sicht?
Es garantiert, dass niemals ein Sicherheitsvorfall eintreten wird.
Es reduziert die Notwendigkeit für Mitarbeiterschulungen im Bereich IT-Sicherheit.
Es macht alle anderen rechtlichen Datenschutzanforderungen (wie DSG) überflüssig.
Es ist primär eine Marketingmassnahme ohne direkten Einfluss auf die Sicherheit.
Es kann das Vertrauen von Kunden und Geschäftspartnern erhöhen und als Wettbewerbsvorteil dienen.
Welche zwei der folgenden Situationen würden typischerweise eine Meldung einer Datenschutzverletzung an den EDÖB gemäss neuem DSG erfordern (unter der Annahme eines hohen Risikos)?
Ein ungesicherter Server mit Adressdaten und Bestellhistorien von tausenden Kunden wird im Internet öffentlich zugänglich gemacht.
Durch einen erfolgreichen Hackerangriff werden umfangreiche, unverschlüsselte Gesundheitsdaten von Patienten entwendet.
Die Webseite des Unternehmens ist aufgrund einer technischen Störung für eine Stunde nicht erreichbar.
Ein verlorener USB-Stick mit stark verschlüsselten, pseudonymisierten Testdaten wird gefunden.
Ein Mitarbeiter vergisst sein Passwort und muss es zurücksetzen lassen.
Die "Controls" im Anhang A der ISO 27001:2022 sind in vier übergeordnete Themenbereiche gegliedert. Welche zwei der folgenden gehören dazu?
Marketing-Kontrollen
Finanzielle Kontrollen
Vertriebs-Kontrollen
Organisatorische Kontrollen
Physische Kontrollen
Welche zwei der folgenden Aspekte sind typische Herausforderungen bei der Cloud-Sicherheit?
Die unbegrenzte und kostenlose Verfügbarkeit von Rechenleistung.
Fehlkonfigurationen von Cloud-Diensten durch den Anwender, die zu Sicherheitslücken führen können.
Die Tatsache, dass alle Cloud-Anbieter per se absolut sicher und unangreifbar sind.
Die Sicherstellung der Compliance mit Datenschutzgesetzen, insbesondere bei grenzüberschreitenden Datenflüssen und der Wahl des Providers.
Die Garantie, dass Daten in der Cloud niemals verloren gehen können, auch ohne Backups.
Die Informationspflicht gemäss neuem Schweizer DSG bedeutet, dass Unternehmen betroffene Personen über die Bearbeitung ihrer Daten informieren müssen. Welche zwei der folgenden Informationen gehören typischerweise dazu?
Gegebenenfalls die Übermittlung von Personendaten ins Ausland und die entsprechenden Garantien.
Der genaue Algorithmus, der für interne Datenanalysen verwendet wird.
Der Zweck, zu dem die Personendaten bearbeitet werden.
Die Namen aller IT-Mitarbeiter, die potenziell Zugriff auf die Daten haben.
Die private Telefonnummer des Geschäftsführers.
Welche zwei der folgenden Punkte sind wichtige Gründe für die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) gemäss Art. 22 DSG?
Um die schnellste Internetverbindung für das Unternehmen auszuwählen.
Wenn eine geplante Datenbearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt.
Um die Lieblingsfarben der Mitarbeiter für die Bürogestaltung zu ermitteln.
Bevor neue Technologien oder Prozesse eingeführt werden, die eine tiefgreifende Analyse und Bewertung der Datenschutzrisiken erfordern.
Um die Einhaltung der Kleiderordnung im Unternehmen zu überprüfen.
Die persönliche __________ für Datenschutzverstösse gemäss neuem Schweizer DSG kann bei vorsätzlicher Pflichtverletzung natürliche Personen wie Geschäftsführer oder Projektleiter treffen.
Belohnung
Haftung
Versicherung
Beförderung
Lizenzierung
Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 basiert auf einem __________ Ansatz, bei dem Massnahmen aufgrund der identifizierten und bewerteten Gefahren ausgewählt werden.
zufälligen
technischen
veralteten
risikobasierten
marketinggetriebenen
Im Kontext der Cloud-Sicherheit bezeichnet das "Shared __________ Model" die Aufteilung der Sicherheitsverantwortlichkeiten zwischen dem Cloud-Anbieter und dem Cloud-Kunden.
Data
Application
Hardware
Responsibility
Budget
Um die Einhaltung des Datenschutzes bei der Zusammenarbeit mit externen Dienstleistern (z.B. Cloud-Providern), die Personendaten im Auftrag bearbeiten, sicherzustellen, ist der Abschluss eines __________ unerlässlich.
Kaufvertrags
Mietvertrags
Service-Level-Agreements
Auftragsverarbeitungsvertrags
Geheimhaltungsvertrags
Der BSI IT-Grundschutz ist ein deutsches Rahmenwerk, das detaillierte __________ und Massnahmenkataloge für den Aufbau eines Standard-Sicherheitsniveaus bereitstellt.
Softwarelizenzen
Marketingpläne
Bausteine
Hardwarekomponenten
Börsenkurse
