비밀번호를 보호하기 위한 지침은 다음과 같습니다.

• A. 누구와도 비밀번호를 공유하지 마세요
• B. 첫 번째 로그인 시 임시 비밀번호 변경
• C. 쉽게 기억할 수 있도록 회사 계정과 개인 계정에 동일한 비밀번호를 사용하세요.
• D. 다양한 회사 시스템 보안 접근에 동일한 비밀번호를 사용하지 마세요.

시나리오 3
미국에 본사를 둔 다국적 기술 기업인 나이트코어(NightCore)는 전자상거래, 클라우드 컴퓨팅, 디지털 스트리밍 및 인공지능(AI)을 전문으로 합니다. 나이트코어는 1년 이상 정보 보안 관리 시스템(ISMS)을 구축한 후, ISO/IEC 27001 인증을 위해 인증 기관에 심사를 의뢰했습니다.
인증 기관은 잭을 팀장으로 하여 5명의 심사위원으로 구성된 팀을 만들었습니다. 잭은 위험 관리, 정보 보안 통제 및 사고 관리 분야에서 폭넓은 심사 경험으로 정평이 나 있습니다.
그는 감사 원칙 및 절차의 요구 사항에 부합하는 뛰어난 역량을 보유하고 있어 감사 범위를 효과적으로 이해하고 관련 기준을 능숙하게 적용할 수 있습니다. 또한, 나이트코어의 조직 구조, 목적, 경영 방식 및 사업 활동에 적용되는 법규 및 규제 요건에 대한 깊이 있는 이해를 보여줍니다.
감사팀은 체계적이고 신뢰할 수 있으며 재현 가능한 결론에 도달하기 위해 합리적인 방법을 따랐습니다. 감사팀은 어느 정도 검증 가능한 정보만이 유효한 증거로 간주되어야 한다는 점을 인지했습니다. 감사 과정에서 특정 정보의 검증에 어려움이 있거나 검증 가능성이 낮은 드문 경우에는 감사팀이 전문가적 판단을 통해 해당 정보의 신뢰성을 평가하고 신뢰도를 어느 정도까지 허용할 ​​수 있는지 결정했습니다.
감사 과정에서 감사관들은 나이트코어의 정보보안관리시스템(ISMS) 운영 계획 및 통제와 관련된 관찰 내용과 검사 결과를 문서화했습니다. 또한 나이트코어의 정보 및 관련 자산 목록에 대한 관찰 내용도 기록했습니다. 더불어 네트워크 서비스 연결 보안을 위해 구축된 방화벽의 구성도 검토했습니다.
심사가 최종 단계에 접어들면서 NightCore가 최고 수준의 정보 보안을 유지하기 위해 기울이는 노력이 분명하게 드러났습니다. ISO/IEC 27001 인증 획득이 눈앞에 다가옴에 따라 NightCore는 기술 업계에서 명성을 더욱 높일 수 있는 유리한 위치에 서게 되었습니다.
질문
시나리오 3에 따르면, 감사인은 검증이 제한적인 정보를 적절하게 처리했습니까?

• A. 아니요, 감사 담당자는 검증을 위해 외부 전문가에게 연락했어야 합니다.
• B. 네, 그들은 전문가적 판단을 활용하여 그것이 어느 정도 신뢰할 수 있는지 평가했기 때문입니다.
• C. 아니요, 감사인은 완전히 검증할 수 없는 정보는 모두 기각했어야 합니다.

다음 중 인간의 상호 작용이 '없는' 감사 방법의 예는 두 가지를 고르시오.
* 화상회의 플랫폼을 이용한 인터뷰 진행

• A. 감사를 준비하기 위해 피감사기관의 절차 검토 수행
• B. 감사 대상의 서버에 원격으로 접속하여 데이터를 분석합니다.
• C. 원격 감시를 통해 수행되는 작업 관찰
• D. 감사 결과에 대한 피감사기관의 답변 검토
• E. 감사 날짜 및 시간 확인

시나리오 8: EsBank는 9월부터 에스토니아 은행 부문에 은행 및 금융 솔루션을 제공합니다.
2010년. 이 회사는 전국에 100개가 넘는 ATM을 갖춘 30개 지점 네트워크를 보유하고 있습니다.
엄격하게 규제되는 산업에서 운영되는 EsBank는 데이터의 보안 및 개인 정보 보호와 관련된 많은 법률과 규정을 준수해야 합니다. 기술적 및 비기술적 통제를 구현하여 운영 전반에서 정보 보안을 관리해야 합니다. EsBank는 ISO/IEC에 기반한 ISMS를 구현하기로 결정했습니다.
27001은 보안을 강화하고 위험 관리를 강화하며 주요 법률 및 규정 요구 사항을 준수하기 때문에 선택되었습니다.
ISMS를 성공적으로 구현한 지 9개월 후, EsBank는 ISO/IEC 27001에 따라 독립 인증 기관에서 ISMS 인증을 받기로 결정했습니다. 인증 감사에는 EsBank의 모든 시스템, 프로세스, 기술이 포함되었습니다.
1단계와 2단계 감사는 공동으로 수행되었고 여러 가지 불일치 사항이 발견되었습니다. 첫 번째 불일치 사항은 EsBank의 정보 라벨링과 관련이 있었습니다. 이 회사에는 정보 분류 체계가 있었지만 정보 라벨링 절차가 없었습니다. 그 결과, 동일한 수준의 보호가 필요한 문서는 다르게 라벨링되었습니다(때로는 기밀로, 다른 경우에는 시급함).
모든 문서가 전자적으로 저장되었다는 점을 고려하면, 불일치는 미디어 처리에도 영향을 미쳤습니다. 감사팀은 샘플링을 사용하여 200개의 이동식 미디어 중 50개가 실수로 기밀로 분류된 민감한 정보를 저장하고 있다는 결론을 내렸습니다. 정보 분류 체계에 따르면, 기밀 정보는 이동식 미디어에 저장할 수 있지만 민감한 정보를 저장하는 것은 엄격히 금지되어 있습니다. 이는 다른 불일치를 표시했습니다.
그들은 불일치 사항 보고서를 작성하고 EsBank 담당자들과 감사 결론을 논의했으며, EsBank 담당자들은 발견된 불일치 사항에 대한 조치 계획을 2개월 이내에 제출하기로 합의했습니다.
EsBank는 감사팀 리더가 제안한 해결책을 수용했습니다. 그들은 물리적 형식과 전자적 형식 모두에 대한 분류 체계에 기반한 정보 라벨링 절차를 초안하여 불일치 사항을 해결했습니다.
이동식 미디어 절차도 이 절차를 기반으로 업데이트되었습니다.
감사가 완료된 지 2주 후, EsBank는 일반 행동 계획을 제출했습니다. 그곳에서 그들은 발견된 불일치 사항과 취해진 시정 조치를 다루었지만, 영향을 받은 시스템, 통제 또는 운영에 대한 세부 정보는 포함하지 않았습니다. 감사팀은 행동 계획을 평가하고 불일치 사항을 해결할 것이라고 결론지었습니다. 그러나 EsBank는 인증에 대한 불리한 권고를 받았습니다.
위의 시나리오를 토대로 다음 질문에 답하세요.
시나리오 8에 따르면 감사팀은 행동 계획을 평가하고 이것이 탐지된 불일치를 해결할 것이라고 결론지었습니다. 이것이 허용 가능할까요?

• A. 예, EsBank가 이전에 행동 계획의 효과를 검증하고 감사팀에 행동 계획이 불일치 사항의 수정을 허용한다는 사실을 알린 경우에만 가능합니다.
• B. 아니요, 감사 대상자는 조치 계획이 불일치 사항의 수정 및 근본 원인 제거를 허용하는지 확인해야 합니다.
• C. 예. 감사팀은 조치 계획을 평가하고 탐지된 불일치 사항을 수정하는 데 적합한지 확인해야 합니다.