ISO/IEC 27001 Lead Auditor

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. Principes et concepts fondamentaux du SMSI

   Chez Harwell Logistics, le service comptable a modifié les coordonnées bancaires d'un fournisseur après avoir reçu un courriel qui semblait provenir du directeur financier de ce fournisseur. L'enquête montre que le message est arrivé exactement tel qu'il avait été rédigé, mais qu'il a été envoyé depuis un domaine sosie contrôlé par un fraudeur. Quelle propriété de sécurité de l'information les mesures de sécurité de la messagerie n'ont-elles pas su assurer ?

   1. La disponibilité, propriété d'être accessible et utilisable à la demande par une entité autorisée, telle qu'un utilisateur ou un processus.
   2. L'intégrité, propriété d'exactitude et de complétude, qui protège l'information et les autres actifs contre toute modification non autorisée.
   3. La confidentialité, propriété selon laquelle l'information n'est pas rendue disponible ni divulguée à des personnes, entités ou processus non autorisés.
   4. L'authenticité, propriété selon laquelle une entité est ce qu'elle prétend être, comme un compte utilisateur ou un organisme partenaire.

2. SMSI et exigences ISO/IEC 27001

   En préparation de la certification, un organisme annonce à l'auditeur qu'il exclura l'article 8.2, qui impose de réaliser des appréciations des risques de sécurité de l'information à des intervalles planifiés, parce que ses mesures de l'Annexe A couvrent déjà ses risques. Comment l'auditeur doit-il réagir à cette exclusion envisagée ?

   1. Accepter l'exclusion, à condition que la Déclaration d'applicabilité en consigne la justification.
   2. Accepter l'exclusion, à condition que l'énoncé du domaine d'application en consigne la justification.
   3. Refuser l'exclusion et auditer l'exigence dans son intégralité, comme le reste du corps de la norme.
   4. Refuser l'exclusion pour l'instant, et la reconsidérer quand plus aucun risque identifié ne dépendra de ce qu'elle retirerait.

3. Concepts et principes fondamentaux de l'audit

   Un assureur présent dans trois pays demande à l'auditeur de certification de confirmer, au cours de l'audit de son SMSI, qu'il respecte la loi sur la protection des données de chacun de ces pays. Comment l'auditeur doit-il traiter cette demande ?

   1. Expliquer que l'audit échantillonne des preuves montrant que l'assureur a identifié et respecte les exigences légales applicables dans chacun des trois pays.
   2. Accepter d'ajouter la demande aux objectifs de l'audit, si un expert technique en droit de la protection des données rejoint l'équipe pour chaque pays.
   3. Expliquer que la conformité légale est confirmée par l'autorité de contrôle de chaque pays, tandis que l'audit vérifie les exigences et les mesures de l'ISO/IEC 27001.
   4. Demander au responsable du programme d'audit d'allonger la durée de l'audit, afin de vérifier et confirmer sur site la conformité à la loi de chaque pays.

4. Réalisation d'un audit ISO/IEC 27001

   Chez Norhaven Foods, le responsable informatique remet à l'auditeur une feuille de calcul qu'il a lui-même compilée, indiquant que les 40 comptes à privilèges ont tous été revus et confirmés en juin. Conformément au plan d'audit, l'auditeur a rapproché un échantillon de 10 des 40 entrées des validations de revue et des enregistrements d'accès du système, et les 10 concordent. Comment l'auditeur doit-il maintenant la traiter ?

   1. Vérifier aussi les 30 comptes restants.
   2. Obtenir du responsable informatique une attestation signée d'exhaustivité.
   3. S'appuyer sur la feuille de calcul pour la revue de juin.
   4. Faire recommencer la revue de juin en présence de l'auditeur.

5. Préparation d'un audit ISO/IEC 27001

   Étude de cas 1 - Linmoor Regional Hospital (5 questions) Linmoor Regional Hospital emploie 1 900 personnes sur deux sites : l'hôpital principal et une clinique de consultations externes à Ashby Cross. Son SMSI couvre le système de dossier patient informatisé (DPI), le système d'information de laboratoire et les opérations informatiques qui les soutiennent. Un organisme de certification réalise l'audit d'étape 2 sur trois jours, avec Nadia Osei comme responsable de l'équipe d'audit, l'auditeur Tom Rinaldi et un expert technique en systèmes cliniques. L'étape 1, tenue quatre semaines plus tôt, a identifié le DPI comme le système dont les soins aux patients dépendent le plus et a consigné un point de préoccupation : aucun test de restauration des sauvegardes n'avait encore été réalisé. Faits recueillis pendant l'étape 2 : l'équipe informatique présente un enregistrement de test de restauration daté de la semaine dernière et signé par l'administrateur des sauvegardes ; la procédure d'accès exige que les comptes DPI des partants soient désactivés sous 24 heures, mais, sur un échantillon de 25 partants des six derniers mois, 7 comptes étaient encore actifs et 3 d'entre eux, appartenant à d'anciens prestataires, avaient été utilisés après le départ ; le contrat avec le fournisseur du système d'information de laboratoire, qui donne à ce fournisseur un accès administrateur à distance, ne contient aucune exigence de sécurité de l'information. Question 1 sur 5 : Comment le caractère significatif aurait-il dû guider la répartition du temps d'audit lors de la planification de cet audit d'étape 2 ?

   1. En répartissant le temps de l'étape 2 à parts égales entre chaque mesure de l'Annexe A et chaque site, puisque l'étape 2 doit confirmer chaque mesure applicable de la Déclaration d'applicabilité.
   2. En accordant plus de temps aux domaines jugés documentés et approuvés à l'étape 1, puisque l'étape 2 teste l'efficacité là où la conception est confirmée.
   3. En orientant le temps de l'étape 2 vers les accès au DPI et les sauvegardes, puisque l'étape 1 a montré que les soins dépendent surtout du DPI.
   4. En accordant plus de temps à la clinique de consultations externes, puisque le site le moins examiné à l'étape 1 exige davantage d'entretiens et de vérifications sur site.

6. Clôture d'un audit ISO/IEC 27001

   Étude de cas 1 - Linmoor Regional Hospital (5 questions) Linmoor Regional Hospital emploie 1 900 personnes sur deux sites : l'hôpital principal et une clinique de consultations externes à Ashby Cross. Son SMSI couvre le système de dossier patient informatisé (DPI), le système d'information de laboratoire et les opérations informatiques qui les soutiennent. Un organisme de certification réalise l'audit d'étape 2 sur trois jours, avec Nadia Osei comme responsable de l'équipe d'audit, l'auditeur Tom Rinaldi et un expert technique en systèmes cliniques. L'étape 1, tenue quatre semaines plus tôt, a identifié le DPI comme le système dont les soins aux patients dépendent le plus et a consigné un point de préoccupation : aucun test de restauration des sauvegardes n'avait encore été réalisé. Faits recueillis pendant l'étape 2 : l'équipe informatique présente un enregistrement de test de restauration daté de la semaine dernière et signé par l'administrateur des sauvegardes ; la procédure d'accès exige que les comptes DPI des partants soient désactivés sous 24 heures, mais, sur un échantillon de 25 partants des six derniers mois, 7 comptes étaient encore actifs et 3 d'entre eux, appartenant à d'anciens prestataires, avaient été utilisés après le départ ; le contrat avec le fournisseur du système d'information de laboratoire, qui donne à ce fournisseur un accès administrateur à distance, ne contient aucune exigence de sécurité de l'information. Question 5 sur 5 : Supposons que l'équipe d'audit classe la constatation sur les comptes DPI des partants en non-conformité majeure, et que l'étape 2 s'achève le 14 mars. Linmoor répond que le correctif, une liaison automatisée entre le système RH et le DPI, ne pourra pas être en place avant le 30 septembre. Comment cette situation doit-elle être traitée au regard de la recommandation ?

   1. Vérifier le correctif lors d'une visite complémentaire au mois d'octobre, puis recommander la certification.
   2. Recommander la certification sur la base du plan daté, puis vérifier le correctif lors de la surveillance.
   3. Réaliser un nouvel audit d'étape 2 une fois le correctif en place, et alors seulement recommander la certification.
   4. Reclasser la constatation en non-conformité mineure, puis vérifier le correctif lors de la première surveillance.

7. Gestion d'un programme d'audit ISO/IEC 27001

   Le responsable du programme d'audit d'un organisme de certification compose l'équipe de l'audit de renouvellement de FabriTech sur trois sites. Le directeur général de FabriTech demande à choisir lui-même le responsable de l'équipe d'audit, et suggère que celui-ci choisisse ensuite les deux autres auditeurs. Comment l'équipe doit-elle être constituée ?

   1. FabriTech nomme le responsable de l'équipe, et le responsable du programme désigne les autres membres après l'avoir consulté.
   2. FabriTech nomme le responsable de l'équipe, qui désigne ensuite les autres membres de l'équipe.
   3. Le responsable du programme désigne le responsable de l'équipe et, après l'avoir consulté, les autres membres.
   4. Le responsable du programme désigne le responsable de l'équipe, qui désigne ensuite les autres membres de l'équipe.

8. Principes et concepts fondamentaux du SMSI

   En auditant l'article 4.2 dans une régie régionale des eaux, l'auditeur constate que le responsable du SMSI a retiré l'autorité nationale de protection des données du registre des parties intéressées, au motif que la régie n'a aucun contrat avec elle. L'autorité ne traite aucune information de la régie et n'a formulé aucune plainte ni préoccupation à son sujet, mais elle peut enquêter sur la régie et la sanctionner d'une amende en cas de manquement à la loi sur la protection des données. Sur quel élément de la définition de partie intéressée l'auditeur doit-il fonder la place de l'autorité dans le registre ?

   1. Sur le fait qu'elle soit affectée par une décision ou une activité de la régie.
   2. Sur le fait qu'elle se perçoive comme affectée par une décision ou une activité de la régie.
   3. Sur sa capacité à affecter une décision ou une activité de la régie.
   4. Sur la décision de la régie de traiter ses exigences au moyen du SMSI.

9. SMSI et exigences ISO/IEC 27001

   Lors d'un audit de surveillance, un auditeur rédige une non-conformité parce que l'organisme protège ses sauvegardes selon une méthode qui diffère des recommandations de mise en œuvre de l'ISO/IEC 27002:2022 pour la mesure 8.13, alors que les sauvegardes suivent la politique de sauvegarde documentée de l'organisme et que ses tests de restauration réussissent. Qu'est-ce qui ne va pas dans ce projet de constatation ?

   1. Il cite l'ISO/IEC 27002 comme critère, alors que la non-conformité devrait être formulée et classée au regard de l'exigence de la mesure 8.13 de l'Annexe A de l'ISO/IEC 27001.
   2. Il est émis en surveillance, alors que les écarts par rapport aux recommandations de l'ISO/IEC 27002 sont classés au renouvellement, lorsque tout le système et ses mesures sont réévalués.
   3. Il traite les recommandations de l'ISO/IEC 27002 comme une exigence, alors que la conformité est jugée au regard de l'ISO/IEC 27001 et de la politique de sauvegarde de l'organisme.
   4. Il omet l'avis du propriétaire du risque, alors qu'un écart aux recommandations de l'ISO/IEC 27002 est classé une fois que ce propriétaire en a apprécié et accepté l'effet.

10. Concepts et principes fondamentaux de l'audit

    La base de règles du pare-feu doit être revue chaque semaine. L'auditeur a examiné douze revues signées réparties sur la période auditée et a vérifié la date et le réviseur de chacune. Pour l'une de ces semaines, il y a sept mois, l'export de la base de règles joint à la revue montre trois nouvelles règles entrantes que la revue signée ne mentionne pas. Interrogé à ce sujet, le réviseur a répondu que les trois règles avaient été autorisées cette semaine-là par l'intermédiaire du centre de services, raison pour laquelle sa revue ne les listait pas. L'outil du centre de services conserve les tickets clos pendant 90 jours ; les procès-verbaux hebdomadaires du comité consultatif des changements, qui recensent chaque changement de pare-feu autorisé, sont conservés trois ans. Que doit faire ensuite l'auditeur au sujet de la revue de cette semaine-là ?

    1. Obtenir l'explication du réviseur sous la forme d'une déclaration écrite signée.
    2. Chercher les trois règles dans le procès-verbal du comité de cette semaine-là.
    3. Remonter des trois règles jusqu'à leurs tickets dans l'outil du centre de services.
    4. Refaire la revue de cette semaine-là à partir de l'export qui y est joint.

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.