무료 온라인 액세스 PECB.ISO-IEC-27001-Lead-Auditor.v2024-03-27.q128 모의 시험 (Page 8)

ISO-IEC-27001-Lead-Auditor 문제 31

자신의 비밀번호나 접근 권한을 다른 사람과 공유한 직원이 받을 수 있는 최악의 조치는 무엇입니까?

A. 프로젝트에서 강제 롤오프

B. 성과 평가에서 가장 낮은 등급

C. 3일 휴직

D. 종료

ISO-IEC-27001-Lead-Auditor 문제 32

귀하는 ICT 재생 서비스를 제공하는 조직에서 제3자 감시 감사를 수행하는 숙련된 ISMS 감사자입니다. 기업에 더 이상 필요하지 않은 ICT 장비는 조직에서 처리합니다. 재가동되어 재사용되거나 안전하게 파기됩니다.
방 구석에 있는 벤치에 두 대의 서버가 있습니다. 둘 다 항목에 서버 이름, IP 주소 및 관리자 비밀번호가 적힌 스티커가 있습니다. ICT 관리자에게 이에 대해 문의하자 그는 그것이 어제 단골 고객으로부터 받은 배송의 일부라고 말했습니다.
어떤 조치를 취해야 합니까?

A. ICT 관리자에게 정보 보안 사고를 기록하고 정보 보안 사고 관리 프로세스를 시작하도록 요청합니다.

B. 감사 결과를 기록하고 고객 IT 보안과 관련된 입고 배송 처리 프로세스를 확인합니다.

C. Record what you have seen in your audit findings, but take no further action

D. Raise a nonconformity against control 5.31 Legal, staturary, regulatory and contractual requirements'

E. Raise a nonconformity against control 8.20 'network security' (networks and network devices shall be secured, managed and controlled to protect information in systems and applications)

F. Ask the auditee to remove the labels, then carry on with the audit

정답: B

Explanation
According to ISO 27001:2022 clause 8.1.4, the organisation shall ensure that externally provided processes, products or services that are relevant to the information security management system are controlled. This includes implementing appropriate contractual requirements related to information security with external providers, such as customers who send ICT equipment for reclamation12 In this case, the organisation offers ICT reclamation services, which involves processing customer ICT equipment that may contain sensitive or confidential information. The organisation should have a process in place to ensure that the customer ICT equipment is handled securely and in accordance with the customer's information security requirements. The process should include steps such as verifying the customer's identity and authorisation, checking the inventory and condition of the equipment, removing or destroying any labels or stickers that contain information about the equipment or the customer, wiping or erasing any data stored on the equipment, and documenting the actions taken and the results achieved12 The fact that the auditor noticed two servers on a bench with stickers that reveal the server's name, IP address and admin password indicates that the process for dealing with incoming shipments relating to customer IT security is not effective or not followed. This could pose a risk of unauthorised access, disclosure, or modification of the customer's information or systems. Therefore, the auditor should note the audit finding and check the process for dealing with incoming shipments relating to customer IT security, and determine whether there is a nonconformity with clause 8.1.4 of ISO 27001:202212 The other actions are not appropriate for the following reasons:
* A. ICT 관리자에게 정보보안 사고를 기록하고 정보보안 사고 관리 프로세스를 시작하도록 요청하는 것은 조직 자체의 정보나 시스템에 영향을 미치는 정보보안 사고가 아니기 때문에 적절하지 않습니다. 정보 보안 사고는 비즈니스 운영을 침해하고 정보 보안을 위협할 가능성이 높은 단일 또는 일련의 원하지 않거나 예상치 못한 정보 보안 이벤트로 정의됩니다.12 이 경우 정보 보안 이벤트는 조직의 정보나 시스템이 아닌 고객의 정보나 시스템에 영향을 미칩니다. . 따라서 조직은 정보 보안 사고 관리 프로세스가 아닌 고객 IT 보안과 관련된 입고 처리 프로세스를 따라야 합니다.
* C. 감사 결과에서 감사인이 관찰한 내용을 기록하지만 추가 조치를 취하지 않는 것은 문제의 근본 원인이나 영향을 해결하지 못하기 때문에 적절하지 않습니다. 감사자는 조직의 정보 보안 관리 시스템의 효율성과 준수 여부를 확인하고 부적합 사항이나 개선 기회를 보고할 책임이 있습니다.12 따라서 감사자는 고객 IT 보안과 관련하여 입고된 배송물을 처리하는 프로세스를 확인하고 ISO 27001:2022의 8.1.4항에 부적합이 있습니다.
* D. 통제에 대한 부적합 제기 5.31 법적, 법적, 규제 및 계약 요구 사항은 이 통제가 문제와 관련이 없기 때문에 적절하지 않습니다. 통제 5.31은 조직이 정보 보안 관리 시스템에 적용되는 법적, 법적, 규제 및 계약적 요구 사항을 식별하고 준수하도록 요구합니다.12 이 경우 문제는 조직의 법적, 법적, 규제 및 계약적 요구 사항을 준수하는 것과 관련된 것이 아닙니다. , 하지만
* 정보 보안 관리 시스템과 관련된 외부에서 제공되는 프로세스, 제품 또는 서비스에 대한 조직의 통제에 관한 것입니다. 따라서 감사인은 고객 IT 보안과 관련된 입고 처리 프로세스를 확인하고 ISO 27001:2022의 8.1.4항에 부합하지 않는지 여부를 판단해야 합니다.
* E. 통제 8.20 '네트워크 보안'(시스템 및 애플리케이션의 정보를 보호하기 위해 네트워크 및 네트워크 장치를 보호, 관리 및 통제해야 함)에 대한 부적합 제기는 이 통제가 문제와 관련이 없기 때문에 적절하지 않습니다. 통제 8.20은 조직이 시스템 및 애플리케이션의 정보를 보호하기 위해 자체 네트워크 및 네트워크 장치를 보안, 관리 및 제어하도록 요구합니다.12 이 경우 문제는 조직의 네트워크 보안에 관한 것이 아니라 외부에서 제공되는 프로세스에 대한 조직의 통제에 관한 것입니다. , 정보 보안 관리 시스템과 관련된 제품 또는 서비스. 따라서 감사인은 고객 IT 보안과 관련된 입고 처리 프로세스를 확인하고 ISO 27001:2022의 8.1.4항에 부합하지 않는지 여부를 판단해야 합니다.
* F. 피감사인에게 라벨을 제거하라고 요청한 후 감사를 계속하는 것은 문제의 근본 원인이나 영향을 해결할 수 없기 때문에 적절하지 않습니다. 감사인은 감사 중에 피감사인의 운영을 방해하거나 시정 조치를 제안해서는 안 됩니다. 이는 감사인의 객관성과 공평성을 손상시킬 수 있기 때문입니다.12 감사인은 고객 IT 보안과 관련하여 입고된 배송물을 처리하는 프로세스를 확인하고 부적합 사항이 있는지 판단해야 합니다. 조항 포함
ISO 27001:2022의 8.1.4.
참고자료:
1: CQI의 ISO/IEC 27001:2022 수석 감사자(정보 보안 관리 시스템) 과정 및 IRCA 인증 교육 1 2: PECB의 ISO/IEC 27001 수석 감사자 교육 과정 2

ISO-IEC-27001-Lead-Auditor 문제 33

귀하는 감사관 교육을 지도하는 숙련된 감사 팀 리더입니다.
귀하의 팀은 현재 외부 클라이언트를 대신하여 데이터를 저장하는 조직에 대한 제3자 감시 감사를 수행하고 있습니다. 교육 중인 감사자는 SoA(적용성 기술서)에 나열되어 있고 현장에서 구현된 기술적 통제를 검토하는 임무를 맡았습니다.
다음 중 교육 중인 감사자가 검토할 것으로 예상되는 통제 항목 4개를 선택하십시오.
귀하는 감사자 교육을 지도하는 숙련된 감사 팀 리더입니다. 귀하의 팀은 현재 외부 고객을 대신하여 데이터를 저장하는 조직에 대한 제3자 감시 감사를 수행하고 있습니다. 교육 중인 감사자는 SoA(적용성 기술서)에 나열되어 있고 현장에서 구현된 기술적 통제를 검토하는 임무를 맡았습니다.
다음 중 교육 중인 감사자가 검토할 것으로 예상되는 통제 항목 4개를 선택하십시오.

정답: D,I,M,N

정보 보안 관리 시스템(ISMS)의 수립, 구현, 유지 및 지속적인 개선을 위한 요구 사항을 명시한 ISO/IEC 27001:2022에 따르면, 조직은 정보 보안 목표를 달성하기 위해 적절한 통제 수단을 선택하고 구현해야 합니다1. 통제는 위험 평가 및 위험 처리 결과에서 파생되어야 하며, ISMS에 적용 가능하고 필요한 통제를 식별하는 문서인 적용 가능성 설명(SoA)과 일치해야 합니다1. 정보 보안 통제에 대한 실행 코드를 제공하는 ISO/IEC 27002:2013과 같은 다양한 소스에서 통제를 선택할 수 있습니다2. 따라서 교육 중인 감사자가 SoA에 나열되어 있고 외부 고객을 대신하여 데이터를 저장하는 조직의 현장에서 구현된 기술 통제를 검토하는 임무를 맡은 경우 검토할 것으로 예상되는 네 가지 통제는 다음과 같습니다.
* 악성 코드에 대한 보호가 구현되는 방법: 이는 정보 또는 정보 시스템의 기밀성, 무결성 또는 가용성을 손상시킬 수 있는 악성 소프트웨어(예: 바이러스, 웜, 랜섬웨어 등)를 예방, 탐지 및 제거하는 것을 목표로 하는 기술적 통제입니다. 이 제어는 ISO/IEC 27002:20132의 제어 A.12.2.1과 관련됩니다.
* 조직이 기술적 취약성에 대한 노출을 평가하는 방법: 이는 악의적인 행위자가 악용하거나 우발적인 오류를 일으킬 수 있는 정보 시스템 또는 네트워크의 잠재적인 약점이나 결함을 식별하고 평가하는 것을 목표로 하는 기술적 통제입니다2. 이 제어는 ISO/IEC 27002:20132의 제어 A.12.6.1과 관련됩니다.
* 소스 코드 및 개발 도구에 대한 액세스를 관리하는 방법: 이는 조직 또는 외부 공급자가 개발하거나 유지 관리하는 소프트웨어 애플리케이션 또는 시스템의 지적 재산권 및 무결성을 보호하는 것을 목표로 하는 기술적 통제입니다2. 이 제어는 ISO/IEC 27002:20132의 controlA.14.2.5와 관련됩니다.
* 현장 CCTV 및 출입문 통제 시스템의 운영 : 정보 또는 정보시스템이 저장되거나 처리되는 부지나 시설에 대한 물리적 접근을 감시하고 제한하는 것을 목적으로 하는 기술적 통제입니다2. 이 제어는 ISO/IEC 27002:20132의 제어 A.11.1.4와 관련됩니다.
다른 옵션은 기술 통제의 예가 아니라 ISMS 감사와 관련될 수 있지만 교육 업무에서 감사인의 범위에 포함되지 않는 조직적, 법적 또는 절차적 통제입니다. 예를 들어 정보 자산 목록의 개발 및 유지 관리(통제 A.8.1.1 관련), 조직 내 및 다른 조직으로의 정보 전송 규칙(통제 A.13.2.1 관련), 기밀 유지 및 비공개 계약( 통제 A.13.2.4 관련), 인력 검증 점검(통제 A.7.1.2 관련), 원격 근무 준비(통제 A.6.2.1 관련), 공급업체 계약 내 정보 보안(통제 A. 15.1.1), 비즈니스 연속성 조치(통제 A.17 관련), 정보 삭제(통제 A.8.3 관련), 정보 보안 인식, 교육 및 훈련(통제 A.7.2 관련), 장비 유지 관리(통제 A.8.3 관련) A.11.2) 및 전원 및 데이터 케이블이 건물에 들어가는 방식(통제 A.11과 관련)은 기술적인 통제가 아니라 오히려 ISMS 감사와 관련될 수 있는 조직적, 법적 또는 절차적 통제이지만 교육 업무에서 감사인의 범위. 참고 자료: ISO/IEC 27001:2022 - 정보 기술 - 보안 기술 - 정보 보안 관리 시스템 - 요구 사항, ISO/IEC
27002:2013 - 정보 기술 - 보안 기술 - 정보 보안 통제 실행 강령

ISO-IEC-27001-Lead-Auditor 문제 34

귀하는 통신업체에 대한 제3자 감시 감사를 수행하는 ISMS 감사자입니다. 당신은 네트워크 스위치가 클라이언트에게 전달되기 전에 사전 프로그래밍되어 있는 장비 준비실에 있습니다. 최근 초기 구성 테스트에 실패하여 재프로그래밍을 위해 반환되는 스위치의 수가 크게 증가했다는 사실을 알고 계셨습니다.
수석 테스터에게 이유를 묻자 '최근 ISMS 업그레이드의 결과입니다'라고 합니다. 업그레이드 전에 각 기술자는 자신만의 작업 지침 하드 카피를 가지고 있었습니다. 이제 우리 팀의 8명의 구성원은 클라이언트의 구성 지침에 온라인으로 액세스하기 위해 두 대의 노트북을 공유해야 합니다. 이러한 지연으로 인해 기술자에게 부담이 가중되어 더 많은 실수가 발생하게 됩니다.'
위의 정보만을 토대로 ISO의 어떤 조항에 대해 부적합을 제기할 것인지를 선택하십시오.

A. 7.5항 - 문서화된 정보

B. 8.1항 - 운영 계획 및 제어

C. 조항 10.2 - 부적합 및 시정 조치

D. 7.3항 - 인식

E. 조항 7.2 - 역량

F. 7.4항 - 의사소통

정답: B

According to ISO/IEC 27001:2022, which specifies the requirements for establishing, implementing, maintaining and continually improving an information security management system (ISMS), clause 8.1 requires an organization to plan, implement and control its processes needed to meet ISMS requirements2. This includes determining what needs to be done, how it will be done, who will do it, when it will be done, what resources are required, how performance will be evaluated, etc2. Therefore, if an ISMS auditor conducting a third-party surveillance audit of a telecom's provider notes that there has been a significant increase in the number of switches failing their initial configuration test and being returned for reprogramming due to a recent ISMS upgrade that reduced access to work instructions, this indicates a nonconformity against clause 8.1 of ISO/IEC 27001:2022. The organization has failed to plan and control its operational processes effectively to ensure information security and quality2. The other options are not correct clauses to raise a nonconformity against based solely on this information. For example, clause 7.5 deals with documented information required by ISMS or determined by an organization as necessary for its effectiveness2, but it does not specify how many copies or formats of work instructions should be available; clause 10.2 deals with nonconformity and corrective action as a response to an identified problem or incident2, but it does not address how to prevent or avoid such problems or incidents in operational processes; clause 7.3 deals with awareness of ISMS policy, objectives, roles and responsibilities among persons doing work under an organization's control2, but it does not relate to how work instructions are accessed or followed; clause 7.2 deals with competence of persons doing work under an organization's control that affects its ISMS performance2, but it does not imply that lack of competence is caused by insufficient work instructions; clause 7.4 deals with communication about ISMS among internal and external interested parties2, but it does not cover how operational information is communicated within an organization. Reference: ISO/IEC 27001:2022 - Information technology - Security techniques - Information security management systems - Requirements

ISO-IEC-27001-Lead-Auditor 문제 35

Select the words that best complete the sentence:
To complete the sentence with the best word(s), click on the blank section you want to complete so that it is highlighted in red, and then click on the applicable text from the options below. Alternatively, you may drag and drop the option to the appropriate blank section.