무료 온라인 액세스 PECB.ISO-IEC-27001-Lead-Auditor-KR.v2025-03-19.q128 모의 시험 (Page 18)

ISO-IEC-27001-Lead-Auditor-KR 문제 81

시나리오 5: Data Grid Inc.는 전체 정보 기술 인프라에 보안 서비스를 제공하는 잘 알려진 회사입니다. 엔드포인트 보안, 방화벽, 바이러스 백신 소프트웨어를 포함한 사이버 보안 소프트웨어를 제공합니다. Data Grid Inc.는 20년 동안 다양한 회사가 고급 제품과 서비스를 통해 네트워크를 보호하도록 도왔습니다. 정보 및 네트워크 보안 분야에서 명성을 얻은 Data Grid Inc.는 내부 및 고객 자산을 보다 안전하게 보호하고 경쟁 우위를 확보하기 위해 ISO/IEC 27001 인증을 취득하기로 결정했습니다.
Data Grid Inc.는 감사 위임 조건에 동의한 감사팀을 임명했습니다. 또한 Data Grid Inc.는 감사 범위를 정의하고 감사 기준을 명시했으며 5일 이내에 감사를 마감할 것을 제안했습니다. 감사팀은 Data Grid Inc.가 5일 이내에 감사를 실시하겠다는 제안을 거부했습니다. 회사에는 직원이 많고 프로세스가 복잡하기 때문입니다. Data Grid Inc.는 5일 이내에 감사를 완료할 계획이라고 주장했기 때문에 양측은 정의된 기간 내에 감사를 실시하기로 합의했습니다. 감사팀은 위험 기반 감사 방식을 따랐습니다.
주요 비즈니스 프로세스와 통제에 대한 개요를 얻기 위해 감사팀은 프로세스 설명과 조직도에 접근했습니다. 그들은 IT 인프라와 애플리케이션에 대한 접근이 제한되어 IT 위험과 통제에 대한 심층 분석을 수행할 수 없었습니다. 그러나 감사팀은 대부분의 회사 프로세스가 자동화되었기 때문에 Data Grid Inc.의 ISMS에 중대한 결함이 발생할 위험이 낮다고 말했습니다. 따라서 그들은 Data Grid Inc.의 담당자에게 다음 질문을 하여 ISMS가 전체적으로 표준 요구 사항을 준수하는지 평가했습니다.
*IT 및 IT 통제에 대한 책임은 어떻게 정의되고 할당됩니까?
*Data Grid Inc.에서는 통제를 통해 원하는 결과가 달성되었는지 어떻게 평가합니까?
*Data Grid Inc.에서는 운영 환경과 데이터를 악성 소프트웨어로부터 보호하기 위해 어떤 제어 기능을 갖추고 있습니까?
*방화벽 관련 제어 기능이 구현되어 있습니까?
Data Grid Inc.의 대표자는 이러한 모든 질문에 답하기에 충분하고 적절한 증거를 제공했습니다.
감사팀장은 감사 결론을 초안하여 Data Grid Inc.의 최고 경영진에게 보고했습니다.
Data Grid Inc.는 감사원으로부터 인증을 권고받았지만, 감사 목표와 관련하여 Data Grid Inc.와 인증 기관 사이에 오해가 제기되었습니다. Data Grid Inc.는 감사 목표에 잠재적 개선 영역을 식별하는 것이 포함되어 있지만 감사팀은 그러한 정보를 제공하지 않았다고 말했습니다.
이 시나리오를 바탕으로 다음 질문에 답하세요.
시나리오 5에 따라 감사팀은 ISMS 감사를 위한 Data Grid Inc.의 제안된 감사 기간에 동의하지 않았습니다. 이런 상황을 어떻게 설명하시겠습니까?

A. 허용 가능, 감사인은 감사 기간이 충분하지 않다고 판단하는 경우 감사 위임에 대해 이의를 제기하거나 거부할 권리가 있습니다.

B. 허용 불가, 감사 기간은 감사 대상자에 의해 정의되며 감사자가 변경할 수 없습니다.

C. 허용되지 않음, 감사 위임이 승인되면 감사 기간을 변경할 수 없습니다.

ISO-IEC-27001-Lead-Auditor-KR 문제 82

'교정 조치'라는 용어는 무엇을 의미합니까? 하나를 선택하십시오.

A. 불일치 또는 사고가 발생하지 않도록 조치를 취합니다.

B. 불일치 또는 사고의 원인을 제거하기 위한 조치가 취해집니다.

C. 경영진이 불일치에 대응하기 위해 조치를 취합니다.

D. 불일치 또는 사고를 해결하기 위한 조치가 취해집니다.

ISO-IEC-27001-Lead-Auditor-KR 문제 83

ACT에서 우리가 하는 일은 무엇입니까? - PDCA 사이클에서

A. 프로세스 성능을 지속적으로 모니터링하기 위한 조치를 취하십시오.

B. 프로세스 성능을 지속적으로 개선하기 위한 조치를 취하십시오.

C. 프로세스 성능을 지속적으로 모니터링하기 위한 조치를 취하십시오.

D. 사람들의 성과를 지속적으로 개선하기 위한 조치를 취하십시오.

ISO-IEC-27001-Lead-Auditor-KR 문제 84

귀하는 의료 서비스를 제공하는 주거형 요양원에서 ISMS 감사를 수행하고 있습니다. 감사 계획의 다음 단계는 비즈니스 연속성 관리 프로세스의 정보 보안을 확인하는 것입니다. 감사 중에 조직이 최근 팬데믹 동안 요양 서비스를 계속하기 위해 비즈니스 연속성 계획(BCP) 중 하나를 활성화했다는 사실을 알게 되었습니다. 귀하는 서비스 관리자에게 조직이 비즈니스 연속성 관리 프로세스 동안 정보 보안을 어떻게 관리하는지 설명해 달라고 요청합니다.
서비스 관리자는 전염병에 대비한 간호 서비스 연속성 계획을 제시하고 그 과정을 다음과 같이 요약했습니다.
새로운 거주자의 입국을 중단합니다.
행정 직원의 70%, 의료진의 30%가 재택근무를 하게 됩니다.
직원들이 정기적으로 자가 검사를 실시하며, 사무실에 출근하기 1일 전에 음성 검사 보고서를 제출합니다.
ABC의 의료 모바일 앱을 설치하고, 발자국을 추적하고, 그 자리에서 확인할 수 있는 GREEN 건강 상태 QR 코드를 제시하세요.
서비스 관리자에게 직원이 재택근무할 때 관련 없는 가족 구성원이나 이해 관계자가 거주자의 개인 데이터에 액세스하는 것을 방지하는 방법을 묻습니다. 서비스 관리자는 대답할 수 없고 IT 보안 관리자가 도와야 한다고 제안합니다.
다른 영역을 더 조사하여 더 많은 감사 증거를 수집하고 싶을 것입니다. 감사 추적에 포함되지 않을 세 가지 옵션을 선택하세요.

A. 중단 중 정보 보안 프로토콜이 어떻게 유지되는지에 대한 더 많은 증거 수집(제어 A.5.29와 관련됨)

B. 직원이 재택근무 시 맬웨어로부터 보호된 IT 장비만 사용한다는 추가 증거 수집(통제 A.8.7과 관련)

C. 추가 직원을 인터뷰하여 그들이 때때로 재택근무를 해야 할 필요성을 알고 있는지 확인하기 위해 더 많은 증거를 수집합니다(조항 7.3과 관련됨)

D. 비즈니스 연속성 계획이 어떻게 그리고 언제 테스트되었는지에 대한 더 많은 증거를 수집합니다. (제어 A.5.29와 관련됨)

E. 조직에서 모든 직원이 주기적으로 코로나 양성 검사를 실시하도록 하는 방법에 대한 더 많은 증거를 수집합니다(통제 A.7.2와 관련됨)

F. 조직이 모바일 기기 및 재택근무 중 정보 보안을 관리하는 방법에 대한 더 많은 증거 수집(통제 A.6.7과 관련됨)

G. 조직이 기존 거주자를 요양원에서 얼마나 빨리 퇴원시킬 수 있는지 평가하기 위해 사업 위험 평가를 수행하는 방법에 대한 더 많은 증거를 수집합니다. (조항 6과 관련됨)

H. 조직이 재택근무 직원을 지원하기 위해 제공하는 리소스에 대한 더 많은 증거를 수집합니다. (조항 7.1과 관련됨)

정답: E,G,H

According to ISO/IEC 27001:2022 clause 6.1, the organization must establish, implement and maintain an information security risk management process that includes the following activities:
* establishing and maintaining information security risk criteria;
* ensuring that repeated information security risk assessments produce consistent, valid and comparable results;
* identifying the information security risks;
* analyzing the information security risks;
* evaluating the information security risks;
* treating the information security risks;
* accepting the information security risks and the residual information security risks;
* communicating and consulting with stakeholders throughout the process;
* monitoring and reviewing the information security risks and the risk treatment plan.
According to control A.5.29, the organization must establish, document, implement and maintain processes, procedures and controls to ensure the required level of continuity for information security during a disruptive situation. The organization must also:
* determine its requirements for information security and the continuity of information security management in adverse situations, e.g. during a crisis or disaster;
* establish, document, implement and maintain processes, procedures and controls to ensure the required level of continuity for information security during an adverse situation;
* verify the availability of information processing facilities.
Therefore, the following options will not be in your audit trail, as they are not relevant to the information security risk management process or the information security continuity process:
* E. Collect more evidence on how the organisation makes sure all staff periodically conduct a positive Covid test (Relevant to control A.7.2). This is not relevant to the information security aspects of business continuity management, as it is related to the health and safety of the staff, not the protection of information assets. Control A.7.2 is about screening of personnel prior to employment, not during employment.
* G. Collect more evidence on how the organisation performs a business risk assessment to evaluate how fast the existing residents can be discharged from the nursing home. (Relevant to clause 6). This is not relevant to the information security aspects of business continuity management, as it is related to the operational and financial aspects of the business, not the identification and treatment of information security risks. Clause 6 is about the information security risk management process, not the business risk management process.
* H. Collect more evidence on what resources the organisation provides to support the staff working from home. (Relevant to clause 7.1). This is not relevant to the information security aspects of business continuity management, as it is related to the general provision of resources for the ISMS, not the specific processes, procedures and controls to ensure the continuity of information security during a disruptive situation. Clause 7.1 is about determining and providing the resources needed for the establishment, implementation, maintenance and continual improvement of the ISMS, not the resources needed for the staff working from home.
References:
* ISO/IEC 27001:2022, clauses 6.1, 7.1, and Annex A control A.5.29
* [PECB Candidate Handbook ISO/IEC 27001 Lead Auditor], pages 14-15, 17, 22-23
* ISO 27001:2022 Annex A Control 5.29 - What's New?
* ISO 22301 Business Continuity Management System

ISO-IEC-27001-Lead-Auditor-KR 문제 85

다음 중 이해당사자의 정의는 무엇입니까?

A. 제3자는 결정이나 활동으로 인해 영향을 받는다고 느낄 때 조직에 항소할 수 있습니다.

B. 결정이나 활동에 영향을 받거나 영향을 받을 수 있거나 영향을 받는 것으로 인식하는 개인 또는 조직

C. 경영 결정에 간섭할 수 있거나 간섭을 받는 것으로 인식하는 그룹 또는 조직

D. 결정이나 활동을 통제할 수 있거나, 통제를 받거나, 통제를 받는다고 인식하는 개인이나 조직