ISO 27001 Lead Auditor – Prüfungsvorbereitung

💡 CIA = Confidentiality (Vertraulichkeit), Integrity (Integrität), Availability (Verfügbarkeit).

💡 Nur 27001 enthält zertifizierbare Anforderungen. 27002 ist ein Leitfaden, 27005 behandelt Risikomanagement.

💡 Die aktuelle Fassung ISO/IEC 27001:2022 wurde im Oktober 2022 veröffentlicht.

💡 Klauseln 1–3 sind allgemeiner Art. Die Klauseln 4–10 enthalten zertifizierbare Anforderungen.

💡 Plan = Klauseln 4–6 (Kontext, Führung, Planung). Do = 7–8, Check = 9, Act = 10.

💡 4.3 verlangt die Festlegung und Dokumentation des ISMS-Geltungsbereichs.

💡 Die obere Leitung muss Führung und Engagement nachweisen. Ein rein an die IT delegiertes ISMS ist eine häufige Nichtkonformität.

💡 Das SoA dokumentiert, welche Steuerungsmaßnahmen aus Anhang A angewendet werden, wie umgesetzt und welche mit Begründung nicht.

💡 Die vier Optionen: vermeiden, mindern, teilen/übertragen, akzeptieren.

💡 Ziele müssen konsistent mit der Policy, messbar, kommuniziert und aktualisiert sein. SMART ist ein gutes Kriterium.

💡 7.3 verlangt Bewusstsein für die Policy, den eigenen Beitrag und die Folgen. Auswendiglernen ist nicht gefordert.

💡 Die Risikobewertung muss in festgelegten Abständen und bei signifikanten Änderungen wiederholt werden.

💡 Die obere Leitung verantwortet die Managementbewertung. Der CISO liefert Input, die Leitung entscheidet.

💡 Die Korrektur behebt das Symptom, die Korrekturmaßnahme die Ursache und verhindert das Wiederkehren.

💡 Die Version 2022 hat 93 Steuerungsmaßnahmen in 4 Themen. 2013 hatte 114 in 14 Bereichen.

💡 Die 93 Steuerungsmaßnahmen sind in 4 Themen eingeteilt: Organisatorisch (37), Menschen (8), Physisch (14), Technologisch (34).

💡 Der nachweisbasierte Ansatz verlangt, dass Schlussfolgerungen auf Prüfnachweisen beruhen, nicht auf Meinungen.

💡 Ein Drittpartei-Audit wird von einer unabhängigen Zertifizierungsstelle durchgeführt und ist Grundlage für ein Zertifikat.

💡 Offene Fragen und Nachhaken helfen, den tatsächlichen Prozess zu verstehen.

💡 Major-NCs sind systemische Mängel oder Fehlen wesentlicher Prozesse. Minor-NCs sind isolierte Einzelpunkte.

💡 Der Zertifizierungszyklus umfasst Stufe-1- und Stufe-2-Audits, jährliche Überwachungsaudits und nach 3 Jahren die Re-Zertifizierung.

💡 ISO/IEC 27000 definiert das Vokabular und die Grundlagen des ISMS.

💡 ISO/IEC 27006 stellt Anforderungen an Stellen, die ISMS-Audits und -Zertifizierungen durchführen.

💡 ISO 19011 ist der übergreifende Leitfaden für das Auditieren von Managementsystemen und definiert die Audit-Prinzipien.

💡 In der Schlussitzung teilt das Audit-Team Feststellungen, Schlussfolgerungen, Nichtkonformitäten und Verbesserungsmöglichkeiten mit. Keine sensiblen Anmeldedaten.

💡 ISO 27001 definiert Anforderungen an den Aufbau und Betrieb eines ISMS.

💡 Ein ISMS ist ein Managementsystem für Informationssicherheit nach ISO 27001.

💡 Der PDCA-Zyklus (Plan-Do-Check-Act) ist die Grundlage des ISMS.

💡 Zu den Pflichtdokumenten gehören u.a. Sicherheitspolitik, Risikobewertung und SoA.

💡 Klausel 5 verlangt Leadership und Engagement der Geschäftsleitung.

💡 Die Risikobewertung identifiziert Bedrohungen, Schwachstellen und deren Auswirkungen.

💡 Die SoA listet die relevanten Controls aus Anhang A und deren Umsetzungstatus.

💡 Typische Phasen sind Vorbereitung, Durchführung, Bericht und Follow-up.

💡 Interne Audits dienen Verbesserung; Zertifizierungsaudits prüfen die Konformität.

💡 Anhang A enthält Controls u.a. zu Zugriff, Physischer Sicherheit und Kryptografie.

💡 Der Scope definiert, welche Teile der Organisation vom ISMS umfasst sind.

💡 Audits prüfen die Konformität mit den Anforderungen und die Wirksamkeit des ISMS.

💡 Audits nutzen Interviews, Dokumentenprüfung und Beobachtung als wesentliche Techniken.

💡 Eine Abweichung ist die Nichterfüllung einer Anforderung des ISMS.

💡 Abweichungen werden in Major und Minor unterteilt, je nach Schweregrad.

💡 Klausel 9.3 fordert eine regelmäßige Überprüfung des ISMS durch das Management.

💡 Der ISO/ISMS-Verantwortliche koordiniert und überwacht die Informationssicherheit.

💡 Der Risk Treatment Plan beschreibt, wie Risiken behandelt werden (Mitigation, Transfer etc.).

💡 Die Kernprinzipien sind CIA: Confidentiality, Integrity, Availability.

💡 Das Asset Inventory erfasst alle relevanten Informationen, Systeme und Ressourcen.

💡 Klausel 7 fordert Bewusstsein und Schulung der Mitarbeiter.

💡 Sicherheitsvorfälle sind Ereignisse mit potenzieller Auswirkung auf die Informationssicherheit.

💡 Incident Management umfasst Erkennung, Reaktion und Behebung von Vorfällen.

💡 Klausel 10 verlangt kontinuierliche Verbesserung des ISMS.

💡 Der Audit Report dokumentiert Ergebnisse, Abweichungen und Empfehlungen.