ISO-IEC-27001-Lead-Auditor-CN 無料問題集「PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor中文版)」
您正在國際物流組織的出貨部門進行 ISMS 審核，該組織為當地醫院和政府辦公室等大型組織提供運輸服務。包裹通常包含藥品、生物樣本以及護照和駕駛執照等文件。您注意到，公司記錄顯示大量退貨，原因包括標籤地址錯誤，以及在 15% 的公司案例中，一個包裹的不同地址有兩個或多個標籤。您正在面試運輸經理 (SM)。
您：出貨前檢查過嗎？
SH：任何明顯損壞的物品都會在出貨前由值班人員移除，但利潤微薄，因此實施正式檢查流程並不經濟。
您：退貨後會採取什麼措施？
SM：這些合約大多價值相對較低，因此我們認為，簡單地重新列印標籤並重新發送單一包裹比實施調查更容易、更方便。
您提出不符合項。參考該場景，您希望受審核方在進行後續審核時實施下列哪六項附錄 A 控制措施？
您：出貨前檢查過嗎？
SH：任何明顯損壞的物品都會在出貨前由值班人員移除，但利潤微薄，因此實施正式檢查流程並不經濟。
您：退貨後會採取什麼措施？
SM：這些合約大多價值相對較低，因此我們認為，簡單地重新列印標籤並重新發送單一包裹比實施調查更容易、更方便。
您提出不符合項。參考該場景，您希望受審核方在進行後續審核時實施下列哪六項附錄 A 控制措施？
正解：D、F、G、H、I、K
解答を投票する
解説: (JPNTest メンバーにのみ表示されます)
您是一位經驗豐富的 ISMS 審核團隊負責人，正在與分配給您的審核團隊的正在接受培訓的審核員進行交談。您希望確保他們了解計劃-實施-檢查-行動週期的檢查階段對於資訊安全管理系統的運作的重要性。
您可以透過要求他選擇最能完成句子的單字來做到這一點：
要使用最佳單字完成句子，請按一下要完成的空白部分，使其以紅色突出顯示，然後從下面的選項中按一下適用的文字。或者，您可以將該選項拖曳到適當的空白部分。
您可以透過要求他選擇最能完成句子的單字來做到這一點：
要使用最佳單字完成句子，請按一下要完成的空白部分，使其以紅色突出顯示，然後從下面的選項中按一下適用的文字。或者，您可以將該選項拖曳到適當的空白部分。
正解：
Explanation:
* Review is the third stage of the Plan-Do-Check-Act (PDCA) cycle, which is a four-step model for implementing and improving an information security management system (ISMS) according to ISO
/IEC 27001:202212. Review involves assessing and measuring the performance of the ISMS against the established policies, objectives, and criteria12.
* Assess is the verb that describes the action of reviewing the ISMS. Assess means to evaluate, analyze, or measure something in a systematic and objective manner3. Assessing the ISMS involves collecting and verifying audit evidence, identifying strengths and weaknesses, and determining the degree of conformity or nonconformity12.
* Regular is the adjective that describes the frequency or interval of reviewing the ISMS. Regular means occurring or done at fixed or uniform intervals4. Reviewing the ISMS at regular intervals means conducting internal audits and management reviews periodically, such as annually, quarterly, or monthly, depending on the needs and risks of the organization12.
* Suitability is one of the attributes that describes the quality or outcome of reviewing the ISMS. Suitability means being appropriate or fitting for a particular purpose, person, or situation5. Reviewing the ISMS for suitability means ensuring that it is aligned with the organization's strategic direction, business objectives, and information security requirements12.
References :=
* ISO/IEC 27001:2022 Information technology - Security techniques - Information security management systems - Requirements
* ISO/IEC 27003:2022 Information technology - Security techniques - Information security management systems - Guidance
* Assess | Definition of Assess by Merriam-Webster
* Regular | Definition of Regular by Merriam-Webster
* Suitability | Definition of Suitability by Merriam-Webster
情境 8：EsBank 自 9 月起為愛沙尼亞銀行業提供銀行和金融解決方案
2010年，該公司在全國擁有30家分行和100多台ATM機。
EsBank 在高度監管的行業中運營，必須遵守許多有關資料安全和隱私的法律和法規。他們需要透過實施技術和非技術控制來管理整個營運的資訊安全。 EsBank 決定實施基於 ISO/IEC 的 ISMS
27001，因為它提供了更好的安全性、更多的風險控制以及符合法律法規的關鍵要求。
在成功實施 ISMS 九個月後，EsBank 決定由獨立認證機構根據 ISO/IEC 27001 對其 ISMS 進行認證。
第一階段和第二階段審核是共同進行的，發現了一些不符合項。第一個不合格之處與 EsBank 的資訊標籤有關。該公司有資訊分類方案，但沒有資訊標籤程序。因此，需要相同保護等級的文件將被貼上不同的標籤（有時為機密，有時為敏感）。
考慮到所有文件也以電子方式存儲，不合格情況也影響了媒體處理。審計小組透過抽樣得出結論，200 個可移動媒體中有 50 個儲存了被錯誤分類為機密的敏感資訊。根據資訊分類方案，允許將機密資訊儲存在可移動媒體中，而嚴格禁止儲存敏感資訊。這標誌著另一個不合格之處。
他們起草了不合格報告，並與 EsBank 代表討論了審計結論，代表同意在兩個月內針對發現的不合格問題提交行動計劃。
EsBank 接受了審計組組長提出的解決方案。他們根據實體和電子格式的分類方案起草了資訊標籤程序，解決了不合格問題。可移動媒體程式也基於此程式進行了更新。
審計完成兩週後，EsBank 提交了總體行動計畫。在那裡，他們解決了檢測到的不合格問題以及採取的糾正措施，但沒有包括有關受影響的系統、控製或操作的任何詳細資訊。審核小組評估了該行動計劃並得出結論，該計劃將解決不合格問題。然而，EsBank 收到了不利的認證建議。
根據上述場景，回答以下問題：
根據情境8，EsBank 提交了總體行動計畫。這是可以接受的嗎？
2010年，該公司在全國擁有30家分行和100多台ATM機。
EsBank 在高度監管的行業中運營，必須遵守許多有關資料安全和隱私的法律和法規。他們需要透過實施技術和非技術控制來管理整個營運的資訊安全。 EsBank 決定實施基於 ISO/IEC 的 ISMS
27001，因為它提供了更好的安全性、更多的風險控制以及符合法律法規的關鍵要求。
在成功實施 ISMS 九個月後，EsBank 決定由獨立認證機構根據 ISO/IEC 27001 對其 ISMS 進行認證。
第一階段和第二階段審核是共同進行的，發現了一些不符合項。第一個不合格之處與 EsBank 的資訊標籤有關。該公司有資訊分類方案，但沒有資訊標籤程序。因此，需要相同保護等級的文件將被貼上不同的標籤（有時為機密，有時為敏感）。
考慮到所有文件也以電子方式存儲，不合格情況也影響了媒體處理。審計小組透過抽樣得出結論，200 個可移動媒體中有 50 個儲存了被錯誤分類為機密的敏感資訊。根據資訊分類方案，允許將機密資訊儲存在可移動媒體中，而嚴格禁止儲存敏感資訊。這標誌著另一個不合格之處。
他們起草了不合格報告，並與 EsBank 代表討論了審計結論，代表同意在兩個月內針對發現的不合格問題提交行動計劃。
EsBank 接受了審計組組長提出的解決方案。他們根據實體和電子格式的分類方案起草了資訊標籤程序，解決了不合格問題。可移動媒體程式也基於此程式進行了更新。
審計完成兩週後，EsBank 提交了總體行動計畫。在那裡，他們解決了檢測到的不合格問題以及採取的糾正措施，但沒有包括有關受影響的系統、控製或操作的任何詳細資訊。審核小組評估了該行動計劃並得出結論，該計劃將解決不合格問題。然而，EsBank 收到了不利的認證建議。
根據上述場景，回答以下問題：
根據情境8，EsBank 提交了總體行動計畫。這是可以接受的嗎？
正解：A
解答を投票する
解説: (JPNTest メンバーにのみ表示されます)
您正在一家提供醫療保健服務的住宅療養院進行 ISMS 審核。審核計畫的下一步是驗證業務連續性管理流程的資訊安全性。
在審計過程中，您了解到該組織啟動了其中一項業務連續性計劃 (BCP)，以確保護理服務在最近的大流行期間繼續進行。您要求服務經理解釋組織如何在業務連續性管理流程中管理資訊安全。
服務經理提出針對大流行的護理服務連續性計劃，並將流程總結如下：
停止接納任何新居民。
70%的行政人員和30%的醫護人員將在家工作。
定期員工自我檢測，包括在來辦公室前 1 天提交陰性檢測報告。
安裝 ABC 的醫療保健行動應用程序，追蹤他們的足跡並出示綠色健康狀況二維碼以供現場檢查。
您詢問服務經理，當員工在家工作時，如何防止非相關家庭成員或利害關係人存取居民的個人資料。服務經理無法回答，並建議安全經理應提供協助。
您想要進一步調查其他領域以收集更多審計證據 選擇將在您的審計追蹤中的三個選項。
在審計過程中，您了解到該組織啟動了其中一項業務連續性計劃 (BCP)，以確保護理服務在最近的大流行期間繼續進行。您要求服務經理解釋組織如何在業務連續性管理流程中管理資訊安全。
服務經理提出針對大流行的護理服務連續性計劃，並將流程總結如下：
停止接納任何新居民。
70%的行政人員和30%的醫護人員將在家工作。
定期員工自我檢測，包括在來辦公室前 1 天提交陰性檢測報告。
安裝 ABC 的醫療保健行動應用程序，追蹤他們的足跡並出示綠色健康狀況二維碼以供現場檢查。
您詢問服務經理，當員工在家工作時，如何防止非相關家庭成員或利害關係人存取居民的個人資料。服務經理無法回答，並建議安全經理應提供協助。
您想要進一步調查其他領域以收集更多審計證據 選擇將在您的審計追蹤中的三個選項。
正解：A、B、E
解答を投票する
解説: (JPNTest メンバーにのみ表示されます)
情境 6：Sinvestment 是一家提供家庭保險、商業保險和人壽保險的保險公司。該公司成立於北卡羅來納州，但最近在其他地區進行了擴張，包括歐洲和非洲。
Sinvestment 致力於遵守適用於其行業的法律法規，並防止任何資訊安全事件。他們實施了基於 ISO/IEC 27001 的 ISMS 並申請了 ISO/IEC 27001 認證。
認證機構指派兩名審核員進行審核。與Sinvestment簽訂保密協議後。他們開始了審計活動。首先，他們審查了標準要求的文件，包括 ISMS 範圍聲明、資訊安全政策和內部稽核報告。審查過程並不容易，因為儘管 Sinvestment 表示他們已製定文件程序，但並非所有文件都具有相同的格式。
隨後，審計小組對Sinvestment的高階主管進行了多次訪談，以了解他們在ISMS實施中的作用。第一階段審計的所有活動都是遠端進行的，除了根據 Sinvestment 的要求在現場進行的文件資訊審查之外。
在此階段，審計人員發現沒有與資訊安全培訓和意識計劃相關的文件。被問及時，Sinvestment代表表示，公司已為所有員工提供資訊安全培訓課程。第一階段審計讓審計團隊對 Sinvestment 的營運和 ISMS 有了整體了解。
第二階段審核在第一階段審核三週後進行。審計小組觀察到，行銷部門（未包含在審計範圍內）沒有適當的程序來控制員工的存取權限。由於控制員工的存取權限是ISO/IEC 27001的要求之一，並且已包含在公司的資訊安全政策中，因此該問題包含在審計報告中。此外，在第二階段審計中，審計小組觀察到Sinvestment沒有記錄使用者活動日誌。
該公司的程序規定“記錄用戶活動的日誌應保留並定期審查”，但該公司沒有提供任何執行該程序的證據。
在所有審核活動中，審核員透過觀察、訪談、文件化資訊審查、分析和技術驗證來收集資訊和證據。對第一階段和第二階段的所有審核結果進行了分析，審核小組決定發布積極的認證建議。
在第一階段審核中，審核小組發現Sinvestment沒有資訊安全訓練和意識的記錄。在這種情況下，Sinvestment 會做什麼？請參閱場景 6。
Sinvestment 致力於遵守適用於其行業的法律法規，並防止任何資訊安全事件。他們實施了基於 ISO/IEC 27001 的 ISMS 並申請了 ISO/IEC 27001 認證。
認證機構指派兩名審核員進行審核。與Sinvestment簽訂保密協議後。他們開始了審計活動。首先，他們審查了標準要求的文件，包括 ISMS 範圍聲明、資訊安全政策和內部稽核報告。審查過程並不容易，因為儘管 Sinvestment 表示他們已製定文件程序，但並非所有文件都具有相同的格式。
隨後，審計小組對Sinvestment的高階主管進行了多次訪談，以了解他們在ISMS實施中的作用。第一階段審計的所有活動都是遠端進行的，除了根據 Sinvestment 的要求在現場進行的文件資訊審查之外。
在此階段，審計人員發現沒有與資訊安全培訓和意識計劃相關的文件。被問及時，Sinvestment代表表示，公司已為所有員工提供資訊安全培訓課程。第一階段審計讓審計團隊對 Sinvestment 的營運和 ISMS 有了整體了解。
第二階段審核在第一階段審核三週後進行。審計小組觀察到，行銷部門（未包含在審計範圍內）沒有適當的程序來控制員工的存取權限。由於控制員工的存取權限是ISO/IEC 27001的要求之一，並且已包含在公司的資訊安全政策中，因此該問題包含在審計報告中。此外，在第二階段審計中，審計小組觀察到Sinvestment沒有記錄使用者活動日誌。
該公司的程序規定“記錄用戶活動的日誌應保留並定期審查”，但該公司沒有提供任何執行該程序的證據。
在所有審核活動中，審核員透過觀察、訪談、文件化資訊審查、分析和技術驗證來收集資訊和證據。對第一階段和第二階段的所有審核結果進行了分析，審核小組決定發布積極的認證建議。
在第一階段審核中，審核小組發現Sinvestment沒有資訊安全訓練和意識的記錄。在這種情況下，Sinvestment 會做什麼？請參閱場景 6。
正解：A
解答を投票する
解説: (JPNTest メンバーにのみ表示されます)
您正在一家提供醫療保健服務的住宅療養院進行 ISMS 審核。審核計畫的下一步是驗證資訊安全事件管理流程。 IT 安全經理介紹了資訊安全事件管理程序，並解釋該流程基於 ISO/IEC 27035-1:2016。
您查看該文件並注意到一條聲明「任何資訊安全弱點、事件和事故應在識別後 1 小時內報告給聯絡人 (PoC)」。在訪問員工時，您發現大家對「弱點、事件、事件」意義的理解有差異。
您從事件追蹤系統中抽取過去 6 個月的事件報告記錄樣本，總結結果如下表所示。
您想進一步調查其他領域以收集更多審計證據。選擇兩個不會出現在您的審核追蹤中的選項。
您查看該文件並注意到一條聲明「任何資訊安全弱點、事件和事故應在識別後 1 小時內報告給聯絡人 (PoC)」。在訪問員工時，您發現大家對「弱點、事件、事件」意義的理解有差異。
您從事件追蹤系統中抽取過去 6 個月的事件報告記錄樣本，總結結果如下表所示。
您想進一步調查其他領域以收集更多審計證據。選擇兩個不會出現在您的審核追蹤中的選項。
正解：D、F
解答を投票する
解説: (JPNTest メンバーにのみ表示されます)
在管理系統審核的背景下，請確定收集和驗證資訊的典型流程的順序。第一個已經為你完成了。
正解：
Explanation:
* Identifying the source of information (already given)
* Gathering audit evidence: This involves collecting information from various sources such as documents, records, interviews, and observations.
* Sampling the available data: Due to the vast amount of information available, auditors typically use sampling techniques to select representative data for closer scrutiny.
* Verifying objective evidence: This involves checking the accuracy, completeness, and reliability of the collected evidence.
* Evaluating evidence against the audit criteria: Auditors compare the collected evidence to the established criteria (e.g., standards, policies, procedures) to assess compliance and effectiveness.
* Recording audit findings: This involves documenting the results of the evaluation, including observations, conclusions, and recommendations.
* Making audit conclusions: Based on the recorded findings, auditors formulate overall conclusions about the status of the management system.
Therefore, the correct sequence is:
1. Identifying the source of information 2. Gathering audit evidence 3. Sampling the available data 4.
Verifying objective evidence 5. Evaluating evidence against the audit criteria 6. Recording audit findings 7.
Making audit conclusions