질문
내부 감사의 객관성과 공정성 유지에 관한 다음 설명 중 올바른 것은 무엇입니까?

• A. 내부 감사자는 기간이나 직무 설명과 관계없이 항상 운영 역할과 독립적이어야 합니다.
• B. 감사인은 운영 역할과 감사 역할이 서로 관련이 없는 경우 두 역할을 모두 수행할 수 있으며, 이해 충돌을 방지하기 위해 문서화된 직무 설명서가 필요합니다.
• C. ISMS 관련 운영 역할을 수행한 사람은 내부 감사자 역할을 맡기 전에 최소 1년을 기다려야 합니다.

시나리오 9: 네트워킹 회사인 UpNet은 ISO/IEC 27001 인증을 받았습니다. 이 회사는 네트워크 보안, 가상화, 클라우드 컴퓨팅, 네트워크 하드웨어, 네트워크 관리 소프트웨어 및 네트워킹 기술을 제공합니다.
ISO/IEC 27001 인증을 획득한 이후 회사의 인지도가 크게 높아졌습니다. 이 인증은 UpNefs 운영의 성숙도와 널리 인정되고 수용되는 표준을 준수함을 확인했습니다.
하지만 인증 후 모든 것이 끝난 것은 아닙니다. UpNet은 내부 감사를 실시하여 보안 통제와 ISMS의 전반적인 효과성과 효율성을 지속적으로 검토하고 개선했습니다. 최고 경영진은 풀타임 내부 감사팀을 고용할 의향이 없었기 때문에 내부 감사 기능을 아웃소싱하기로 결정했습니다. 이러한 형태의 내부 감사는 독립성, 객관성을 보장했으며 ISMS의 지속적인 개선에 대한 자문 역할을 수행했습니다.
초기 인증 감사 후 얼마 지나지 않아 회사는 데이터 및 스토리지 제품을 전문으로 하는 새로운 부서를 만들었습니다. 그들은 데이터 센터와 네트워크 가상화 및 네트워크 보안 어플라이언스와 같은 소프트웨어 기반 네트워킹 장치에 최적화된 라우터와 스위치를 제공했습니다. 이로 인해 ISMS 인증 범위에 이미 포함된 다른 부서의 운영이 변경되었습니다.
따라서 UpNet은 위험 평가 프로세스와 내부 감사를 시작했습니다. 내부 감사 결과에 따라 회사는 기존 및 새로운 프로세스와 통제의 효과성과 효율성을 확인했습니다.
최고 경영진은 ISO/IEC 27001 요구 사항을 준수하기 때문에 새로운 부서를 인증 범위에 포함하기로 결정했습니다. UpNet은 ISO/IEC 27001 인증을 받았으며 인증 범위가 회사 전체를 포함한다고 발표했습니다.
최초 인증 감사 후 1년 만에, 인증 기관은 UpNefs ISMS에 대한 또 다른 감사를 실시했습니다.
이 감사는 UpNefs ISMS가 지정된 ISO/IEC 27001 요구 사항을 충족하는지 확인하고 ISMS가 지속적으로 개선되고 있는지 확인하는 것을 목표로 했습니다. 감사팀은 인증된 ISMS가 표준의 요구 사항을 계속 충족하고 있음을 확인했습니다. 그럼에도 불구하고 새로운 부서는 관리 시스템을 관리하는 데 상당한 영향을 미쳤습니다. 게다가 인증 기관에는 어떠한 변경 사항도 알리지 않았습니다. 따라서 UpNefs 인증은 중단되었습니다.
위의 시나리오를 토대로 다음 질문에 답하세요.
시나리오 9의 마지막 문단에서는 어떤 유형의 감사가 설명되어 있습니까?

• A. 재인증 감사
• B. 내부 감사
• C. 감시감사

시나리오 5: 런던에 위치한 보험 회사인 Cobt는 다양한 상업, 산업 및 생명 보험 상품을 제공합니다. 최근 몇 년 동안 Cobt의 고객 수는 크게 증가했습니다. 처리해야 할 데이터 양이 방대해짐에 따라, 회사는 ISO/IEC 27001 인증을 획득함으로써 정보 보안을 강화하고 지속적인 개선에 대한 의지를 보여줄 수 있을 것이라고 판단했습니다. 회사는 정기적인 위험 평가를 수행하는 데는 익숙했지만, 정보 보안 관리 시스템(ISMS)을 도입하면서 일상 업무에 상당한 변화가 생겼습니다. 위험 평가 과정에서 조직의 내부 통제 메커니즘을 통해 감지되거나 예방되지 않은 중대한 결함이 발생할 수 있는 위험이 확인되었습니다.
Cobt는 ISMS(정보 보안 관리 시스템) 구현을 위한 방법론을 따랐고, 불과 몇 달 만에 운영 가능한 ISMS를 구축했습니다. ISMS 구현에 성공한 후, Cobt는 ISO/IEC 27001 인증을 신청했습니다. 경험이 풍부한 심사원인 Sarah가 심사팀에 배정되었습니다. Sarah는 심사 제안서를 꼼꼼히 분석한 후 심사팀장으로서의 책임을 수락하고 즉시 Cobt에 대한 일반 정보를 수집하기 시작했습니다. 그녀는 심사 기준과 목표를 설정하고, 심사 계획을 수립하고, 심사팀 구성원들에게 책임을 할당했습니다.
사라는 Cobt가 다양한 상업 및 보험 솔루션을 제공하며 크게 확장했지만 여전히 일부 수동 프로세스에 의존하고 있음을 인지했습니다. 따라서 그녀의 초기 목표는 회사의 정보 보안 위험 관리 방식을 파악하는 것이었습니다. 사라는 Cobt 담당자에게 연락하여 감사 계획의 일부로 당초 합의된 대로 외부 검토를 위해 위험 관리 관련 정보에 대한 접근을 요청했습니다. 그러나 Cobt는 해당 정보가 회사 외부로 접근하기에는 너무 민감하다는 이유로 거부했습니다. 이러한 거부는 감사의 실현 가능성, 특히 피감사자의 협조 및 증거 접근성에 대한 우려를 불러일으켰습니다. 또한 Cobt는 감사 일정이 회사의 최근 변경 사항을 제대로 반영하지 못하고 있다고 지적하며, 감사 과정에서 수행될 조치가 초기 감사 범위에만 적용되고 최근 변경 사항은 포함하지 않는다고 우려를 제기했습니다. 사라는 또한 거부된 정보가 감사 목표에 미치는 중요성을 고려하여 상황의 중요성을 평가했습니다. 이 경우 Cobt의 거부는 감사의 완전성과 합리적인 확신을 제공할 수 있는 능력에 대한 의문을 제기했습니다. 이러한 상황들을 계기로, 사라 씨는 인증 계약 체결 전에 감사를 철회하기로 결정하고 Cobt와 인증 기관에 자신의 결정을 통보했습니다. 이러한 결정은 감사 원칙을 준수하고 투명성을 유지하기 위한 것이며, 사라 씨가 이러한 원칙을 꾸준히 지켜나가겠다는 의지를 보여주는 것입니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
시나리오 5에 따르면, Cobt는 감사 일정이 최근 감사 범위 변경 사항을 제대로 반영하지 못했다고 밝혔습니다. 이 경우 Sarah는 어떻게 해야 할까요?

• A. Cobt, Sarah, 그리고 인증기관이 감사 범위 변경에 동의하는 경우에만 감사 일정을 변경하십시오.
• B. Cobt는 최근 기술 변경 사항이 있는 경우에만 감사 범위 변경을 요청할 수 있으므로 초기 범위로 감사를 계속 진행하십시오.
• C. Cobt의 요청에 따라 감사 일정을 변경하십시오. 감사 범위는 감사 대상 활동의 현황 및 중요도를 반영해야 합니다.

시나리오 4: 브랜딩은 미국에서 가장 유명한 기업들과 협력하는 마케팅 회사입니다.
내부 비용 절감을 위해 브랜딩(Branding)은 2년 이상 소프트웨어 개발 및 IT 헬프데스크 운영을 테크볼로지(Techvology)에 아웃소싱해 왔습니다. 필요한 전문성을 갖춘 테크볼로지는 브랜딩의 소프트웨어, 네트워크 및 하드웨어 요구 사항을 관리합니다. 브랜딩은 정보 보안 관리 시스템(ISMS)을 구축하고 ISO/IEC 27001 인증을 획득하여 높은 수준의 정보 보안 유지를 위한 노력을 입증하고 있습니다. 또한, 아웃소싱 운영의 보안이 ISO/IEC 27001 인증 요건을 준수하는지 확인하기 위해 테크볼로지에 대한 감사를 적극적으로 실시하고 있습니다.
지난 감사에서 브랜딩의 감사팀은 감사 대상 프로세스와 감사 일정을 정의했습니다. 특히 지난 한 해 동안 테크볼로지가 보고한 두 건의 정보 보안 사고를 고려하여 증거 기반 접근 방식을 채택했습니다. 감사의 초점은 이러한 사고에 대한 대응 방식과 아웃소싱 계약 조건 준수 여부를 평가하는 것이었습니다. 감사는 테크볼로지의 아웃소싱 운영 품질 모니터링 방식에 대한 종합적인 검토로 시작되었으며, 제공된 서비스가 브랜딩의 기대치와 합의된 기준을 충족하는지 평가했습니다. 감사팀은 또한 테크볼로지가 양사 간에 체결된 계약 요건을 준수했는지 여부를 확인했습니다. 이를 위해 아웃소싱 계약의 조항을 철저히 검토하여 정보 보안 조치를 포함한 모든 측면이 준수되고 있는지 확인했습니다.
또한, 이번 감사에는 테크놀로지(Techvology)가 아웃소싱 운영 및 기타 조직을 관리하는 데 사용하는 거버넌스 프로세스에 대한 심층적인 평가가 포함되었습니다. 이는 브랜딩(Branding)이 아웃소싱 계약과 관련된 잠재적 위험을 완화하기 위한 적절한 통제 및 감독 메커니즘이 마련되어 있는지 확인하는 데 매우 중요합니다.
감사팀은 테크볼로지의 다양한 직급 직원들을 대상으로 인터뷰를 진행하고 사고 해결 기록을 분석했습니다. 또한, 테크볼로지는 직원들을 대상으로 사고 관리 관련 인식 교육을 실시했다는 증거 자료를 제출했습니다. 수집된 정보를 바탕으로 감사팀은 두 건의 정보 보안 사고 모두 담당 직원의 역량 부족으로 인해 발생했다고 판단했습니다. 따라서 감사팀은 해당 사고에 연루된 직원들의 인사 파일을 열람하여 관련 경력, 자격증, 교육 이수 기록 등 역량을 입증할 수 있는 자료를 검토하고자 했습니다.
브랜딩의 감사팀은 확보된 증거의 타당성을 면밀히 평가하고, 문서화된 정보의 신뢰성을 의심하게 하거나 모순될 수 있는 증거가 있는지 주의 깊게 살폈습니다. 테크볼로지 감사 과정에서도 감사팀은 이러한 접근 방식을 유지하며, 사건 해결 기록을 면밀히 검토하고 다양한 직급과 직무의 직원들을 대상으로 심층 인터뷰를 진행했습니다. 감사팀은 테크볼로지 담당자의 말을 그대로 사실로 받아들이지 않고, 사건 관리 프로세스에 대한 담당자의 주장을 뒷받침할 구체적인 증거를 적극적으로 모색했습니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
시나리오 4에 따르면, 브랜딩은 어떤 유형의 감사를 실시했습니까?

• A. 제3자 감사
• B. 제2자 감사
• C. 자사 감사

감사 결과를 준비 중입니다. 올바른 두 가지 옵션을 선택하세요.

• A. 불일치(NC)가 있습니다. 샘플링 인터뷰 결과에 따르면, 인터뷰 대상자 중 누구도 인력의 역할과 책임을 포함한 사고 관리 절차 보고 프로세스를 설명할 수 없었습니다. 이는 조항 9.1 및 제어 A.5.24에 부합하지 않습니다.
• B. 불일치가 없습니다. 정보 보안 취약점, 이벤트 및 인시던트가 보고됩니다.
  이는 조항 9.1 및 통제 A.5.24와 일치합니다.
• C. 개선의 기회가 있습니다(OFI). 정보 보안 취약점, 이벤트 및 결함이 보고됩니다. 이는 조항 9.1 및 제어 A.5.24와 관련이 있습니다.
• D. 불일치(NC)가 있습니다. 정보 보안 사고 교육이 실패했습니다. 이는 조항 7.2 및 제어 A.6.3에 부합하지 않습니다.
• E. 불일치 사항이 없습니다. 정보 보안 처리 교육을 수행했으며, 그 효과성이 평가되었습니다. 이는 조항 7.2 및 제어 A.6.3과 일치합니다.
• F. 개선의 기회가 있습니다(OFI). iLiirmation 보안 사고 교육 효과를 개선할 수 있습니다. 이는 조항 7.2 및 제어 A.6.3과 관련이 있습니다.