ISO-IEC-27001-Lead-Auditor-CN Exam Question 16
情境 8：EsBank 自 9 月起為愛沙尼亞銀行業提供銀行和金融解決方案
2010年，該公司在全國擁有30家分行和100多台ATM機。
EsBank 在高度監管的行業中運營，必須遵守許多有關資料安全和隱私的法律和法規。他們需要透過實施技術和非技術控制來管理整個營運的資訊安全。 EsBank 決定實施基於 ISO/IEC 的 ISMS
27001，因為它提供了更好的安全性、更多的風險控制以及符合法律法規的關鍵要求。
在成功實施 ISMS 九個月後，EsBank 決定由獨立認證機構根據 ISO/IEC 27001 對其 ISMS 進行認證。
第一階段和第二階段審核是共同進行的，發現了一些不符合項。第一個不合格之處與 EsBank 的資訊標籤有關。該公司有資訊分類方案，但沒有資訊標籤程序。因此，需要相同保護等級的文件將被貼上不同的標籤（有時為機密，有時為敏感）。
考慮到所有文件也以電子方式存儲，不合格情況也影響了媒體處理。審計小組透過抽樣得出結論，200 個可移動媒體中有 50 個儲存了被錯誤分類為機密的敏感資訊。根據資訊分類方案，允許將機密資訊儲存在可移動媒體中，而嚴格禁止儲存敏感資訊。這標誌著另一個不合格之處。
他們起草了不合格報告，並與 EsBank 代表討論了審計結論，代表同意在兩個月內針對發現的不合格問題提交行動計劃。
EsBank 接受了審計組組長提出的解決方案。他們根據實體和電子格式的分類方案起草了資訊標籤程序，解決了不合格問題。可移動媒體程式也基於此程式進行了更新。
審計完成兩週後，EsBank 提交了總體行動計畫。在那裡，他們解決了檢測到的不合格問題以及採取的糾正措施，但沒有包括有關受影響的系統、控製或操作的任何詳細資訊。審核小組評估了該行動計劃並得出結論，該計劃將解決不合格問題。然而，EsBank 收到了不利的認證建議。
根據上述場景，回答以下問題：
透過起草資訊標籤程序，EsBank 已：
2010年，該公司在全國擁有30家分行和100多台ATM機。
EsBank 在高度監管的行業中運營，必須遵守許多有關資料安全和隱私的法律和法規。他們需要透過實施技術和非技術控制來管理整個營運的資訊安全。 EsBank 決定實施基於 ISO/IEC 的 ISMS
27001，因為它提供了更好的安全性、更多的風險控制以及符合法律法規的關鍵要求。
在成功實施 ISMS 九個月後，EsBank 決定由獨立認證機構根據 ISO/IEC 27001 對其 ISMS 進行認證。
第一階段和第二階段審核是共同進行的，發現了一些不符合項。第一個不合格之處與 EsBank 的資訊標籤有關。該公司有資訊分類方案，但沒有資訊標籤程序。因此，需要相同保護等級的文件將被貼上不同的標籤（有時為機密，有時為敏感）。
考慮到所有文件也以電子方式存儲，不合格情況也影響了媒體處理。審計小組透過抽樣得出結論，200 個可移動媒體中有 50 個儲存了被錯誤分類為機密的敏感資訊。根據資訊分類方案，允許將機密資訊儲存在可移動媒體中，而嚴格禁止儲存敏感資訊。這標誌著另一個不合格之處。
他們起草了不合格報告，並與 EsBank 代表討論了審計結論，代表同意在兩個月內針對發現的不合格問題提交行動計劃。
EsBank 接受了審計組組長提出的解決方案。他們根據實體和電子格式的分類方案起草了資訊標籤程序，解決了不合格問題。可移動媒體程式也基於此程式進行了更新。
審計完成兩週後，EsBank 提交了總體行動計畫。在那裡，他們解決了檢測到的不合格問題以及採取的糾正措施，但沒有包括有關受影響的系統、控製或操作的任何詳細資訊。審核小組評估了該行動計劃並得出結論，該計劃將解決不合格問題。然而，EsBank 收到了不利的認證建議。
根據上述場景，回答以下問題：
透過起草資訊標籤程序，EsBank 已：
ISO-IEC-27001-Lead-Auditor-CN Exam Question 17
場景 1：Fintive 是一家傑出的線上支付和保護解決方案安全提供者。 Fintive 於 1999 年由 Thomas Fin 在加州聖荷西創立，為線上營運、希望提高資訊安全、防止詐欺並保護 PII 等用戶資訊的公司提供服務。 Fintive的決策和營運流程以以往的案例為中心。他們收集客戶數據，根據情況進行分類並進行分析。該公司需要大量員工才能進行如此複雜的分析。然而，幾年後，協助進行此類分析的技術也取得了進展。現在，Fintive 正計劃使用現代工具聊天機器人來實現模式分析，以即時防止詐騙。該工具也將用於幫助改善客戶服務。
這個最初的想法已傳達給軟體開發團隊，他們支持該想法並被分配從事該專案。他們開始將聊天機器人整合到現有系統中。此外，團隊也為聊天機器人設定了一個目標，即回答 85% 的聊天查詢。
聊天機器人成功整合後，該公司立即將其發布給客戶使用。
然而，聊天機器人似乎存在一些問題。
由於測試不足，並且在訓練階段缺乏向聊天機器人提供的樣本（在訓練階段，聊天機器人本應「學習」查詢模式），因此聊天機器人無法解決用戶查詢並提供正確的答案。此外，當聊天機器人收到無效輸入（例如奇怪的點圖案和特殊字元）時，它會向使用者發送隨機檔案。因此，聊天機器人無法正確回答客戶的查詢，而傳統的客戶支援因聊天查詢而不堪重負，因此無法幫助客戶解決他們的請求。
因此，Fintive 制定了軟體開發政策。該政策規定，無論軟體是內部開發還是外包，在作業系統上實施之前都將經過黑盒測試。
根據該場景，回答以下問題：
在訓練階段測試不充分且缺乏向 Fintive 聊天機器人提供的樣本被視為 1。
參考場景
這個最初的想法已傳達給軟體開發團隊，他們支持該想法並被分配從事該專案。他們開始將聊天機器人整合到現有系統中。此外，團隊也為聊天機器人設定了一個目標，即回答 85% 的聊天查詢。
聊天機器人成功整合後，該公司立即將其發布給客戶使用。
然而，聊天機器人似乎存在一些問題。
由於測試不足，並且在訓練階段缺乏向聊天機器人提供的樣本（在訓練階段，聊天機器人本應「學習」查詢模式），因此聊天機器人無法解決用戶查詢並提供正確的答案。此外，當聊天機器人收到無效輸入（例如奇怪的點圖案和特殊字元）時，它會向使用者發送隨機檔案。因此，聊天機器人無法正確回答客戶的查詢，而傳統的客戶支援因聊天查詢而不堪重負，因此無法幫助客戶解決他們的請求。
因此，Fintive 制定了軟體開發政策。該政策規定，無論軟體是內部開發還是外包，在作業系統上實施之前都將經過黑盒測試。
根據該場景，回答以下問題：
在訓練階段測試不充分且缺乏向 Fintive 聊天機器人提供的樣本被視為 1。
參考場景
ISO-IEC-27001-Lead-Auditor-CN Exam Question 18
在測試的基礎上實施計劃 - 這屬於 PDCA 的哪一部分
ISO-IEC-27001-Lead-Auditor-CN Exam Question 19
您正在 ABC Healthcare Services 的療養院執行 ISO 27001 ISMS 監督審核。 ABC 使用由供應商 WeCare 設計和維護的醫療保健行動應用程式來監控居民的健康狀況。在審計過程中，您了解到90%的居民家庭成員每週一次透過電子郵件和簡訊定期收到WeCare的醫療器材廣告。 ABC 與 WeCare 之間的服務協議禁止供應商使用居民的個人資料。美國廣播公司已收到許多居民及其家人的投訴。
服務經理表示，這些投訴作為資訊安全事件進行了調查，發現這些投訴是合理的。已根據不合格和糾正措施管理程序規劃並實施糾正措施。
您寫了一份不合格項“ABC 未能遵守與居民及其家庭成員的個人資料相關的資訊安全控制 A.5.34（隱私和 PII 保護）。供應商 WeCare 使用居民的個人資訊向家庭成員”，從列出的糾正和糾正措施中選擇您希望ABC 針對不合格項採取的三個選項
服務經理表示，這些投訴作為資訊安全事件進行了調查，發現這些投訴是合理的。已根據不合格和糾正措施管理程序規劃並實施糾正措施。
您寫了一份不合格項“ABC 未能遵守與居民及其家庭成員的個人資料相關的資訊安全控制 A.5.34（隱私和 PII 保護）。供應商 WeCare 使用居民的個人資訊向家庭成員”，從列出的糾正和糾正措施中選擇您希望ABC 針對不合格項採取的三個選項
ISO-IEC-27001-Lead-Auditor-CN Exam Question 20
進行外部審核後，審核員決定內部審核員將追蹤糾正措施的實施情況，直到下一次監督審核。這是可以接受的嗎？