ISO/IEC 27001 Lead Implementer

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. D1 Principes et concepts fondamentaux du SMSI

   Dans la terminologie ISO, comment convient-il de classer une procédure d'audit et les rapports d'audit qu'elle génère ?

   1. La procédure d'audit est un document et les rapports qu'elle génère sont des enregistrements
   2. La procédure d'audit est un enregistrement et les rapports d'audit sont des documents qui l'appuient
   3. Les deux sont des enregistrements, car les deux sont produits par le processus d'audit
   4. Les deux sont des documents, puisqu'un enregistrement est un sous-type de document

2. D2 Exigences relatives au SMSI

   Selon le support de cours, en quoi consiste une bonne architecture de sécurité ?

   1. Une hiérarchie de politiques, de politiques spécifiques à un sujet et de procédures approuvées par la direction et revues à intervalles planifiés par le responsable du système de management de la sécurité de l'information (SMSI)
   2. Un inventaire des actifs informationnels avec un propriétaire affecté à chacun d'eux
   3. Un calendrier de tests techniques, de tests d'intrusion et de balayages de vulnérabilités couvrant tous les systèmes que l'organisme exploite en production
   4. Un ensemble de services de sécurité assurant la sûreté de multiples processus, systèmes et applications

3. D3 Planification de la mise en œuvre d'un SMSI

   Lors de la planification d'un SMSI, un consultant indique au client que toute bonne pratique contenue dans les lignes directrices ISO utilisées par la méthodologie doit être adoptée pour obtenir la certification. Comment convient-il d'évaluer cette affirmation ?

   1. Elle est fausse, car une bonne pratique est une recommandation et non une exigence, et chaque organisme est libre de l'utiliser comme référence
   2. Elle est correcte, puisque les bonnes pratiques des lignes directrices ISO deviennent des exigences obligatoires dès que l'organisme décide de viser la certification
   3. Elle est correcte, car les bonnes pratiques sont généralement reconnues par les spécialistes et s'imposent donc à tout organisme qui applique la méthodologie
   4. Elle n'est fausse que pour les petits organismes, qui peuvent écarter les bonnes pratiques dépassant leurs ressources

4. D4 Mise en œuvre d'un SMSI

   Une personne chargée de la mise en œuvre définit l'en-tête du modèle de document du SMSI. Quel couple de choix le support de cours recommande-t-il ?

   1. Identifier l'auteur et l'instance d'approbation par le nom personnel des individus concernés, et utiliser le format JJ/MM/AA pour chacune des dates figurant dans le document et dans son nom de fichier
   2. Identifier l'auteur et l'instance d'approbation par leur rôle plutôt que par leur nom, et utiliser le format AAAA-MM-JJ pour les dates afin que les fichiers se classent par date et soient plus faciles à rechercher
   3. Omettre toute attribution de la paternité du document, et dater chaque version par le nombre de jours écoulés depuis l'établissement du SMSI
   4. N'identifier que le consultant externe qui a procédé à la revue du document, et le dater à l'aide du numéro de la semaine civile

5. D5 Surveillance et mesurage du SMSI

   Comment une non-conformité est-elle définie ?

   1. Une interruption temporaire des services causée par des activités de maintenance programmées, planifiées et communiquées aux utilisateurs à l'avance
   2. La non-satisfaction d'une exigence, qu'il s'agisse d'une exigence d'une norme, d'une politique interne, d'une loi ou d'un contrat
   3. L'incapacité à communiquer efficacement avec les parties prenantes de l'organisme au sujet de la sécurité des informations qui lui sont confiées
   4. Tout écart par rapport aux bonnes pratiques que l'audité refuse d'accepter lors de la réunion de clôture d'un audit interne ou d'un audit de certification

6. D6 Amélioration continue du SMSI

   Lors de la réunion annuelle de planification, le responsable du SMSI d'une entreprise de logistique énumère les facteurs de changement qui doivent être surveillés en continu pour que le SMSI reste à jour. Lequel des éléments suivants n'a PAS sa place dans cette liste ?

   1. Les changements technologiques
   2. Les changements externes
   3. Les revues de produits
   4. Les changements organisationnels

7. D7 Préparation de l'audit de certification du SMSI

   Une autorité nationale accrédite les organismes de certification qui opèrent dans son pays et doit être en mesure de prouver qu'elle est compétente et fiable dans la fourniture de services d'accréditation. À quelle norme doit-elle se conformer pour le prouver ?

   1. ISO/IEC 17021-1, car c'est la norme qui régit les organismes procédant à l'audit et à la certification des systèmes de management
   2. ISO/IEC 17065, car elle s'applique aux organismes certifiant des produits, des processus et des services offerts au public
   3. ISO/IEC 17011, car elle fixe les exigences générales applicables aux organismes qui évaluent et accréditent les organismes de certification
   4. ISO/IEC 17024, car elle s'applique à la certification des personnes selon un schéma de certification défini

8. D1 Principes et concepts fondamentaux du SMSI

   Un organisme veut savoir exactement ce qu'il est tenu de faire pour revendiquer la conformité à une norme de système de management de la sécurité de l'information. Quelle affirmation décrit correctement ce que fournit l'ISO/IEC 27001 ?

   1. Elle spécifie les exigences relatives à l'établissement, à la mise en œuvre, à la tenue à jour et à l'amélioration continue d'un SMSI, ainsi qu'à l'appréciation et au traitement des risques de sécurité de l'information
   2. Elle fournit la vue d'ensemble du SMSI ainsi que les termes et définitions employés dans toute la famille
   3. Elle fournit un ensemble de référence de mesures de sécurité génériques accompagnées de préconisations de mise en œuvre
   4. Elle fournit des lignes directrices pour la gestion du risque en sécurité de l'information dans tout organisme

9. D2 Exigences relatives au SMSI

   Pourquoi le support de cours recommande-t-il que les employés porteurs de responsabilités importantes en sécurité de l'information participent à la rédaction, à la revue et à la validation du contenu des procédures et des politiques de sécurité de l'information ?

   1. Parce que l'ISO/IEC 27001 exige explicitement de ces employés qu'ils rédigent et approuvent les informations documentées du système de management
   2. Parce que cela les motive à contribuer à la mise en œuvre des mesures de sécurité
   3. Parce que cela économise du temps et des ressources en réduisant le nombre de cycles de revue que les documents doivent subir
   4. Parce que cela transfère la propriété du risque résiduel du propriétaire du risque vers les personnes qui ont rédigé la procédure

10. D3 Planification de la mise en œuvre d'un SMSI

    En quoi les définitions d'une politique et d'une ligne directrice diffèrent-elles ?

    1. Une politique est une information non obligatoire menant à une solution conforme, tandis qu'une ligne directrice exprime les intentions et l'orientation d'un organisme
    2. Une politique est un type de ligne directrice qui fournit des préconisations sur différents sujets, et les deux sont également facultatives pour l'organisme
    3. Les deux termes sont interchangeables au sein du corpus documentaire du SMSI, puisque tous deux décrivent simplement la façon dont quelque chose devrait être fait
    4. Une politique exprime les intentions et l'orientation d'un organisme telles que formulées formellement par sa direction, tandis qu'une ligne directrice est une information non obligatoire menant à une solution conforme à l'exigence concernée

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.