ISO 27001 CISO Prüfungsfragen: 10 typische Fragen mit Lösungen
Du verantwortest ein ISMS oder willst es bald tun? Die zehn Fragen gehen über die Grundlagen hinaus und drehen sich um typische Aufgaben eines CISO nach ISO/IEC 27001:2022: Risikobehandlung, Ziele und Kennzahlen, Auditprogramm, Managementbewertung, ausgelagerte Prozesse und Maßnahmen aus Anhang A. Jede Frage hat genau eine richtige Antwort.
Die Lösungen mit Erklärung siehst du direkt nach jeder Antwort und gesammelt unter dem Quiz. Du willst erst die Grundlagen testen? Dann starte mit unseren 12 Prüfungsfragen zur ISO 27001.
Gut zu wissen: Diese Fragen sind Übungsbeispiele. In der Prüfung unserer Schulung ISO 27001 Chief Information Security Officer kommen sie nicht vor.
Quiz
Teste dein Wissen: 10 Fragen für CISOs
Klick dich durch die Fragen. Nach jeder Antwort siehst du sofort, ob sie richtig war, und bekommst die Erklärung dazu.
Frage 1 von 10
0 richtig
Alle 10 Fragen mit Lösungen und Erklärungen
1. Der Risikobehandlungsplan für das ISMS ist fertig. Wer muss ihn nach ISO/IEC 27001 genehmigen und die verbleibenden Informationssicherheitsrisiken akzeptieren?
- A)Der Informationssicherheitsbeauftragte allein.
- B)Die jeweiligen Risikoeigentümer. (richtig)
- C)Die Zertifizierungsstelle im Stufe-2-Audit.
- D)Der interne Auditor nach dem nächsten Audit.
Lösung: B
Die Norm verlangt, dass die Risikoeigentümer den Risikobehandlungsplan genehmigen und die Restrisiken akzeptieren. Wer Risikoeigentümer ist, legt die Organisation bei der Risikobeurteilung fest. Der Informationssicherheitsbeauftragte bereitet vor und berät, die Zertifizierungsstelle prüft nur.
2. Ein CISO soll für die Leitung Kennzahlen zum ISMS einführen. Was muss die Organisation nach ISO/IEC 27001 für Überwachung und Messung festlegen?
- A)Eine feste Liste von 20 Kennzahlen, die die Norm in einem Anhang vorgibt.
- B)Nur die Zahl der Sicherheitsvorfälle, weil diese gesetzlich vorgegeben ist.
- C)Nur die Kosten der Maßnahmen, weil die Leitung das Budget freigeben muss.
- D)Was überwacht wird, mit welchen Methoden, wann und wer die Ergebnisse auswertet. (richtig)
Lösung: D
Die Norm gibt keine Kennzahlen vor. Sie verlangt, dass die Organisation selbst festlegt, was sie überwacht und misst, mit welchen Methoden, wann und von wem gemessen und ausgewertet wird. Die Ergebnisse sind als dokumentierte Information aufzubewahren und fließen in die Managementbewertung ein.
3. Das ISMS soll auf eine neu erworbene Tochtergesellschaft ausgeweitet werden. Was verlangt ISO/IEC 27001 für solche Änderungen am ISMS?
- A)Sie müssen geplant durchgeführt werden. (richtig)
- B)Sie brauchen eine Genehmigung der Zertifizierungsstelle.
- C)Sie dürfen erst nach der Rezertifizierung erfolgen.
- D)Sie sind ohne Planung zulässig, wenn die Leitung zustimmt.
Lösung: A
Seit der Fassung 2022 verlangt die Norm ausdrücklich, dass Änderungen am ISMS geplant erfolgen. Eine Genehmigung der Zertifizierungsstelle ist nicht nötig, wesentliche Änderungen sollten ihr aber mitgeteilt werden, weil sie den Zertifizierungsumfang betreffen können.
4. Der CISO bereitet die Managementbewertung vor. Was muss nach ISO/IEC 27001 unter anderem als Eingabe berücksichtigt werden?
- A)Ausschließlich die Ergebnisse des letzten externen Zertifizierungsaudits der Organisation.
- B)Nur die Sicherheitsvorfälle, die tatsächlich an Behörden gemeldet werden mussten.
- C)Rückmeldungen zur Informationssicherheitsleistung, etwa Nichtkonformitäten und Auditergebnisse. (richtig)
- D)Ausschließlich die Kosten des ISMS im Vergleich zum Budget des Vorjahres.
Lösung: C
Die Norm legt fest, welche Themen die Managementbewertung mindestens behandelt, etwa den Stand früherer Maßnahmen, Änderungen im Kontext, Rückmeldungen zur Leistung (Nichtkonformitäten, Messergebnisse, Auditergebnisse, Erfüllung der Ziele), Risikobeurteilung und Verbesserungsmöglichkeiten. Eine Beschränkung auf einzelne Quellen reicht nicht.
5. Ein CISO plant das interne Auditprogramm für die nächsten drei Jahre. Was muss er dabei nach ISO/IEC 27001 berücksichtigen?
- A)Dass jeder Prozess in jedem Jahr mit genau gleichem Aufwand auditiert wird.
- B)Die Bedeutung der betroffenen Prozesse und die Ergebnisse früherer Audits. (richtig)
- C)Dass nur Prozesse auditiert werden, für die die IT-Abteilung zuständig ist.
- D)Dass Audits ausschließlich unangekündigt und ohne Auditplan stattfinden.
Lösung: B
Beim Auditprogramm muss die Organisation die Bedeutung der Prozesse und die Ergebnisse vorangegangener Audits berücksichtigen. Häufigkeit, Methoden und Umfang dürfen sich also unterscheiden. Für jedes Audit sind Kriterien und Umfang festzulegen, die Ergebnisse werden der zuständigen Leitung berichtet.
6. Ein Unternehmen lagert den Betrieb seines Rechenzentrums an einen Dienstleister aus. Was gilt nach ISO/IEC 27001 für extern bereitgestellte Prozesse, die für das ISMS relevant sind?
- A)Die Organisation muss sie steuern. (richtig)
- B)Sie fallen automatisch aus dem Anwendungsbereich.
- C)Sie unterliegen allein dem Vertrag, nicht dem ISMS.
- D)Der Dienstleister muss dafür zertifiziert sein.
Lösung: A
Extern bereitgestellte Prozesse, Produkte oder Dienstleistungen, die für das ISMS relevant sind, muss die Organisation steuern. Die Auslagerung entbindet nicht von der Verantwortung. Ein Zertifikat des Dienstleisters kann ein Nachweis sein, verlangt die Norm aber nicht.
7. Nach einem Ransomware-Angriff will das Unternehmen prüfen, ob es Strafanzeige erstattet. Welche Maßnahme aus Anhang A der ISO/IEC 27001 betrifft diese Situation unmittelbar?
- A)Die Maskierung von Daten in Testumgebungen.
- B)Die Überwachung der physischen Sicherheit von Gebäuden.
- C)Die Sicherheit bei der Nutzung von Cloud-Diensten.
- D)Das Sammeln von Beweismaterial zu Sicherheitsvorfällen. (richtig)
Lösung: D
Anhang A enthält eine eigene Maßnahme dazu, Beweismaterial zu Sicherheitsvorfällen zu identifizieren, zu sammeln, zu beschaffen und aufzubewahren. Das ist wichtig, wenn ein Vorfall rechtliche oder disziplinarische Folgen haben kann. Die anderen Maßnahmen betreffen andere Themen.
8. Wie weist eine Organisation nach ISO/IEC 27001 nach, dass die Personen in ihren ISMS-Rollen kompetent sind?
- A)Sie lässt jede Person einzeln von der Zertifizierungsstelle prüfen.
- B)Sie braucht keinen Nachweis, wenn die Leitung die Personen benannt hat.
- C)Sie bewahrt geeignete dokumentierte Information als Kompetenznachweis auf. (richtig)
- D)Sie legt für jede Person ein Zertifikat einer staatlichen Stelle vor.
Lösung: C
Die Norm verlangt, die erforderliche Kompetenz zu bestimmen, sie etwa durch Ausbildung, Schulung oder Erfahrung sicherzustellen und geeignete dokumentierte Information als Nachweis aufzubewahren. Welche Nachweise das sind, entscheidet die Organisation, zum Beispiel Teilnahmebestätigungen, Zertifikate oder Tätigkeitsnachweise.
9. Die Leitung beschließt als einziges Informationssicherheitsziel den Satz „Wir wollen sicherer werden.“ Worauf sollte der CISO nach ISO/IEC 27001 hinweisen?
- A)Sie müssen mit der Politik vereinbar, wenn möglich messbar und überwacht sein. (richtig)
- B)Sie müssen jedes Jahr vollständig erreicht werden, sonst erlischt das Zertifikat.
- C)Sie müssen für jede Maßnahme aus Anhang A einzeln und gesondert festgelegt werden.
- D)Sie werden von der Zertifizierungsstelle verbindlich für die Organisation vorgegeben.
Lösung: A
Informationssicherheitsziele müssen zur Politik passen, nach Möglichkeit messbar sein, die Anforderungen und Ergebnisse der Risikobeurteilung berücksichtigen, überwacht, kommuniziert und bei Bedarf aktualisiert werden. Die Organisation plant, wie sie die Ziele erreicht. Ein verfehltes Ziel lässt das Zertifikat nicht automatisch erlöschen.
10. Welche der folgenden Maßnahmen wurde mit der Fassung 2022 neu in Anhang A der ISO/IEC 27001 aufgenommen?
- A)Rollen und Verantwortlichkeiten für die Informationssicherheit
- B)Informationen über die Bedrohungslage (Threat Intelligence) (richtig)
- C)Trennung von Aufgaben und Verantwortungsbereichen
- D)Steuerung des Zugangs zu Informationen und Werten
Lösung: B
Threat Intelligence gehört zu den elf Maßnahmen, die 2022 neu in Anhang A kamen, ebenso etwa Cloud-Dienste, Datenmaskierung und Überwachung von Aktivitäten. Rollen und Verantwortlichkeiten, Aufgabentrennung und Zugangssteuerung gab es schon in der Fassung 2013, teils unter anderer Nummer.
Weitere Prüfungsfragen
Du willst weiter üben? Hier findest du typische Prüfungsfragen zu unseren anderen Schulungen:
Häufige Fragen zur Prüfung ISO 27001 CISO
Wie läuft die Prüfung zum ISO 27001 CISO ab?
Du legst die Prüfung online im campus ab: 50 Fragen mit je vier Antwortmöglichkeiten, von denen genau eine richtig ist. Du hast 60 Minuten Zeit und bestehst ab 65 % richtigen Antworten.
Kommen diese Fragen in der echten Prüfung vor?
Nein. Die Fragen auf dieser Seite sind eigens für die Website geschrieben und stammen nicht aus der Prüfung. Sie zeigen dir aber, welche Themen und welches Niveau dich erwarten.
Was passiert, wenn ich die Prüfung nicht bestehe?
Du kannst sie mit einem neuen Prüfungsgutschein wiederholen, den du direkt im campus buchst. Mit einer gültigen Teilnahmebestätigung für die Schulung zahlst du dafür die Hälfte. Details regelt die Prüfungsordnung.
Was bekomme ich, wenn ich bestehe?
Das Zertifikat „ISO 27001 CISO“ der expertree academy als PDF und einen digitalen Badge, den du deinem LinkedIn-Profil hinzufügen kannst. Die Echtheit lässt sich über unsere Prüfseite bestätigen.
Vom Wissen zur Verantwortung
In der Schulung ISO 27001 Chief Information Security Officer vertiefst du an vier Tagen Risikomanagement, Betrieb, Audit und Verbesserung des ISMS und legst zum Abschluss die Online-Prüfung zum Zertifikat ab.