Was ist ISO/IEC 27001:2022?
ISO/IEC 27001:2022 ist ein internationaler Standard für Informationssicherheits-Managementsysteme.
Was ist das Ziel eines ISMS?
Der Schutz von Vertraulichkeit Integrität und Verfügbarkeit von Informationen.
Was bedeutet ISMS?
Information Security Management System.
Für wen ist ISO 27001 relevant?
Für Organisationen jeder Größe und Branche mit schützenswerten Informationen.
Was sind die drei Grundwerte der Informationssicherheit?
Vertraulichkeit Integrität Verfügbarkeit.
Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
ISO 27001 definiert Anforderungen ISO 27002 beschreibt Maßnahmen.
Was ist neu in ISO 27001:2022?
Reduzierte Controls von 114 auf 93 und neue Struktur mit vier Control-Themen.
Wie sind die Controls in ISO 27001:2022 gegliedert?
Organisatorisch Personenbezogen Physisch Technologisch.
Was ist Annex A?
Eine Liste empfohlener Sicherheitsmaßnahmen.
Sind Annex-A-Controls verpflichtend?
Nein sie müssen risikobasiert bewertet werden.
Was ist eine Risikoanalyse?
Systematische Identifikation und Bewertung von Informationssicherheitsrisiken.
Was ist ein Informationssicherheitsrisiko?
Die Kombination aus Eintrittswahrscheinlichkeit und Schadensauswirkung.
Was ist Risikobehandlung?
Maßnahmen zur Reduzierung Vermeidung Übertragung oder Akzeptanz von Risiken.
Was ist ein Statement of Applicability?
Ein Dokument das festlegt welche Controls angewendet werden und warum.
Was ist der PDCA-Zyklus?
Plan Do Check Act zur kontinuierlichen Verbesserung des ISMS.
Was bedeutet kontinuierliche Verbesserung?
Regelmäßige Optimierung von Prozessen und Maßnahmen.
Was ist Informationsklassifizierung?
Einteilung von Informationen nach Schutzbedarf.
Nennen Sie typische Informationsklassen.
Öffentlich Intern Vertraulich Streng vertraulich.
Was ist Asset Management?
Verwaltung von Informationswerten und deren Schutz.
Was ist ein Informationswert Asset?
Alles was für die Organisation einen Informationswert hat.
Was ist der Zweck von Zugriffskontrollen?
Sicherstellen dass nur berechtigte Personen Zugriff erhalten.
Was ist das Need-to-Know-Prinzip?
Zugriff nur auf notwendige Informationen.
Was ist das Least-Privilege-Prinzip?
Vergabe minimal erforderlicher Rechte.
Was ist ein Sicherheitsvorfall?
Ein Ereignis das Informationssicherheit beeinträchtigt.
Was ist Incident Management?
Prozess zur Erkennung Behandlung und Nachverfolgung von Vorfällen.
Was ist Business Continuity Management?
Sicherstellung des Geschäftsbetriebs bei Störungen.
Was ist der Unterschied zwischen BCM und ISMS?
BCM fokussiert Verfügbarkeit ISMS ganzheitliche Sicherheit.
Was ist eine Schulung zur Informationssicherheit?
Sensibilisierung von Mitarbeitern für Sicherheitsrisiken.
Warum ist Awareness wichtig?
Menschen sind häufig das größte Sicherheitsrisiko.
Was ist Lieferantenmanagement in ISO 27001?
Sicherstellung von Sicherheitsanforderungen bei Dienstleistern.
Was ist ein Third-Party-Risiko?
Risiken durch externe Partner oder Lieferanten.
Was ist Dokumentenlenkung?
Kontrolle über Erstellung Änderung und Freigabe von Dokumenten.
Was ist ein internes Audit?
Interne Prüfung der Wirksamkeit des ISMS.
Was ist der Zweck eines Management Reviews?
Bewertung des ISMS durch die Leitung.
Wer trägt die Verantwortung für Informationssicherheit?
Die oberste Leitung.
Was ist eine Sicherheitsrichtlinie?
Eine verbindliche Vorgabe zum Umgang mit Informationen.
Was ist physische Sicherheit?
Schutz von Gebäuden Räumen und Hardware.
Was ist technische Sicherheit?
Einsatz technischer Maßnahmen wie Firewalls oder Verschlüsselung.
Was ist Verschlüsselung?
Schutz von Informationen durch kryptografische Verfahren.
Was ist Authentifizierung?
Überprüfung der Identität eines Benutzers.
Was ist Autorisierung?
Vergabe von Berechtigungen nach Authentifizierung.
Was ist Logging?
Aufzeichnung sicherheitsrelevanter Ereignisse.
Warum ist Monitoring wichtig?
Zur frühzeitigen Erkennung von Angriffen oder Anomalien.
Was ist ein Compliance-Verstoß?
Abweichung von gesetzlichen oder normativen Anforderungen.
Was ist der Zweck von ISO 27001 Zertifizierung?
Nachweis eines wirksamen ISMS gegenüber Dritten.
Ist ISO 27001 gesetzlich verpflichtend?
Nein aber oft vertraglich oder regulatorisch gefordert.
Welche Rolle hat ein Information Security Officer?
Koordination Umsetzung und Überwachung der Informationssicherheit.
Was macht ein Information Security Officer im Tagesgeschäft?
Koordination von Sicherheitsmaßnahmen Pflege des ISMS Beratung von Fachbereichen und Überwachung der Einhaltung von Richtlinien.
Was ist der Unterschied zwischen CISO und ISO?
Der CISO ist strategisch auf Management-Ebene angesiedelt der ISO arbeitet operativ und koordinierend.
Was bedeutet Confidentiality?
Schutz von Informationen vor unbefugtem Zugriff.
Was bedeutet Integrity?
Sicherstellung dass Informationen korrekt und unverändert sind.
Was bedeutet Availability?
Sicherstellung dass Informationen bei Bedarf verfügbar sind.
Was ist ein Risikoakzeptanzprozess?
Ein formaler Prozess zur bewussten Annahme von Restrisiken durch das Management.
Was ist ein Threat?
Eine potenzielle Ursache für einen Sicherheitsvorfall.
Was ist eine Vulnerability?
Eine Schwachstelle die von einer Bedrohung ausgenutzt werden kann.
Was ist der Unterschied zwischen Risiko und Bedrohung?
Risiko kombiniert Bedrohung Schwachstelle und Auswirkung.
Was ist ein ISMS Scope?
Der definierte Geltungsbereich des Informationssicherheitsmanagementsystems.
Warum ist der Scope wichtig?
Er bestimmt welche Prozesse Systeme und Standorte abgesichert werden müssen.
Was ist eine Sicherheitsrichtlinie Policy?
Eine verbindliche Vorgabe zum sicheren Umgang mit Informationen.
Was ist ein Security Standard?
Eine konkrete technische oder organisatorische Vorgabe zur Umsetzung von Policies.
Was ist eine Security Guideline?
Eine Empfehlung zur praktischen Umsetzung von Sicherheitsmaßnahmen.
Was ist der Unterschied zwischen Policy Standard und Guideline?
Policy ist verpflichtend Standard konkret Guideline empfehlend.
Was ist ein Data Owner?
Eine fachlich verantwortliche Person für Informationen.
Was ist ein System Owner?
Verantwortliche Person für den sicheren Betrieb eines Systems.
Was ist Identity and Access Management?
Verwaltung von Identitäten Rollen und Zugriffsrechten.
Was ist Rezertifizierung von Berechtigungen?
Regelmäßige Überprüfung ob Zugriffe noch erforderlich sind.
Was ist ein Joiner Mover Leaver Prozess?
Prozess zur Benutzeranlage Änderung und Deaktivierung.
Was ist ein Passwort-Policy?
Regeln zur Erstellung Nutzung und Änderung von Passwörtern.
Was ist Multi-Faktor-Authentifizierung?
Authentifizierung mit mindestens zwei unabhängigen Faktoren.
Was ist ein Security Incident Response Plan?
Ein definierter Ablauf zur Behandlung von Sicherheitsvorfällen.
Was ist der Unterschied zwischen Incident und Breach?
Ein Incident ist ein Ereignis ein Breach eine bestätigte Datenschutzverletzung.
Was ist der Zweck von Security Logs?
Nachvollziehbarkeit Analyse und Erkennung von Angriffen.
Was ist ein SIEM?
Ein System zur zentralen Sammlung und Auswertung von Sicherheitslogs.
Was ist ein Penetrationstest?
Ein kontrollierter Angriff zur Identifikation von Schwachstellen.
Was ist der Unterschied zwischen Penetrationstest und Vulnerability Scan?
Pentest simuliert Angriffe Scan sucht automatisiert Schwachstellen.
Was ist Patch Management?
Regelmäßige Aktualisierung von Software zur Schließung von Sicherheitslücken.
Was ist Hardening?
Absicherung von Systemen durch Reduktion unnötiger Funktionen.
Was ist ein Backup-Konzept?
Strategie zur Sicherung und Wiederherstellung von Daten.
Was ist der Unterschied zwischen Backup und Recovery?
Backup ist Datensicherung Recovery die Wiederherstellung.
Was ist ein RTO?
Recovery Time Objective maximale Wiederherstellungszeit.
Was ist ein RPO?
Recovery Point Objective maximaler Datenverlustzeitraum.
Was ist Business Impact Analysis?
Analyse der Auswirkungen von Systemausfällen.
Was ist Cloud Security?
Sicherstellung von Informationssicherheit in Cloud-Umgebungen.
Was ist Shared Responsibility Model?
Aufteilung der Sicherheitsverantwortung zwischen Cloud-Anbieter und Kunde.
Was ist Datenschutz im Kontext Informationssicherheit?
Schutz personenbezogener Daten gemäß DSGVO.
Was ist der Unterschied zwischen DSGVO und ISO 27001?
DSGVO ist Gesetz ISO 27001 ein Managementstandard.
Was ist Awareness Training?
Schulung von Mitarbeitenden zu Sicherheitsrisiken.
Warum sind Phishing-Schulungen wichtig?
Phishing ist eine der häufigsten Angriffsarten.
Was ist Social Engineering?
Manipulation von Menschen zur Erlangung von Informationen.
Was ist ein Audit Finding?
Festgestellte Abweichung oder Verbesserungspotenzial.
Was ist ein Non-Conformity?
Eine Abweichung von normativen Anforderungen.
Was ist Continuous Improvement im ISMS?
Laufende Verbesserung von Sicherheitsprozessen.
Wie misst man Informationssicherheit?
Über KPIs Audits Vorfallzahlen und Reifegradmodelle.
Warum ist Dokumentation für ISO 27001 wichtig?
Sie belegt Nachvollziehbarkeit Wirksamkeit und Compliance.
Zuletzt geändertvor einem Monat