ISO-IEC-27001-Lead-Auditor-CN Exam Question 81
您是一位經驗豐富的審核團隊負責人，負責為其客戶設計網站的組織進行第三方監督審核。您目前正在審查該組織的適用性聲明。
根據 ISO/IEC 27001 的要求，以下關於適用性聲明的觀察哪兩項是正確的？
根據 ISO/IEC 27001 的要求，以下關於適用性聲明的觀察哪兩項是正確的？
ISO-IEC-27001-Lead-Auditor-CN Exam Question 82
場景9：UpNet是一家網路公司，已通過ISO/IEC 27001認證。
自從獲得 ISO/IEC 27001 認證以來，該公司的認可度大幅提高。此認證證實了 UpNefs 營運的成熟性及其符合廣泛認可和接受的標準。
但認證之後一切還沒結束。 UpNet 透過進行內部稽核不斷審查和增強其安全控制以及 ISMS 的整體有效性和效率。高階主管不願意聘請全職內部稽核團隊，因此決定將內部稽核職能外包。這種形式的內部稽核確保了獨立性、客觀性，並且在 ISMS 的持續改進方面發揮諮詢作用。
在初次認證審核後不久，該公司創建了一個專門從事數據和儲存產品的新部門。他們提供針對資料中心和基於軟體的網路設備（例如網路虛擬化和網路安全設備）進行最佳化的路由器和交換器。這導致 ISMS 認證範圍內已涵蓋的其他部門的營運發生變化。
所以。 UpNet 啟動了風險評估流程和內部稽核。根據內部審計結果，公司確認了現有和新流程和控制的有效性和效率。
由於新部門符合 ISO/IEC 27001 要求，最高管理層決定將其納入認證範圍。 UpNet宣布取得ISO/IEC 27001認證，認證範圍涵蓋全公司。
在初次認證審核一年後，認證機構對 UpNefs ISMS 進行了另一次審核。
此次審核旨在確定 UpNefs ISMS 是否符合指定的 ISO/IEC 27001 要求，並確保 ISMS 持續改善。審核小組確認，經過認證的 ISMS 繼續符合標準的要求。儘管如此，新部門對管理體系的治理產生了重大影響。此外，認證機構並未獲悉任何變更。因此，UpNefs認證被暫停。
根據上述場景，回答以下問題：
UpNet 確保內部稽核的獨立性、客觀性和諮詢活動。這個動作可以接受嗎？
自從獲得 ISO/IEC 27001 認證以來，該公司的認可度大幅提高。此認證證實了 UpNefs 營運的成熟性及其符合廣泛認可和接受的標準。
但認證之後一切還沒結束。 UpNet 透過進行內部稽核不斷審查和增強其安全控制以及 ISMS 的整體有效性和效率。高階主管不願意聘請全職內部稽核團隊，因此決定將內部稽核職能外包。這種形式的內部稽核確保了獨立性、客觀性，並且在 ISMS 的持續改進方面發揮諮詢作用。
在初次認證審核後不久，該公司創建了一個專門從事數據和儲存產品的新部門。他們提供針對資料中心和基於軟體的網路設備（例如網路虛擬化和網路安全設備）進行最佳化的路由器和交換器。這導致 ISMS 認證範圍內已涵蓋的其他部門的營運發生變化。
所以。 UpNet 啟動了風險評估流程和內部稽核。根據內部審計結果，公司確認了現有和新流程和控制的有效性和效率。
由於新部門符合 ISO/IEC 27001 要求，最高管理層決定將其納入認證範圍。 UpNet宣布取得ISO/IEC 27001認證，認證範圍涵蓋全公司。
在初次認證審核一年後，認證機構對 UpNefs ISMS 進行了另一次審核。
此次審核旨在確定 UpNefs ISMS 是否符合指定的 ISO/IEC 27001 要求，並確保 ISMS 持續改善。審核小組確認，經過認證的 ISMS 繼續符合標準的要求。儘管如此，新部門對管理體系的治理產生了重大影響。此外，認證機構並未獲悉任何變更。因此，UpNefs認證被暫停。
根據上述場景，回答以下問題：
UpNet 確保內部稽核的獨立性、客觀性和諮詢活動。這個動作可以接受嗎？
ISO-IEC-27001-Lead-Auditor-CN Exam Question 83
情境 6：Sinvestment 是一家提供家庭保險、商業保險和人壽保險的保險公司。該公司成立於北卡羅來納州，但最近在其他地區進行了擴張，包括歐洲和非洲。
Sinvestment 致力於遵守適用於其行業的法律法規，並防止任何資訊安全事件。他們實施了基於 ISO/IEC 27001 的 ISMS 並申請了 ISO/IEC 27001 認證。
認證機構指派兩名審核員進行審核。與Sinvestment簽訂保密協議後。他們開始了審計活動。首先，他們審查了標準要求的文件，包括 ISMS 範圍聲明、資訊安全政策和內部稽核報告。審查過程並不容易，因為儘管 Sinvestment 表示他們已製定文件程序，但並非所有文件都具有相同的格式。
隨後，審計小組對Sinvestment的高階主管進行了多次訪談，以了解他們在ISMS實施中的作用。第一階段審計的所有活動都是遠端進行的，除了根據 Sinvestment 的要求在現場進行的文件資訊審查之外。
在此階段，審計人員發現沒有與資訊安全培訓和意識計劃相關的文件。被問及時，Sinvestment代表表示，公司已為所有員工提供資訊安全培訓課程。第一階段審計讓審計團隊對 Sinvestment 的營運和 ISMS 有了整體了解。
第二階段審核在第一階段審核三週後進行。審計小組觀察到，行銷部門（未包含在審計範圍內）沒有適當的程序來控制員工的存取權限。由於控制員工的存取權限是ISO/IEC 27001的要求之一，並且已包含在公司的資訊安全政策中，因此該問題包含在審計報告中。此外，在第二階段審計中，審計小組觀察到Sinvestment沒有記錄使用者活動日誌。
該公司的程序規定“記錄用戶活動的日誌應保留並定期審查”，但該公司沒有提供任何執行該程序的證據。
在所有審核活動中，審核員透過觀察、訪談、文件化資訊審查、分析和技術驗證來收集資訊和證據。對第一階段和第二階段的所有審核結果進行了分析，審核小組決定發布積極的認證建議。
在第一階段審核中，審核小組發現Sinvestment沒有資訊安全訓練和意識的記錄。在這種情況下，Sinvestment 會做什麼？請參閱場景 6。
Sinvestment 致力於遵守適用於其行業的法律法規，並防止任何資訊安全事件。他們實施了基於 ISO/IEC 27001 的 ISMS 並申請了 ISO/IEC 27001 認證。
認證機構指派兩名審核員進行審核。與Sinvestment簽訂保密協議後。他們開始了審計活動。首先，他們審查了標準要求的文件，包括 ISMS 範圍聲明、資訊安全政策和內部稽核報告。審查過程並不容易，因為儘管 Sinvestment 表示他們已製定文件程序，但並非所有文件都具有相同的格式。
隨後，審計小組對Sinvestment的高階主管進行了多次訪談，以了解他們在ISMS實施中的作用。第一階段審計的所有活動都是遠端進行的，除了根據 Sinvestment 的要求在現場進行的文件資訊審查之外。
在此階段，審計人員發現沒有與資訊安全培訓和意識計劃相關的文件。被問及時，Sinvestment代表表示，公司已為所有員工提供資訊安全培訓課程。第一階段審計讓審計團隊對 Sinvestment 的營運和 ISMS 有了整體了解。
第二階段審核在第一階段審核三週後進行。審計小組觀察到，行銷部門（未包含在審計範圍內）沒有適當的程序來控制員工的存取權限。由於控制員工的存取權限是ISO/IEC 27001的要求之一，並且已包含在公司的資訊安全政策中，因此該問題包含在審計報告中。此外，在第二階段審計中，審計小組觀察到Sinvestment沒有記錄使用者活動日誌。
該公司的程序規定“記錄用戶活動的日誌應保留並定期審查”，但該公司沒有提供任何執行該程序的證據。
在所有審核活動中，審核員透過觀察、訪談、文件化資訊審查、分析和技術驗證來收集資訊和證據。對第一階段和第二階段的所有審核結果進行了分析，審核小組決定發布積極的認證建議。
在第一階段審核中，審核小組發現Sinvestment沒有資訊安全訓練和意識的記錄。在這種情況下，Sinvestment 會做什麼？請參閱場景 6。
ISO-IEC-27001-Lead-Auditor-CN Exam Question 84
審核員能力是知識和技能的結合。下列哪兩項活動主要與「知識」相關？
ISO-IEC-27001-Lead-Auditor-CN Exam Question 85
場景 7：Lawsy 是一家領先的律師事務所，在新澤西州和紐約市設有辦公室。它擁有 50 多名律師，為商業法、智慧財產權、銀行和金融服務領域的客戶提供完善的法律服務。他們相信，由於他們致力於實施資訊安全最佳實踐並跟上技術發展的步伐，他們在市場上佔據了有利的地位。
Lawsy 已經嚴格實施、評估和進行 ISMS 內部審核兩年了。
現在，他們已向知名且值得信賴的認證機構ISMA申請ISO/IEC 27001認證。
在第一階段審核期間，審核小組審查了實施過程中所建立的所有 ISMS 文件。
他們還審查和評估了管理審查和內部審計的記錄。
Lawsy 提交了證據記錄，表明在必要時對不合格項採取了糾正措施，因此審核組約談了內部審核員。訪談透過提供對內部稽核計畫和程序的詳細了解，驗證了內部稽核的充分性和頻率。
審計小組繼續驗證戰略文件，包括資訊安全政策和風險評估標準。在資訊安全政策審查期間，團隊注意到描述治理框架（即資訊安全政策）的記錄資訊與程序之間存在不一致。
儘管允許員工將筆記型電腦帶到工作場所之外，但 Lawsy 並沒有製定有關在這種情況下使用筆記型電腦的程序。此政策僅提供有關筆記型電腦使用的一般資訊。該公司依靠員工的常識來保護筆記型電腦中儲存的資訊的機密性和完整性。該問題已記錄在第一階段審計報告中。
完成第一階段審核後，審核組長準備了審核計劃，其中闡述了審核目標、範圍、標準和程序。
在第二階段審核期間，審核小組約談了資安經理，資安經理起草了資訊安全政策。他透過指出 Lawsy 每三個月舉辦一次強制性資訊安全培訓和意識課程來證明第一階段中確定的問題的合理性。
面談後，審核小組檢查了 15 份員工培訓記錄（共 50 份），得出的結論是 Lawsy 符合 ISO/IEC 27001 有關培訓和意識的要求。為了支持這個結論，他們影印了檢查過的員工訓練記錄。
根據上述場景，回答以下問題：
根據情境 7，Lawsy 在開始第二階段審核之前該做什麼？
Lawsy 已經嚴格實施、評估和進行 ISMS 內部審核兩年了。
現在，他們已向知名且值得信賴的認證機構ISMA申請ISO/IEC 27001認證。
在第一階段審核期間，審核小組審查了實施過程中所建立的所有 ISMS 文件。
他們還審查和評估了管理審查和內部審計的記錄。
Lawsy 提交了證據記錄，表明在必要時對不合格項採取了糾正措施，因此審核組約談了內部審核員。訪談透過提供對內部稽核計畫和程序的詳細了解，驗證了內部稽核的充分性和頻率。
審計小組繼續驗證戰略文件，包括資訊安全政策和風險評估標準。在資訊安全政策審查期間，團隊注意到描述治理框架（即資訊安全政策）的記錄資訊與程序之間存在不一致。
儘管允許員工將筆記型電腦帶到工作場所之外，但 Lawsy 並沒有製定有關在這種情況下使用筆記型電腦的程序。此政策僅提供有關筆記型電腦使用的一般資訊。該公司依靠員工的常識來保護筆記型電腦中儲存的資訊的機密性和完整性。該問題已記錄在第一階段審計報告中。
完成第一階段審核後，審核組長準備了審核計劃，其中闡述了審核目標、範圍、標準和程序。
在第二階段審核期間，審核小組約談了資安經理，資安經理起草了資訊安全政策。他透過指出 Lawsy 每三個月舉辦一次強制性資訊安全培訓和意識課程來證明第一階段中確定的問題的合理性。
面談後，審核小組檢查了 15 份員工培訓記錄（共 50 份），得出的結論是 Lawsy 符合 ISO/IEC 27001 有關培訓和意識的要求。為了支持這個結論，他們影印了檢查過的員工訓練記錄。
根據上述場景，回答以下問題：
根據情境 7，Lawsy 在開始第二階段審核之前該做什麼？