시나리오 2:
1990년대에 설립된 클리닉(Clinic)은 심장 관련 질환 및 복잡한 외과 수술 치료를 전문으로 하는 의료기기 회사입니다. 유럽에 본사를 두고 환자와 의료 전문가 모두에게 서비스를 제공합니다. 클리닉은 환자 데이터를 수집하여 맞춤형 치료를 제공하고, 치료 결과를 모니터링하며, 기기 기능을 개선합니다. 데이터 보안을 강화하고 신뢰를 구축하기 위해 클리닉은 ISO/IEC 27001 기반의 정보 보안 관리 시스템(ISMS)을 구축하고 있습니다. 이 시스템은 클리닉이 민감한 환자 정보와 자체 기술을 안전하게 관리하겠다는 의지를 보여줍니다.
클리닉은 내부 문제, 인터페이스, 내부 및 외부 활동 간의 의존성, 이해 관계자의 기대치만을 고려하여 정보 보안 관리 시스템(ISMS)의 범위를 설정했습니다. 이러한 범위는 신중하게 문서화되어 누구나 접근할 수 있도록 공개되었습니다. 클리닉은 ISMS를 정의하는 과정에서 연구 개발, 환자 데이터 관리, 고객 지원과 같은 핵심 부서 내의 주요 프로세스에 특히 집중하기로 했습니다.
초기에는 어려움이 있었지만, 클리닉은 ISMS 구현에 전념하며 고유한 요구 사항에 맞춰 보안 통제를 조정했습니다. 프로젝트 팀은 ISO/IEC 27001 부록 A의 특정 통제 항목을 제외하고, 보안 강화를 위해 업계 특화 통제 항목을 추가했습니다. 팀은 이러한 통제 항목의 적용 가능성을 내부 및 외부 요인을 고려하여 평가했으며, 최종적으로 통제 항목 선택 및 구현의 근거를 상세히 설명하는 포괄적인 적용성 설명서(SoA)를 개발했습니다.
인증 준비가 진행됨에 따라 팀 리더로 임명된 브라이언은 자체적인 위험 평가 방법론을 도입하여 회사의 전략적 문제와 보안 관행을 파악하고 평가했습니다. 이러한 선제적 접근 방식을 통해 클리닉의 위험 평가는 목표 및 사명과 일치하게 되었습니다.
질문:
시나리오 2에 따르면, 해당 병원의 정보보안관리시스템(ISMS)의 범위가 올바르게 결정되었습니까?

• A. 아니요, 클리닉은 ISMS 범위에 제외 사항과 그에 대한 근거도 포함했어야 합니다.
• B. 아니요, 병원은 외부적인 문제도 고려했어야 합니다.
• C. 네, 클리닉의 ISMS 범위가 올바르게 결정되었습니다.

특정 물리적 자산에 파란색 스티커가 보이네요. 이게 무슨 뜻인가요?

• A. 파란색 스티커가 붙은 자산은 항상 에어컨을 켜두어야 합니다.
• B. 자산이 매우 중요하며, 이 자산이 실패하면 조직 내의 그룹/프로젝트 작업에 영향을 미칠 것입니다.
• C. 자산이 중요하며 영향이 직원에게만 제한됩니다.
• D. 자산이 매우 중요하며, 자산의 실패가 조직 전체에 영향을 미칩니다.

ISMS 감사를 실시하고 있습니다. 감사 계획의 다음 단계는 조직의 정보 보안 위험 처리 계획이 제대로 수립되고 구현되었는지 확인하는 것입니다. IT 보안 관리자와 인터뷰하기로 결정했습니다.
당신: 조직에서 정보 보안 위험 평가 및 처리 프로세스를 어떻게 수행하는지 설명해 주시겠습니까?
IT 보안 관리자: 정보 보안 위험 관리 절차를 따라 위험 처리 계획을 수립합니다.
내레이터: 요양원의 물리적 보안을 개선하기 위한 전자(보이지 않는) 펜스의 계획된 설치와 관련된 위험 처리 계획 No. 123을 검토합니다. IT 보안 관리자가 위험 처리 계획을 승인한 것을 발견했습니다.
당신: 물리적 보안 위험에 대한 책임은 누구에게 있나요?
IT 보안 관리자: 시설 관리자는 물리적 보안 위험을 담당합니다. IT 부서는 경보를 모니터링하는 데 도움을 줍니다. 시설 관리자는 위험 처리 계획 No. 123에 대한 예산을 승인할 권한이 있습니다.
당신: 위험처리계획 123호가 시행된 이후에 어떤 잔여정보 보안 위험이 존재합니까?
IT 보안 관리자: 제가 아는 한 잔여 정보 보안 위험을 수용할 수 있는 정보는 없습니다.
감사 결과를 준비합니다. 시나리오에서 정당화되는 결과에 대한 세 가지 옵션을 선택합니다.

• A. 지속적인 개선 프로세스의 일부로 최신 기술을 도입하는 것은 좋은 관행입니다.
• B. 불일치(NC) - IT 보안 관리자는 자신의 권한과 책임 영역을 알고 이해해야 합니다. 조항 7.3
• C. 전자(보이지 않는) 펜스를 설치하면 개선 기회(OI)가 있습니다.
  주민의 신체적 보안이 강화됩니다.
• D. 불일치(NC) - 위험 처리 계획 번호 123은 이 경우 시설 관리자인 위험 소유자가 승인해야 합니다. 조항 6.1.3.f
• E. 불일치(NC) - 최고 경영진은 ISMS에 필요한 리소스가 사용 가능한지 확인해야 합니다. 조항 5.1.c
• F. 불일치(NC) - 조직은 ISMS의 지속적인 개선에 필요한 자원을 제공해야 합니다. 조항 7.1
• G. 불일치(NC) - 잔여 정보 보안 위험 수용에 대한 정보는 위험 처리가 구현된 후 업데이트되어야 합니다. 조항 6.1.3.f
• H. 경계 울타리에 대한 보안 검사를 실시하기 위한 개선 기회(OI)가 있습니다.

다음 중 정성적 증거의 예는 무엇입니까?

• A. 정보 보안 프로세스가 표준 요구 사항을 준수하는지 확인하기 위한 정보 보안 담당자와의 인터뷰
• B. 외부 기관의 정보보안 전문가가 실시한 침입탐지 테스트의 문서화된 결과
• C. 감사 대상 조직이 ISMS를 구현한 시점부터 작성한 불일치 보고서에 대한 정의된 샘플 분석

시나리오 8: 테사, 말릭, 마이클은 보안, 규정 준수, 사업 계획 및 전략 분야의 독립적이고 자격을 갖춘 전문가로 구성된 감사팀입니다. 이들은 대형 웹 디자인 회사인 클라스투스(Clastus)의 인증 심사를 맡게 되었습니다. 이들은 이전에도 심사를 수행하면서 공정성과 객관성을 포함한 뛰어난 업무 윤리를 보여준 바 있습니다. 이번에도 클라스투스는 이들이 ISO/IEC 27001 인증을 획득한다면 경쟁 우위를 확보할 수 있을 것이라고 확신하고 있습니다.
감사팀장인 테사는 감사 분야에 대한 전문 지식과 IT 관련 문제, 규정 준수 및 거버넌스 분야에서 매우 성공적인 경력을 보유하고 있습니다. 말릭은 조직 기획 및 위험 관리 분야의 전문가입니다. 그의 전문성은 조직의 보안 통제 및 위험 허용 수준에 대한 종합적인 분석과 정확한 위험 수준 파악에 있습니다. 한편, 마이클은 엄격한 표준화 프로그램을 준수하여 실질적인 보안 통제 평가를 수행하는 전문가입니다.
필요한 감사 활동을 수행한 후, 테사는 감사팀 회의를 소집했습니다. 그들은 마이클이 발견한 사항 중 하나를 분석하여 해당 문제를 객관적이고 정확하게 결정했습니다. 마이클이 발견한 문제는 조직의 일상 업무에서 발생한 사소한 부적합 사항이었는데, 그는 이것이 조직의 IT 기술자 중 한 명의 실수로 발생했다고 판단했습니다. 이에 테사는 최고 경영진과 만나 책임자의 이름을 확인하고, 책임자를 명확히 밝혔습니다. 이해를 돕기 위해 테사는 감사 마지막 날에 마무리 회의를 진행했습니다.
이 회의에서 그녀는 발견된 부적합 사항들을 클라스투스 경영진에게 보고했습니다. 그러나 테사는 클라스투스 인증 심사 보고서에 불필요한 증거를 포함하지 않도록 하고, 보고서를 간결하게 핵심 사항에 집중하도록 하라는 조언을 받았습니다.
검토된 증거를 바탕으로 감사팀은 감사 결론을 작성하고 인증 부여 전에 조직의 두 영역에 대한 추가 감사가 필요하다고 결정했습니다. 이러한 결정은 이후 피감사기관에 전달되었으나, 피감사기관은 감사 결과를 수용하지 않고 추가 정보를 제공하겠다고 제안했습니다. 피감사기관의 의견에도 불구하고, 이미 인증 권고를 결정한 감사팀은 추가 정보를 받아들이지 않았습니다. 피감사기관의 최고 경영진은 감사 결론이 현실을 반영하지 않는다고 주장했지만, 감사팀은 기존 결정을 고수했습니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
폐회 회의는 규정에 따라 진행되었습니까?

• A. 아니요, 현장 실사 후 몇 주 후에 실시해야 합니다.
• B. 네, 최종 회의는 감사 마지막 날에 진행됩니다.
• C. 아니요, 감사 결론이 작성된 후에 실시해야 합니다.