PECB ISO-IEC-27001-Lead-Auditor 中文 Exam : PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor中文版)

您是一位經驗豐富的 ISMS 審核團隊領導者。您目前正在對國際運輸組織進行第三方監督審核。您抽取了四份內部稽核報告，其中指出：
報告 1 - 審計員：詹姆斯先生。
一年來，該組織在 100 次中有 23 次未能滿足其承諾的交付日期。
分級 - 次要
矯正措施到期時間：9 個月內。
報告 2 - 審計員：詹姆斯先生。
1 月至 3 月期間，我們收到了 125 起有關服務台團隊的投訴。客戶指責他們粗魯且反應遲鈍。
分級 - 次要
矯正措施到期時間：12 個月內。
報告 3 - 審計員：詹姆斯先生。
上個月收到的 40 個客戶訂單中，有 38 個已正確處理。其餘 2 份中，一份缺簽名，一份缺日期。
評分 -
更正期間：3週內
報告 4 - 審計員：羅傑斯先生。
在檢查的 30 份人事記錄中，發現 26 份已完全填寫，而其餘 4 份均缺少個人的開始日期。
分級 - 主要
更正期間：1週內
哪四個選項顯示了您對這些報告的擔憂？

• A. 我擔心報告 3 沒有記錄任何評分。
• B. 我擔心該組織中是否有不合格品分級標準
• C. 我會擔心，因為解決重大不合格問題的行動應始終早於解決輕微不合格問題的行動完成
• D. 我擔心審核員是否理解糾正和糾正措施之間的區別
• E. 我擔心審核員只專注於資訊安全流程
• F. 我擔心一名審計師似乎正在執行大部分內部審計
• G. 我擔心四份報告中解決不合格問題的時間明顯不同
• H. 我擔心沒有進行不合格審查

場景 9：Techmanic 是一家比利時公司，成立於 1995 年，目前在布魯塞爾運作。該公司提供 IT 諮詢、軟體設計以及軟體硬體服務，包括部署和維護。其服務業涵蓋公共服務、金融、電信、能源、醫療保健和教育等領域。作為一家以客戶為中心的公司，Techmanic 重視與客戶建立牢固的關係，並致力於採用領先的安全實踐。
Techmanic 已獲得 ISO/IEC 27001 認證一年，並對此認證引以為傲。在認證審核期間，審核員發現其資訊安全管理系統 (ISMS) 的實施存在一些不一致之處。由於發現的問題並未影響其 ISMS 實現預期結果的能力，因此在審核員遠端跟進根本原因分析和糾正措施後，Techmanic 獲得了認證。同年，該公司在其服務清單中新增了主機託管服務，並申請擴大認證範圍以涵蓋該領域。負責審核的審核員批准了該申請，並通知 Techmanic 將在監督審核期間進行擴展審核。 Techmanic 接受了監督審核，以驗證其 ISMS 的持續有效性以及是否符合 ISO/IEC 27001 標準。此次監督審核旨在確保 Techmanic 的安全實踐(包括最近新增的主機託管服務)與認證的嚴格要求無縫銜接。審核員在重新認證過程中巧妙地利用了先前監督審核報告中的發現，旨在避免進行額外的重新認證審核，尤其是在 IT 諮詢領域。認識到持續改進的價值，並從過去的評估中吸取經驗教訓。
Techmanic實施了一項審查以往監督審計報告的慣例。這種積極主動的做法不僅有助於識別和解決潛在的不符合項，而且旨在簡化IT諮詢行業的重新認證流程。
在監督審核過程中，發現了一些不符合項。資訊安全管理系統(ISMS)持續符合ISO/IEC標準。
Techmanic公司雖然符合ISO/IEC 27001*標準的要求，但其內部稽核員報告稱，該公司未能解決與託管服務相關的不符合項。此外，內部稽核報告存在多處不一致之處，令人質疑內部稽核員在託管服務稽核過程中的獨立性。基於此，Techmanic公司未獲得擴展認證。因此，該公司申請轉至其他認證機構。同時，該公司向客戶發布聲明稱，ISO/IEC 27001認證涵蓋其IT服務以及託管服務。
根據以上情景，回答以下問題：
問題：
根據情境 9，審計員決定在監督審計期間進行擴展審計。
你如何定義這種情況？

• A. 不可接受，因為延期審核僅在首次認證審核的第二年之後進行。
• B. 不可接受，因為審計師不能批准延期審計
• C. 可以接受，因為擴展審計是在監督審計期間進行的。

根據發現的不合格項。 A 公司製定了行動計劃，其中包括發現的不合格項、根本原因以及關於將採取的每項行動的一般說明。這是可以接受的嗎？

• A. 否，受審核方必須提交行動計劃，其中包括有關如何實施每項糾正措施的詳細信息
• B. 是的，受審核方必須提交行動計劃，其中包括有關將採取的行動的一般聲明
• C. 不，行動計劃應包括有關將安裝的系統以及這些系統將如何消除根本原因的信息

場景9：UpNet是一家網路公司，已通過ISO/IEC 27001認證。
自從獲得 ISO/IEC 27001 認證以來，該公司的認可度大幅提高。此認證證實了 UpNefs 營運的成熟性及其符合廣泛認可和接受的標準。
但認證之後一切還沒結束。 UpNet 透過進行內部稽核不斷審查和增強其安全控制以及 ISMS 的整體有效性和效率。高階主管不願意聘請全職內部稽核團隊，因此決定將內部稽核職能外包。這種形式的內部稽核確保了獨立性、客觀性，並且在 ISMS 的持續改進方面發揮諮詢作用。
在初次認證審核後不久，該公司創建了一個專門從事數據和儲存產品的新部門。他們提供針對資料中心和基於軟體的網路設備（例如網路虛擬化和網路安全設備）進行最佳化的路由器和交換器。這導致 ISMS 認證範圍內已涵蓋的其他部門的營運發生變化。
所以。 UpNet 啟動了風險評估流程和內部稽核。根據內部審計結果，公司確認了現有和新流程和控制的有效性和效率。
由於新部門符合 ISO/IEC 27001 要求，最高管理層決定將其納入認證範圍。 UpNet宣布取得ISO/IEC 27001認證，認證範圍涵蓋全公司。
在初次認證審核一年後，認證機構對 UpNefs ISMS 進行了另一次審核。
此次審核旨在確定 UpNefs ISMS 是否符合指定的 ISO/IEC 27001 要求，並確保 ISMS 持續改善。審核小組確認，經過認證的 ISMS 繼續符合標準的要求。儘管如此，新部門對管理體系的治理產生了重大影響。此外，認證機構並未獲悉任何變更。因此，UpNefs認證被暫停。
根據上述場景，回答以下問題：
UpNet 將內部稽核職能外包，如場景 9 所示。

• A. 否，因為內部審核流程不僅僅包含審核計劃
• B. 不，內部稽核不一定必須是獨立且客觀的，因為它們具有諮商作用
• C. 是的，它提高了內部稽核的獨立性和公正性，因為審計員不具有與 ISMS 相關的營運角色

下列哪兩項是「不」涉及人為幹預的審計方法範例？
* 使用遠距會議平台進行面試

• A. 審查受審計單位對審計結果的回應
• B. 為審計做準備，對被審計單位的程序進行審查
• C. 確認審計日期和時間
• D. 透過遠端存取被審計方的伺服器來分析數據
• E. 觀察遠端監控所執行的工作