무료 온라인 액세스 PECB.ISO-IEC-27001-Lead-Auditor-KR.v2025-03-19.q128 모의 시험 (Page 15)

ISO-IEC-27001-Lead-Auditor-KR 문제 66

인증기관이 인증을 부여하기로 결정할 때 감사 보고서에서 다음 결론 중 요구되지 않는 것은 무엇입니까?

A. 주요 불일치 사항과 관련하여 조직에서 취한 시정 조치가 승인되었습니다.

B. 조직은 정보 보안 관리 시스템에 적용되는 모든 법적 및 기타 요구 사항을 완벽하게 준수합니다.

C. 사소한 불일치와 관련된 시정 조치를 처리하기 위한 계획이 승인되었습니다.

D. 인증범위가 충족되었습니다.

ISO-IEC-27001-Lead-Auditor-KR 문제 67

문장을 가장 잘 완성하는 단어를 선택하세요:

ISO-IEC-27001-Lead-Auditor-KR 문제 68

당신은 온라인 보험 기관의 제3자 감사를 수행하는 감사팀 리더입니다. 단계 중
1. 해당 조직이 매우 신중한 위험 접근 방식을 취하고 ISO/IEC 27001:2022 부록 A의 모든 정보 보안 통제를 적용성 설명서에 포함했다는 것을 발견했습니다.
2단계 감사 중에 감사팀은 적용성 설명서 발췌문에 나와 있는 세 가지 통제(5.3 업무 분리, 6.1 스크리닝, 7.12 케이블 보안)의 구현에 대한 증거가 없다는 것을 발견했습니다. 위험 처리 계획은 발견되지 않았습니다.

ISO/IEC 27001:2022의 조항 6.1.3.e에 대한 불일치에 대응하여 감사 대상자가 취할 것으로 기대되는 조치에 대한 세 가지 옵션을 선택하십시오.

A. 감사인에게 통제가 구현되었음을 입증하는 증거를 제시할 책임을 할당합니다.

B. 통제와 관련된 위험을 주기적으로 평가하기 위한 계획을 수립합니다.

C. 적용 가능한 각 통제에 대해 적절한 위험 처리를 구현합니다.

D. 조직의 보안 매뉴얼에 통제를 위한 서면 절차를 통합합니다.

E. 적용성 설명서에서 세 가지 통제 항목을 제거합니다.

F. 적용 가능성에 대한 설명에서 관련 내용을 수정하여 제외 이유를 정당화하세요.

G. 세 가지 통제와 관련된 위험 평가 프로세스를 다시 살펴보세요.

H. 고객 설문 조사를 실시하여 고객에게 통제가 필요한지 확인합니다.

정답: C,F,G

According to the PECB Candidate Handbook for ISO/IEC 27001 Lead Auditor, the auditee should take the following actions in response to a nonconformity against clause 6.1.3.e of ISO/IEC 27001:20221:
* Implement the appropriate risk treatment for each of the applicable controls, as this is the main requirement of clause 6.1.3.e and the objective of the risk treatment process2.
* Revise the relevant content in the Statement of Applicability to justify their exclusion, as this is the expected output of the risk treatment process and the evidence of the risk-based decisions3.
* Revisit the risk assessment process relating to the three controls, as this is the input for the risk treatment process and the source of identifying the risks and the controls4.
The other options are not correct because:
* Allocating responsibility for producing evidence to prove to auditors that the controls are implemented is not a valid action, as the audit team already found that there was no evidence of the implementation of the three controls.
* Compiling plans for the periodic assessment of the risks associated with the controls is not a valid action, as this is part of the risk monitoring and review process, not the risk treatment process5.
* Incorporating written procedures for the controls into the organisation's Security Manual is not a valid action, as this is part of the documentation and operation of the ISMS, not the risk treatment process.
* Removing the three controls from the Statement of Applicability is not a valid action, as this is not a sufficient justification for their exclusion and does not reflect the risk treatment process.
* Undertaking a survey of customers to find out if the controls are needed by them is not a valid action, as this is not a relevant criterion for the risk assessment and treatment process, which should be based on the organisation's own context and objectives.
References: 1: PECB Candidate Handbook for ISO/IEC 27001 Lead Auditor, page 36, section 4.5.22: ISO
/IEC 27001:2022, clause 6.1.3.e3: ISO/IEC 27001:2022, clause 6.1.3.f4: ISO/IEC 27001:2022, clause 6.1.25:
ISO/IEC 27001:2022, clause 6.2. : ISO/IEC 27001:2022, clause 7.5 and 8. : ISO/IEC 27001:2022, clause
6.1.3.d. : ISO/IEC 27001:2022, clause 4.1 and 4.2.

ISO-IEC-27001-Lead-Auditor-KR 문제 69

감사 중에 감사팀장은 논리적인 추론과 분석을 바탕으로 시기적절한 결론을 도출했습니다.
감사팀 리더는 어떤 전문적인 행동을 보였나요?

A. 결정적

B. 열린 마음

C. 윤리적

D. 지각적

ISO-IEC-27001-Lead-Auditor-KR 문제 70

시나리오 7: Lawsy는 뉴저지와 뉴욕시에 사무실을 둔 선도적인 로펌입니다. 50명 이상의 변호사가 기업 및 상법, 지적 재산권, 은행 및 금융 서비스 분야에서 고객에게 정교한 법률 서비스를 제공합니다. 그들은 정보 보안 모범 사례를 구현하고 기술 개발에 대한 최신 정보를 유지하려는 노력 덕분에 시장에서 편안한 입지를 확보했다고 믿습니다.
Lawsy는 지난 2년간 ISMS에 대한 내부 감사를 엄격하게 시행, 평가하고 수행해 왔습니다.
이제 그들은 널리 알려지고 신뢰받는 인증기관인 ISMA에 ISO/IEC 27001 인증을 신청했습니다.
1단계 감사 동안 감사팀은 구현 중에 작성된 모든 ISMS 문서를 검토했습니다.
또한 그들은 경영진 검토와 내부 감사의 기록을 검토하고 평가했습니다.
Lawsy는 필요한 경우 불일치에 대한 시정 조치가 수행되었다는 증거 기록을 제출했으므로 감사팀은 내부 감사자를 인터뷰했습니다. 인터뷰는 내부 감사 계획 및 절차에 대한 자세한 통찰력을 제공하여 내부 감사의 적절성과 빈도를 검증했습니다.
감사팀은 정보 보안 정책 및 위험 평가 기준을 포함한 전략적 문서의 검증을 계속했습니다. 정보 보안 정책 검토 중에 팀은 거버넌스 프레임워크(즉, 정보 보안 정책)를 설명하는 문서화된 정보와 절차 사이에 불일치가 있음을 발견했습니다.
직원들이 노트북을 직장 밖으로 가지고 나갈 수 있었지만 Lawsy는 그러한 경우 노트북 사용에 대한 절차를 마련하지 않았습니다. 정책은 노트북 사용에 대한 일반적인 정보만 제공했습니다. 회사는 직원들의 상식에 의존하여 노트북에 저장된 정보의 기밀성과 무결성을 보호했습니다. 이 문제는 1단계 감사 보고서에 기록되었습니다.
1단계 감사를 완료한 후 감사팀장은 감사 목표, 범위, 기준, 절차 등을 다룬 감사 계획을 준비했습니다.
2단계 감사에서 감사팀은 정보 보안 정책을 초안한 정보 보안 관리자를 인터뷰했습니다. 그는 Lawsy가 3개월마다 의무적인 정보 보안 교육 및 인식 세션을 실시한다는 말로 1단계에서 발견된 문제를 정당화했습니다.
인터뷰 후 감사팀은 15개의 직원 교육 기록(50개 중)을 검토하고 Lawsy가 교육 및 인식과 관련된 ISO/IEC 27001 요구 사항을 충족한다는 결론을 내렸습니다. 이 결론을 뒷받침하기 위해 감사팀은 검토한 직원 교육 기록을 복사했습니다.
위의 시나리오를 토대로 다음 질문에 답하세요.
감사팀은 검토한 직원 교육 기록을 복사하여 결론을 뒷받침했습니다. 감사팀은 이 조치를 취하기 전에 Lawsy의 승인을 받아야 합니까? 시나리오 7을 참조하십시오.

A. 예. 감사팀은 모든 경우에 프로세스의 존재를 검증할 때, 특히 메모를 작성하거나 문서를 복사할 때 감사대상자의 승인을 받아야 합니다.

B. 예, 감사팀은 감사대상자가 동의하는 경우 감사 중에 관찰된 문서를 복사할 수 있습니다.

C. 아니요, 감사팀은 특정 문서가 감사 기준에 적합한지 확인하기 위해 문서를 복사할 권한이 있습니다.

다른 버전: 947PECB.ISO-IEC-27001-Lead-Auditor-KR.v2026-04-28.q207; 687PECB.ISO-IEC-27001-Lead-Auditor-KR.v2025-04-10.q163

최근 업로드: 113Snowflake.ADA-C02.v2026-06-08.q23; 141Microsoft.SC-300-KR.v2026-06-08.q173; 112Microsoft.DP-300-KR.v2026-06-08.q157; 126Microsoft.MS-102-KR.v2026-06-08.q240; 122Microsoft.DP-300-KR.v2026-06-08.q176; 129Microsoft.SC-100-KR.v2026-06-08.q115; 121TheBerylInstitute.CPXP.v2026-06-06.q56; 190ACAMS.CAMS7-KR.v2026-06-05.q213; 181PaloAltoNetworks.XSIAM-Analyst.v2026-06-04.q72; 159NLN.NEX.v2026-06-04.q54