Passing exam with ISO-IEC-27001-Lead-Auditor Korean latest training materials

다음 중 ISMS 제3자 인증 감사 기준으로 사용되는 두 가지 기준은 무엇입니까?

• A. ISO/IEC 20000-1
• B. ISO 19011
• C. ISO/IEC 27002
• D. 관련 법률, 법령 및 규정 요구 사항
• E. ISO/IEC 17021-1
• F. ISO/IEC 27001

시나리오 4: 브랜딩은 미국에서 가장 유명한 기업들과 협력하는 마케팅 회사입니다.
내부 비용 절감을 위해 브랜딩(Branding)은 2년 이상 소프트웨어 개발 및 IT 헬프데스크 운영을 테크볼로지(Techvology)에 아웃소싱해 왔습니다. 필요한 전문성을 갖춘 테크볼로지는 브랜딩의 소프트웨어, 네트워크 및 하드웨어 요구 사항을 관리합니다. 브랜딩은 정보 보안 관리 시스템(ISMS)을 구축하고 ISO/IEC 27001 인증을 획득하여 높은 수준의 정보 보안 유지를 위한 노력을 입증하고 있습니다. 또한, 아웃소싱 운영의 보안이 ISO/IEC 27001 인증 요건을 준수하는지 확인하기 위해 테크볼로지에 대한 감사를 적극적으로 실시하고 있습니다.
지난 감사에서 브랜딩의 감사팀은 감사 대상 프로세스와 감사 일정을 정의했습니다. 특히 지난 한 해 동안 테크볼로지가 보고한 두 건의 정보 보안 사고를 고려하여 증거 기반 접근 방식을 채택했습니다. 감사의 초점은 이러한 사고에 대한 대응 방식과 아웃소싱 계약 조건 준수 여부를 평가하는 것이었습니다. 감사는 테크볼로지의 아웃소싱 운영 품질 모니터링 방식에 대한 종합적인 검토로 시작되었으며, 제공된 서비스가 브랜딩의 기대치와 합의된 기준을 충족하는지 평가했습니다. 감사팀은 또한 테크볼로지가 양사 간에 체결된 계약 요건을 준수했는지 여부를 확인했습니다. 이를 위해 아웃소싱 계약의 조항을 철저히 검토하여 정보 보안 조치를 포함한 모든 측면이 준수되고 있는지 확인했습니다.
또한, 이번 감사에는 테크놀로지(Techvology)가 아웃소싱 운영 및 기타 조직을 관리하는 데 사용하는 거버넌스 프로세스에 대한 심층적인 평가가 포함되었습니다. 이는 브랜딩(Branding)이 아웃소싱 계약과 관련된 잠재적 위험을 완화하기 위한 적절한 통제 및 감독 메커니즘이 마련되어 있는지 확인하는 데 매우 중요합니다.
감사팀은 테크볼로지의 다양한 직급 직원들을 대상으로 인터뷰를 진행하고 사고 해결 기록을 분석했습니다. 또한, 테크볼로지는 직원들을 대상으로 사고 관리 관련 인식 교육을 실시했다는 증거 자료를 제출했습니다. 수집된 정보를 바탕으로 감사팀은 두 건의 정보 보안 사고 모두 담당 직원의 역량 부족으로 인해 발생했다고 판단했습니다. 따라서 감사팀은 해당 사고에 연루된 직원들의 인사 파일을 열람하여 관련 경력, 자격증, 교육 이수 기록 등 역량을 입증할 수 있는 자료를 검토하고자 했습니다.
브랜딩의 감사팀은 확보된 증거의 타당성을 면밀히 평가하고, 문서화된 정보의 신뢰성을 의심하게 하거나 모순될 수 있는 증거가 있는지 주의 깊게 살폈습니다. 테크볼로지 감사 과정에서도 감사팀은 이러한 접근 방식을 유지하며, 사건 해결 기록을 면밀히 검토하고 다양한 직급과 직무의 직원들을 대상으로 심층 인터뷰를 진행했습니다. 감사팀은 테크볼로지 담당자의 말을 그대로 사실로 받아들이지 않고, 사건 관리 프로세스에 대한 담당자의 주장을 뒷받침할 구체적인 증거를 적극적으로 모색했습니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
시나리오 4에 따르면, 감사자는 정보 보안 사고의 원인을 파악하기 위해 어떤 유형의 감사 증거를 수집했습니까?

• A. 확증적 및 기술적 증거
• B. 분석적 및 수학적 증거
• C. 구두 및 문서 증거

시나리오 9
소규모 네트워킹 회사인 클라우드포트는 네트워크 보안, 클라우드 컴퓨팅 및 가상화 솔루션을 제공합니다. 이 회사는 최근 ISO/IEC 27001 표준 기반의 정보 보안 관리 시스템(ISMS) 인증을 획득하여 인지도가 급증했으며, 이는 클라우드포트 운영의 성숙도를 입증하는 결과입니다.
CloudFort는 내부 감사를 통해 보안 통제 및 ISMS의 전반적인 효과성과 효율성을 지속적으로 검토하고 개선해 왔습니다. 규모가 크고 객관성을 높이고자 하는 바람으로 최고 경영진은 내부 감사 기능을 외부에 위탁하여 내부 감사가 감사 대상 활동으로부터 독립성을 유지하고 ISMS의 지속적인 개선에 자문 역할을 수행할 수 있도록 했습니다.
초기 인증 심사 후, 회사는 데이터 스토리지 솔루션 전문 부서를 신설했습니다. 이 부서는 데이터 센터에 최적화된 라우터와 스위치, 그리고 네트워크 가상화 및 네트워크 보안 어플라이언스와 같은 소프트웨어 기반 네트워킹 장치를 제공했습니다. 신설 부서로 인해 CloudFort는 위험 평가 프로세스와 내부 감사를 실시했습니다. 내부 감사 결과, 회사는 새로운 프로세스와 통제의 효과성과 효율성을 확인했습니다.
최고 경영진은 신설 부서가 ISO/IEC 27001 요구사항을 완벽하게 준수함을 확인한 후, 해당 부서를 인증 범위에 포함시키기로 결정했습니다. 그리고 부서의 프로세스와 보안 조치가 전체 정보보안관리시스템(ISMS)과 완벽하게 일치하도록 인증 범위 확대를 인증기관에 요청했습니다.
최초 인증 심사 후 1년 뒤, 인증 기관은 클라우드포트의 정보보안관리시스템(ISMS)에 대한 재심사를 실시했습니다. 이 심사는 클라우드포트의 ISMS가 ISO/IEC 27001 표준 요구사항을 충족하는지 확인하고, ISMS가 지속적으로 개선되고 있는지 점검하기 위한 것이었습니다. 심사팀은 인증받은 ISMS가 표준 요구사항을 충족함을 확인했습니다. 그러나 새로운 부서의 도입으로 전반적인 관리 시스템 운영 방식에 상당한 변화가 발생하여 기존 프로세스 및 통제를 업데이트해야 했습니다.
더욱이, 클라우드포트는 인증 범위 확장을 요청했음에도 불구하고, 신규 부서가 정보 보안 관리 시스템(ISMS)에 미치는 영향에 대한 최신 정보를 인증 기관에 적시에 제공하지 못했습니다. 따라서 클라우드포트의 인증은 정지되었습니다.
질문
CloudFort는 인증 범위에 새로운 부서를 포함하도록 확장을 요청했습니다. 이 상황을 어떻게 분류하시겠습니까? 시나리오 9를 참조하십시오.

• A. 범위를 확대하려면 조직에 대한 전체 감사를 다시 실시해야 하므로 용납할 수 없습니다.
• B. 허용 가능합니다. 많은 피감사 기관이 첫 번째 인증에 대해 축소된 범위를 정의한 다음 다음 해에 연장을 요청할 수 있습니다.
• C. 허용되지 않습니다. 확장 기능은 초기 인증 범위에 포함되었어야 하며, 주요 재인증 절차를 수행하지 않는 한 나중에 추가할 수 없습니다.

외부 감사를 실시한 후 감사원은 내부 감사원이 다음 감시 감사까지 시정 조치 이행을 후속 조치하기로 결정했습니다. 이것이 허용될 수 있습니까?

• A. 예, 내부 감사자는 감시 감사 중 외부 감사자의 검증이 있을 때까지 시정 조치의 이행에 대한 후속 조치를 취할 수 있습니다.
• B. 예, 외부 감사자가 시정 조치의 이행을 검증할 수 없는 경우 내부 감사자가 시정 조치의 이행을 검증할 수 있습니다.
• C. 아니요, 외부 감사인만이 감사 완료 후 시정 조치 이행에 대한 후속 조치를 취해야 합니다.

시나리오 9: 네트워킹 회사인 UpNet은 ISO/IEC 27001 인증을 받았습니다. 이 회사는 네트워크 보안, 가상화, 클라우드 컴퓨팅, 네트워크 하드웨어, 네트워크 관리 소프트웨어 및 네트워킹 기술을 제공합니다.
ISO/IEC 27001 인증을 획득한 이후 회사의 인지도가 크게 높아졌습니다. 이 인증은 UpNefs 운영의 성숙도와 널리 인정되고 수용되는 표준을 준수함을 확인했습니다.
하지만 인증 후 모든 것이 끝난 것은 아닙니다. UpNet은 내부 감사를 실시하여 보안 통제와 ISMS의 전반적인 효과성과 효율성을 지속적으로 검토하고 개선했습니다. 최고 경영진은 풀타임 내부 감사팀을 고용할 의향이 없었기 때문에 내부 감사 기능을 아웃소싱하기로 결정했습니다. 이러한 형태의 내부 감사는 독립성, 객관성을 보장했으며 ISMS의 지속적인 개선에 대한 자문 역할을 수행했습니다.
초기 인증 감사 후 얼마 지나지 않아 회사는 데이터 및 스토리지 제품을 전문으로 하는 새로운 부서를 만들었습니다. 그들은 데이터 센터와 네트워크 가상화 및 네트워크 보안 어플라이언스와 같은 소프트웨어 기반 네트워킹 장치에 최적화된 라우터와 스위치를 제공했습니다. 이로 인해 ISMS 인증 범위에 이미 포함된 다른 부서의 운영이 변경되었습니다.
따라서 UpNet은 위험 평가 프로세스와 내부 감사를 시작했습니다. 내부 감사 결과에 따라 회사는 기존 및 새로운 프로세스와 통제의 효과성과 효율성을 확인했습니다.
최고 경영진은 ISO/IEC 27001 요구 사항을 준수하기 때문에 새로운 부서를 인증 범위에 포함하기로 결정했습니다. UpNet은 ISO/IEC 27001 인증을 받았으며 인증 범위가 회사 전체를 포함한다고 발표했습니다.
최초 인증 감사 후 1년 만에, 인증 기관은 UpNefs ISMS에 대한 또 다른 감사를 실시했습니다.
이 감사는 UpNefs ISMS가 지정된 ISO/IEC 27001 요구 사항을 충족하는지 확인하고 ISMS가 지속적으로 개선되고 있는지 확인하는 것을 목표로 했습니다. 감사팀은 인증된 ISMS가 표준의 요구 사항을 계속 충족하고 있음을 확인했습니다. 그럼에도 불구하고 새로운 부서는 관리 시스템을 관리하는 데 상당한 영향을 미쳤습니다. 게다가 인증 기관에는 어떠한 변경 사항도 알리지 않았습니다. 따라서 UpNefs 인증은 중단되었습니다.
위의 시나리오를 토대로 다음 질문에 답하세요.
시나리오 9의 마지막 문단에서는 어떤 유형의 감사가 설명되어 있습니까?

• A. 내부 감사
• B. 감시감사
• C. 재인증 감사