Szenario 3: Socket Inc. ist ein Telekommunikationsunternehmen, das hauptsächlich drahtlose Produkte und Dienste anbietet. Es verwendet MongoDB, eine Dokumentmodelldatenbank, die hohe Verfügbarkeit, Skalierbarkeit und Flexibilität bietet.
Im vergangenen Monat meldete Socket Inc. einen Vorfall im Bereich der Informationssicherheit. Eine Gruppe von Hackern hatte die MongoDB-Datenbank kompromittiert, weil die Datenbankadministratoren die Standardeinstellungen nicht geändert hatten. Dadurch war die Datenbank ohne Passwort und öffentlich zugänglich.
Glücklicherweise führte Socket Inc. regelmäßige Backups seiner MongoDB-Datenbank durch, sodass während des Vorfalls keine Informationen verloren gingen. Ein Syslog-Server ermöglichte es Socket Inc. zudem, alle Protokolle auf einem Server zu zentralisieren. Durch die Überprüfung der Ereignisprotokolle, die Benutzerfehler und Ausnahmen aufzeichnen, stellte das Unternehmen fest, dass keine persistente Hintertür vorhanden war und der Angriff nicht von einem internen Mitarbeiter initiiert wurde.
Um ähnliche Vorfälle in Zukunft zu verhindern, entschied sich Socket Inc. für ein Zugangskontrollsystem, das nur autorisiertem Personal Zugriff gewährt. Das Unternehmen implementierte außerdem eine Kontrolle, um Regeln für den effektiven Einsatz von Kryptografie, einschließlich der Verwaltung kryptografischer Schlüssel, zu definieren und umzusetzen, um die Datenbank vor unbefugtem Zugriff zu schützen. Die Implementierung basierte auf allen relevanten Vereinbarungen, Gesetzen und Vorschriften sowie dem Informationsklassifizierungsschema. Um die Sicherheit zu verbessern und den Verwaltungsaufwand zu reduzieren, wurde eine Netzwerktrennung mittels VPNs vorgeschlagen.
Schließlich hat Socket Inc. ein neues System zur Pflege, Erfassung und Analyse von Informationen im Zusammenhang mit Bedrohungen der Informationssicherheit und zur Integration der Informationssicherheit in das Projektmanagement implementiert.
Was würde Socket Inc. basierend auf Szenario 3 dabei helfen, in Zukunft mit ähnlichen Informationssicherheitsvorfällen umzugehen?

• A. Durch die Nutzung des Zugangskontrollsystems wird sichergestellt, dass nur autorisiertes Personal Zugang erhält
• B. Verwendung der MongoDB-Datenbank mit den Standardeinstellungen
• C. Verwenden kryptografischer Schlüssel zum Schutz der Datenbank vor unbefugtem Zugriff

Szenario 6: Skyver bietet den weltweiten Versand von elektronischen Produkten an, darunter Spielkonsolen, Flachbildfernseher, Computer und Drucker. Um die Informationssicherheit zu gewährleisten, hat sich das Unternehmen für die Implementierung eines Informationssicherheits-Managementsystems (ISMS) nach den Anforderungen der ISO/IEC 27001 entschieden.
Colin, der beste Informationssicherheitsexperte des Unternehmens, beschloss, eine Schulung und Sensibilisierungsveranstaltung für die Mitarbeiter des Unternehmens zu den Herausforderungen der Informationssicherheit und anderen informationssicherheitsrelevanten Kontrollen abzuhalten. Die Veranstaltung umfasste Themen wie Skyvers Ansätze zur Informationssicherheit und Techniken zur Eindämmung von Phishing und Malware.
Eine der Teilnehmerinnen der Sitzung ist Lisa, die in der Personalabteilung arbeitet. Obwohl Colin die bestehenden Informationssicherheitsrichtlinien und -verfahren von Skyver ehrlich und fair erklärt, findet sie einige der besprochenen Themen zu technisch und versteht die Sitzung nicht vollständig. Daher bittet sie häufig den Trainer und ihre Kollegen um zusätzliche Hilfe. Basierend auf Szenario 6 fand Lisa einige der in der Schulung und Sensibilisierungssitzung besprochenen Themen zu technisch und verstand die Sitzung daher nicht vollständig. Was bedeutet das?

• A. Die Wirksamkeit der Schulung und Sensibilisierungssitzung wurde nicht bewertet
• B. Lisa hat keine Maßnahmen ergriffen, um die erforderliche Kompetenz zu erwerben
• C. Skyver hat die unterschiedlichen Teamanforderungen nicht entsprechend den von ihnen durchgeführten Aktivitäten und den beabsichtigten Ergebnissen ermittelt.

Eine Organisation nutzt Platform as a Services (PaaS), um ihre Cloud-basierten Dienste zu hosten. Der Cloud-Anbieter verwaltet die meisten Dienste für die Organisation. Die Organisation verwaltet jedoch weiterhin____________________

• A. Anwendung und Daten
• B. Betriebssystem und Visualisierung
• C. Server und Speicher

Ein schnell wachsender Cloud-Service-Anbieter sieht sich mit neuen Datenschutzbestimmungen und sich ständig weiterentwickelnden Cyberbedrohungen konfrontiert. Welche Eigenschaften sind für die Konzeption und den Betrieb eines Informationssicherheitsmanagementsystems (ISMS) am wichtigsten, um sicherzustellen, dass es weiterhin den Geschäfts- und Compliance-Anforderungen gerecht wird?

• A. Anpassungsfähig und nur auf internes Wachstum reagierend
• B. Anpassungsfähig und reaktionsfähig auf äußere Veränderungen
• C. Strukturiert und resistent gegen häufige Änderungen

Wer sollte unter anderem an der Ausarbeitung, Überprüfung und Validierung von Verfahren zur Informationssicherheit beteiligt sein?

• A. Die für den ISMS-Betrieb zuständigen Mitarbeiter
• B. Ein externer Experte
• C. Der Informationssicherheitsausschuss