ISO-IEC-27001-Lead-Auditor-KR 문제 61
질문
한 조직에서 정보보안관리시스템(ISMS)의 효과성을 평가하기 위한 내부 감사를 계획했습니다. 그러나 감사 범위와 감사 목표를 명확히 정의하지 않았습니다. 그 결과, 내부 감사자는 민감한 정보를 다루는 중요한 부서들을 간과했습니다.
이 시나리오에서 감사 프로그램과 관련된 어떤 위험이 존재했습니까?
한 조직에서 정보보안관리시스템(ISMS)의 효과성을 평가하기 위한 내부 감사를 계획했습니다. 그러나 감사 범위와 감사 목표를 명확히 정의하지 않았습니다. 그 결과, 내부 감사자는 민감한 정보를 다루는 중요한 부서들을 간과했습니다.
이 시나리오에서 감사 프로그램과 관련된 어떤 위험이 존재했습니까?
ISO-IEC-27001-Lead-Auditor-KR 문제 62
정보 보안 관리 시스템 감사팀장으로서, 귀하는 온라인 소매업체를 대신하여 국제 물류 회사에 대한 제2자 감사를 수행하고 있습니다.
감사 중에 팀원 중 한 명이 ISO/IEC 27001:2022 부록 A의 제어 5.18(접근 권한)과 관련된 불일치 사항을 보고했습니다.
그녀는 지난 3개월 동안 회사를 떠난 20명의 서버 접근 프로토콜을 제거하는 데 최대 1주일이 걸렸지만, 정책상 그들이 떠난 후 24시간 이내에 접근 권한을 제거해야 한다는 증거를 발견했습니다.
감사 대상자에게 접근 권한 제거가 지연된 이유를 묻자, 'COVID-19로 인해 그 기간 동안 IT 부서에 직원이 없었다'고 답했습니다.
IT 담당자가 나타나자마자 해당 권한은 제거되었습니다.
그녀가 접근 권한 제어에 대한 사소한 불일치를 제기할 의도가 있다는 것을 당신은 알고 있습니다(5.18). 당신은 이에 어떻게 대응해야 합니까?
감사 중에 팀원 중 한 명이 ISO/IEC 27001:2022 부록 A의 제어 5.18(접근 권한)과 관련된 불일치 사항을 보고했습니다.
그녀는 지난 3개월 동안 회사를 떠난 20명의 서버 접근 프로토콜을 제거하는 데 최대 1주일이 걸렸지만, 정책상 그들이 떠난 후 24시간 이내에 접근 권한을 제거해야 한다는 증거를 발견했습니다.
감사 대상자에게 접근 권한 제거가 지연된 이유를 묻자, 'COVID-19로 인해 그 기간 동안 IT 부서에 직원이 없었다'고 답했습니다.
IT 담당자가 나타나자마자 해당 권한은 제거되었습니다.
그녀가 접근 권한 제어에 대한 사소한 불일치를 제기할 의도가 있다는 것을 당신은 알고 있습니다(5.18). 당신은 이에 어떻게 대응해야 합니까?
ISO-IEC-27001-Lead-Auditor-KR 문제 63
시나리오 6: Sinvestment는 주택, 상업 및 생명 보험을 제공하는 보험 회사입니다. 이 회사는 노스캐롤라이나에서 설립되었지만 최근 유럽과 아프리카를 포함한 다른 지역으로 확장되었습니다.
Sinvestment는 해당 산업에 적용되는 법률 및 규정을 준수하고 정보 보안 사고를 예방하기 위해 최선을 다하고 있습니다. 그들은 ISO/IEC 27001을 기반으로 ISMS를 구현했으며 ISO/IEC 27001 인증을 신청했습니다.
인증 기관은 감사를 수행하기 위해 두 명의 감사원을 지정했습니다. Sinvestment와 기밀 유지 계약을 체결한 후 감사 활동을 시작했습니다. 먼저 ISMS 범위 선언, 정보 보안 정책 및 내부 감사 보고서를 포함하여 표준에서 요구하는 문서를 검토했습니다. Sinvestment가 문서화 절차를 갖추고 있다고 말했지만 모든 문서가 동일한 형식을 가지고 있지 않았기 때문에 검토 프로세스가 쉽지 않았습니다.
그런 다음 감사팀은 Sinvestment의 최고 경영진과 여러 차례 인터뷰를 진행하여 ISMS 구현에서 그들의 역할을 파악했습니다. 1단계 감사의 모든 활동은 Sinvestment의 요청에 따라 현장에서 진행된 문서화된 정보 검토를 제외하고 원격으로 수행되었습니다.
이 단계에서 감사원은 정보 보안 교육 및 인식 프로그램과 관련된 문서가 없다는 것을 발견했습니다. 질문을 받았을 때 Sinvestment의 대표는 회사가 모든 직원에게 정보 보안 교육 세션을 제공했다고 말했습니다. 1단계 감사를 통해 감사팀은 Sinvestment의 운영과 ISMS에 대한 일반적인 이해를 얻었습니다.
2단계 감사는 1단계 감사 3주 후에 실시되었습니다. 감사팀은 마케팅 부서(감사 범위에 포함되지 않음)에 직원의 접근 권한을 제어하는 절차가 없다는 것을 관찰했습니다. 직원의 접근 권한을 제어하는 것은 ISO/IEC 27001 요구 사항 중 하나이며 회사의 정보 보안 정책에 포함되었기 때문에 이 문제는 감사 보고서에 포함되었습니다. 또한 2단계 감사 중에 감사팀은 Sinvestment가 사용자 활동 로그를 기록하지 않았다는 것을 관찰했습니다.
회사 절차에는 "사용자 활동을 기록한 로그를 보관하고 정기적으로 검토해야 합니다."라고 명시되어 있지만, 회사는 이러한 절차의 구현에 대한 증거를 제시하지 않았습니다.
모든 감사 활동 동안 감사자는 관찰, 인터뷰, 문서화된 정보 검토, 분석 및 기술적 검증을 사용하여 정보와 증거를 수집했습니다. 1단계와 2단계의 모든 감사 결과를 분석했고 감사팀은 인증에 대한 긍정적인 권장 사항을 발행하기로 결정했습니다.
시나리오 6에 따르면, 마케팅 부서 직원들은 접근 제어 정책을 따르지 않았습니다.
이 경우 올바른 선택은 무엇입니까?
Sinvestment는 해당 산업에 적용되는 법률 및 규정을 준수하고 정보 보안 사고를 예방하기 위해 최선을 다하고 있습니다. 그들은 ISO/IEC 27001을 기반으로 ISMS를 구현했으며 ISO/IEC 27001 인증을 신청했습니다.
인증 기관은 감사를 수행하기 위해 두 명의 감사원을 지정했습니다. Sinvestment와 기밀 유지 계약을 체결한 후 감사 활동을 시작했습니다. 먼저 ISMS 범위 선언, 정보 보안 정책 및 내부 감사 보고서를 포함하여 표준에서 요구하는 문서를 검토했습니다. Sinvestment가 문서화 절차를 갖추고 있다고 말했지만 모든 문서가 동일한 형식을 가지고 있지 않았기 때문에 검토 프로세스가 쉽지 않았습니다.
그런 다음 감사팀은 Sinvestment의 최고 경영진과 여러 차례 인터뷰를 진행하여 ISMS 구현에서 그들의 역할을 파악했습니다. 1단계 감사의 모든 활동은 Sinvestment의 요청에 따라 현장에서 진행된 문서화된 정보 검토를 제외하고 원격으로 수행되었습니다.
이 단계에서 감사원은 정보 보안 교육 및 인식 프로그램과 관련된 문서가 없다는 것을 발견했습니다. 질문을 받았을 때 Sinvestment의 대표는 회사가 모든 직원에게 정보 보안 교육 세션을 제공했다고 말했습니다. 1단계 감사를 통해 감사팀은 Sinvestment의 운영과 ISMS에 대한 일반적인 이해를 얻었습니다.
2단계 감사는 1단계 감사 3주 후에 실시되었습니다. 감사팀은 마케팅 부서(감사 범위에 포함되지 않음)에 직원의 접근 권한을 제어하는 절차가 없다는 것을 관찰했습니다. 직원의 접근 권한을 제어하는 것은 ISO/IEC 27001 요구 사항 중 하나이며 회사의 정보 보안 정책에 포함되었기 때문에 이 문제는 감사 보고서에 포함되었습니다. 또한 2단계 감사 중에 감사팀은 Sinvestment가 사용자 활동 로그를 기록하지 않았다는 것을 관찰했습니다.
회사 절차에는 "사용자 활동을 기록한 로그를 보관하고 정기적으로 검토해야 합니다."라고 명시되어 있지만, 회사는 이러한 절차의 구현에 대한 증거를 제시하지 않았습니다.
모든 감사 활동 동안 감사자는 관찰, 인터뷰, 문서화된 정보 검토, 분석 및 기술적 검증을 사용하여 정보와 증거를 수집했습니다. 1단계와 2단계의 모든 감사 결과를 분석했고 감사팀은 인증에 대한 긍정적인 권장 사항을 발행하기로 결정했습니다.
시나리오 6에 따르면, 마케팅 부서 직원들은 접근 제어 정책을 따르지 않았습니다.
이 경우 올바른 선택은 무엇입니까?
ISO-IEC-27001-Lead-Auditor-KR 문제 64
감사 결과를 도출하는 것과 관련하여, 다음 문장을 가장 잘 완성하는 단어를 선택하세요.
가장 좋은 단어로 문장을 완성하려면 완성하려는 빈 섹션을 클릭하여 빨간색으로 강조 표시한 다음 아래 옵션에서 해당 텍스트를 클릭합니다. 또는 해당 빈 섹션으로 옵션을 끌어서 놓을 수도 있습니다.
가장 좋은 단어로 문장을 완성하려면 완성하려는 빈 섹션을 클릭하여 빨간색으로 강조 표시한 다음 아래 옵션에서 해당 텍스트를 클릭합니다. 또는 해당 빈 섹션으로 옵션을 끌어서 놓을 수도 있습니다.
ISO-IEC-27001-Lead-Auditor-KR 문제 65
시나리오 2: Knight는 미국 북부 캘리포니아의 전자 회사로 비디오 게임 콘솔을 개발합니다. Knight는 전 세계적으로 300명 이상의 직원을 보유하고 있습니다. 설립 5주년을 맞아 전 세계 시장을 겨냥한 차세대 비디오 게임 콘솔인 G-Console을 출시하기로 결정했습니다. G-Console은 플레이어에게 최고의 게임 경험을 선사할 2021년 최고의 미디어 머신으로 여겨집니다.
콘솔 팩에는 VR 헤드셋 한 쌍, 2개가 포함됩니다.
게임 및 기타 선물.
수년에 걸쳐 이 회사는 고객에 대한 성실함, 정직함, 존중심을 보임으로써 좋은 평판을 쌓았습니다. 이 좋은 평판은 대부분의 열정적인 게이머가 Knight's G-콘솔이 시장에 출시되자마자 그것을 갖고 싶어하는 이유 중 하나입니다.
Knight는 고객 중심적인 회사일 뿐만 아니라
개발 중인 품질로 인해 게임 업계에서도 널리 알려졌습니다. 가격은 합리적인 기준이 허용하는 것보다 약간 높습니다.
그럼에도 불구하고 Knight의 충성스러운 고객 대부분에게는 이는 문제가 되지 않습니다. Knight의 품질이 최고 수준이기 때문입니다.
세계 최고의 비디오 게임 콘솔 개발사 중 하나인 Knight는 종종 악의적인 활동의 주목을 받습니다. 이 회사는 1년 이상 운영 ISMS를 보유하고 있습니다. ISMS 범위에는 재무 및 HR 부서를 제외한 Knight의 모든 부서가 포함됩니다.
최근, Knight의 독점 정보가 담긴 여러 파일이 해커에 의해 유출되었습니다. Knight의 사고 대응팀(IRT)은 즉시 시스템의 모든 부분과 사고의 세부 사항을 분석하기 시작했습니다.
IRT의 첫 번째 의심은 Knight의 직원들이 취약한 비밀번호를 사용했고 결과적으로 해커가 계정에 무단으로 접근하여 쉽게 해독되었다는 것이었습니다. 그러나 IRT는 사건을 신중하게 조사한 후 해커가 파일 전송 프로토콜(FTP) 트래픽을 캡처하여 계정에 접근했다는 것을 확인했습니다.
FTP는 계정 간에 파일을 전송하기 위한 네트워크 프로토콜입니다. 인증을 위해 일반 텍스트 비밀번호를 사용합니다.
이 정보 보안 사고의 영향을 파악하고 IRT의 제안에 따라 Knight는 FTP를 Secure Shell(SSH) 프로토콜로 대체하여 트래픽을 캡처하는 모든 사람이 암호화된 데이터만 볼 수 있도록 결정했습니다.
이러한 변화에 따라 Knight는 통제의 구현이 유사한 사고의 위험을 최소화했는지 확인하기 위해 위험 평가를 실시했습니다. 프로세스의 결과는 ISMS 프로젝트 관리자가 승인했으며, 그는 새로운 통제를 구현한 후의 위험 수준이 회사의 위험 수용 수준에 부합한다고 주장했습니다.
이 시나리오를 바탕으로 다음 질문에 답하세요.
FTP는 인증을 위해 일반 텍스트 비밀번호를 사용합니다. 이것은 FTP입니다:
콘솔 팩에는 VR 헤드셋 한 쌍, 2개가 포함됩니다.
게임 및 기타 선물.
수년에 걸쳐 이 회사는 고객에 대한 성실함, 정직함, 존중심을 보임으로써 좋은 평판을 쌓았습니다. 이 좋은 평판은 대부분의 열정적인 게이머가 Knight's G-콘솔이 시장에 출시되자마자 그것을 갖고 싶어하는 이유 중 하나입니다.
Knight는 고객 중심적인 회사일 뿐만 아니라
개발 중인 품질로 인해 게임 업계에서도 널리 알려졌습니다. 가격은 합리적인 기준이 허용하는 것보다 약간 높습니다.
그럼에도 불구하고 Knight의 충성스러운 고객 대부분에게는 이는 문제가 되지 않습니다. Knight의 품질이 최고 수준이기 때문입니다.
세계 최고의 비디오 게임 콘솔 개발사 중 하나인 Knight는 종종 악의적인 활동의 주목을 받습니다. 이 회사는 1년 이상 운영 ISMS를 보유하고 있습니다. ISMS 범위에는 재무 및 HR 부서를 제외한 Knight의 모든 부서가 포함됩니다.
최근, Knight의 독점 정보가 담긴 여러 파일이 해커에 의해 유출되었습니다. Knight의 사고 대응팀(IRT)은 즉시 시스템의 모든 부분과 사고의 세부 사항을 분석하기 시작했습니다.
IRT의 첫 번째 의심은 Knight의 직원들이 취약한 비밀번호를 사용했고 결과적으로 해커가 계정에 무단으로 접근하여 쉽게 해독되었다는 것이었습니다. 그러나 IRT는 사건을 신중하게 조사한 후 해커가 파일 전송 프로토콜(FTP) 트래픽을 캡처하여 계정에 접근했다는 것을 확인했습니다.
FTP는 계정 간에 파일을 전송하기 위한 네트워크 프로토콜입니다. 인증을 위해 일반 텍스트 비밀번호를 사용합니다.
이 정보 보안 사고의 영향을 파악하고 IRT의 제안에 따라 Knight는 FTP를 Secure Shell(SSH) 프로토콜로 대체하여 트래픽을 캡처하는 모든 사람이 암호화된 데이터만 볼 수 있도록 결정했습니다.
이러한 변화에 따라 Knight는 통제의 구현이 유사한 사고의 위험을 최소화했는지 확인하기 위해 위험 평가를 실시했습니다. 프로세스의 결과는 ISMS 프로젝트 관리자가 승인했으며, 그는 새로운 통제를 구현한 후의 위험 수준이 회사의 위험 수용 수준에 부합한다고 주장했습니다.
이 시나리오를 바탕으로 다음 질문에 답하세요.
FTP는 인증을 위해 일반 텍스트 비밀번호를 사용합니다. 이것은 FTP입니다: