シナリオ 7: InfoSec は、マサチューセッツ州ボストンに本社を置く多国籍企業で、プロフェッショナルなエレクトロニクス、ゲーム、エンターテイメント サービスを提供しています。数多くの情報セキュリティ インシデントに直面した後、InfoSec はチームを設立し、将来の潜在的なインシデントを防ぐための対策を導入することを決定しました。エマ、ボブ。とアンナは、InfoSec の情報セキュリティ チームの新しいメンバーとして雇用されました。このチームは、セキュリティ アーキテクチャ チーム、インシデント対応チーム (IRT)、およびフォレンジック チームで構成されています。エマの仕事は、情報セキュリティ計画、ポリシー、プロトコル、および準備のためのトレーニングを作成することです。 InfoSec はインシデントに効果的に対応する エマとボブは InfoSec のフルタイム従業員となる一方、アンナは外部コンサルタントとして契約されました。
ネットワーク専門家であるボブは、スクリーンされたサブネット ネットワーク アーキテクチャを展開します。このアーキテクチャは、ホスト型公共サービスが接続されている非武装地帯 (OMZ) と、InfoSec の公的にアクセス可能なリソースをプライベート ネットワークから分離します。これにより、InfoSec は潜在的な攻撃者をブロックできるようになります。企業ネットワーク内で望ましくないイベントを引き起こします。ボブには、予期せぬ出来事がどのように起こったか、何が誰に影響を与える可能性があるかなど、予期せぬ出来事の性質を徹底的に評価する責任もあります。
アンナは、懲戒および法的措置の目的で証拠を保管し、将来の事件を防ぐためにそれらを使用するために、データ、レビュー、分析、およびレポートの記録を作成します。適切に作業を行うには、会社の情報セキュリティ インシデント管理ポリシーを事前に知っておく必要があります。特に、このポリシーでは、作成する記録の種類、保存する場所、特定の記録の種類に記録する形式と内容が指定されています。すべきだった。
このシナリオに基づいて、次の質問に答えてください。
彼のタスクに基づいて、ボブはどのチームに所属していますか?

シナリオ 9: OpenTech は IT および通信サービスを提供します。データ通信企業とネットワーク オペレータがマルチサービス プロバイダーになるのに役立ちます。内部監査中に、内部監査人のティムは監視手順に関連する不適合を特定しました。彼はいくつかのシステムの脆弱性を特定し、評価しました。
ティムは、機密情報を処理するシステムとサービスのユーザー ID が再利用されており、アクセス制御ポリシーが遵守されていないことを発見しました。この不適合の根本原因を分析した後、ISMS プロジェクト マネージャーは、不適合を解決するために考えられるアクションのリストを作成しました。次に、ISMS プロジェクト マネージャーはリストを分析し、根本原因の除去と将来の同様の状況の防止を可能にする活動を選択しました。これらの活動は行動計画に盛り込まれ、経営トップによって承認された行動計画は次のように書かれました。
情報通信技術 (ICT) 部門によってネットワーク アクセスが効果的に管理および監視されるように、新しいバージョンのアクセス コントロール ポリシーが確立され、新しい制限が作成されます。 承認された行動計画が実施され、計画に記載されているすべてのアクションが実行されます。文書化されていました。
シナリオ 9 に基づいて、ISMS プロジェクト マネージャーは是正措置プロセスを適切に完了しましたか?

シナリオ 4 に基づいて、リスク評価中にどのような種類の資産が特定されましたか?

シナリオ 8: SunDee は、米国カリフォルニア州に本社を置く米国のバイオ医薬品会社です。心血管疾患、腫瘍学、骨の健康、炎症に焦点を当てた、新しいヒト治療薬の開発を専門としています。同社は、過去 2 年間、SO/IEC 27001 に基づく情報セキュリティ管理システム (ISMS) を導入してきました。しかし、同社は ISMS のパフォーマンスと有効性を監視または測定しておらず、定期的に経営レビューを実施していませんでした。再認証監査の直前に、同社は内部監査を実施することを決定しました。また、ほとんどのスタッフに対し、各部門の過去 2 年間の個人報告書を作成するよう求めました。これにより、生産部門には最適な人員が不足し、会社の在庫が減少しました。
Tessa は SunDee の内部監査人でした。50 人の異なる従業員によって複数のレポートが作成されたため、内部監査プロセスは計画よりも大幅に時間がかかり、一貫性が非常に低く、定性的な尺度がまったくなかったので、SunDee は ISMS のパフォーマンスを適切に評価する必要があると Tessa 氏は結論付けました。彼女は、SunDee による ISMS パフォーマンス評価の怠慢を重大な不適合と定義し、不適合の説明、監査結果、推奨事項を含む不適合報告書を作成しました。さらに、Tessa は、SunDee がこれらの問題を解決できるようにする新しい計画を作成し、シナリオ 8 に基づいて経営陣に提示しました。SunDee は監視および測定プロセスに関する ISO/IEC 27001 要件に準拠していますか?

プロジェクトにおける情報セキュリティの責任を定義し、以下に割り当てる必要があります。