IT-Governance - ISO27001-002

Question 1

Hvad er IT-Governance?

Answer 1

Det refererer til et sæt af regler, processer og strukturer, der er etableret for at styre og kontrollere IT-aktiviteter i en organisation.

Question 2

Hvad er en ISO-standard?

Answer 2

Det er en internationalt anerkendt standard.

Question 3

Hvad er ISO-27001?

Answer 3

1. Det er det stratetiske værktøj.
2. Det er en guideline.
3. Sætter rammer op for hvilke ting man kan implementere i et ISMS.

Question 4

Hvad er en asset list i sammenhæng med ISO27001?

Answer 4

Det er en liste af værdifulde ressourcer som virksomheden kan benytte og skal beskytte.

(Asset listen hjælper organisationer med at forstå værdien og vigtigheden af hvert asset, vurdere risici og implementere passende sikkerhedskontroller.)

Question 5

Hvilke assets kunne være i en asset list?

Answer 5

1. Hardware.
2. Software.
3. Intellektuel ejendom.
4. Kundedata.
5. (Medarbejder).

Question 6

Hvad er den administrerende direktørs rolle i ISO-27001?

Answer 6

1. Ansvarlig for implementeringen og effektiviteten af ISMS.
2. Lave en sikkerhedskomité.
3. Udpege en IT-security manager.

Question 7

Hvad er formålet med ISO-27001-retningslinjer for medarbejdersikkerhed?

Answer 7

Det handler ikke om medarbejdernes fysiske sikkerhed, men snarere om at beskytte virksomhedens aktiver, informationer og systemer mod potentielle risici fra medarbejderne.

Question 8

Hvorfor er asset management og klassificering vigtig i ISO-27001?

Answer 8

Nemmere at finde ud af hvilke assets der skal fokuseres på både i forhold til vigtigheden af assetet og hvor stor en ricisi den har.

Question 9

Hvad er rollen for en databeskyttelsesansvarlig (DPO) i ISO-27001?

Answer 9

De sikrer overholdelse af den generelle GDPR i organisationen.

Question 10

Hvad er rollen for en IT-sikkerhedschef i ISO-27001?

Answer 10

Han er ansvarlig for at overvåge og administrere organisationens it-sikkerhedspraksis.

Question 11

Hvad er ISO-27002?

Answer 11

1. Det er det operationelle værktøj.
2. Det er hvordan man implementere ISO-27001.

Question 12

Hvad er ISO-27005?

Answer 12

Den giver vejledning om implementering af risikostyring i en organisation.

Question 13

Hvad er ISMS implementeringsprocessen?

Answer 13

1. Definition af det ønskede sikkerhedsniveau og strategier (politik).
2. Organisering af de nødvendige ressourcer, roller og ansvar for implementering af ISMS.
3. Uddelegere opgaver og tildele ansvar til passende personer eller teams.
4. Udførelse af en risikovurdering for at identificere og vurdere potentielle risici for informationssikkerheden.
5. Implementering af risikostyringspraksis baseret på risikovurderingen, herunder udvælgelse af relevante kontrolmål og kontroller.
6. Brug af Statement of Applicability (SoA) og ISO-27002 som centrale dokumenter til at guide implementeringsprocessen og spore fremskridt.

Question 14

Hvad er ISMS frameworket?

Answer 14

Den refererer til Information Security Management Architecture frameworket, som giver en struktureret tilgang til design og implementering af informationssikkerhedsstyringssystemer.

Det hjælper organisationer med at tilpasse deres sikkerhedspraksis til forretningsmål, lovmæssige krav og bedste praksis i branchen.

Question 15

Hvad er attack surfaces?

Answer 15

Det er alle de mulige steder man kan angribe, f.eks. et inputsfelt.

Question 16

Hvad er attack vectors?

Answer 16

Det er det man kan bruge til at angribe med f.eks. SQL-injection, XSS.

Question 17

Hvad er risikostyring (risk management)?

Answer 17

Det er processen med at identificere, vurdere og prioritere risici for at minimere potentiel skade eller tab.

Question 18

Hvad menes der med “likelihood x impact” i risikostyring?

Answer 18

Det er en metode, der bruges til at vurdere og kvantificere risici.

Likelihood refererer til sandsynligheden eller hyppigheden af, at en hændelse eller risiko indtræffer.

Impact refererer til de potentielle konsekvenser eller alvoren af den pågældende hændelse eller risiko.

Ved at gange dem kan organisationer prioritere risici og bestemme deres overordnede risikofaktor, hvilket hjælper dem med at definere, om risikoen er høj eller lav.

Question 19

Har ISO-27001/002 en skabelon til risikovurdering?

Answer 19

ISO27001 giver ikke en specifik skabelon til risikovurdering.

ISO27002 indeholder dog en delvis skabelon til risikovurdering, som organisationer kan tilpasse og tilpasse ud fra deres specifikke behov og krav.

Question 20

Hvilke sårbarheder er relateret til policies, procedures og awareness?

Answer 20

Sårbarheder omfatter utilstrækkelige sikkerhedspolitikker, forældede procedurer, manglende medarbejder awareness og uddannelse samt manglende indførelse af sikkerhedsforanstaltninger.

Question 21

Hvilke sårbarheder er relateret til physical security?

Answer 21

Sårbarheder omfatter problemer såsom uautoriseret adgang til lokaler, utilstrækkelige overvågningssystemer, mangel på sikkerhedsvagter, utilstrækkelig kontrol til sikring af fysiske assets og sårbarheder i den fysiske infrastruktur (f.eks. svage låse eller døre).

Question 22

Hvilke sårbarheder er relateret til network stack’en?

Answer 22

Sårbarheder involverer svagheder i netværksenheder, protokoller og konfigurationer.

Dette kan omfatte upatchet eller forældet firmware, forkert konfigurerede firewalls, svage krypteringsprotokoller og usikre netværkstjenester

Question 23

Hvilke sårbarheder er relateret til server stack’en?

Answer 23

Sårbarheder vedrører svagheder i serverhardware, operativsystemer og softwareapplikationer.

Dette kan omfatte upatchet eller forældet software, forkert konfigurerede serverindstillinger, mangel på IDS og svage godkendelsesmekanismer.

Question 24

Hvad er sårbarheder relateret til application stack’en?

Answer 24

Sårbarheder involverer svagheder i softwareapplikationer og webtjenester.

Dette kan omfatte usikker kodningspraksis, manglende inputvalidering, utilstrækkelig adgangskontrol og sårbarheder i tredjepartsbiblioteker eller -komponenter.

Question 25

Hvad er sårbarheder relateret til data stack’en?

Answer 25

Sårbarheder er forbundet med svagheder i datalagring, transmission og håndteringspraksis.

Dette kan omfatte utilstrækkelig kryptering af følsomme data, mangel på datasikkerhedskopieringsmekanismer, usikre dataoverførselsprotokoller og sårbarheder i databasesystemer.