Nachfolgend finden Sie die Auflösungen zu den Testfragen zu Lektion 7. Zutreffende Antworten sind als [richtig] gekennzeichnet.

Frage 1:

Wer trägt die Verantwortung für die bei einer Risikoanalyse getroffenen Entscheidungen zu einem IT-System?

1. der Administrator des IT-Systems
2. die Leitung der Institution [richtig]
3. der Informationssicherheitsbeauftragte
4. das IS-Management-Team

Frage 2:

Welche Gefährdungen werden bei der Erstellung der Gefährdungsübersicht im ersten Schritt betrachtet?

1. die im Anhang von BSI-Standard 200-3 enthaltenen Risikokataloge
2. die relevanten elementaren Gefährdungen aus dem IT-Grundschutz-Kompendium [richtig]
3. die im Anhang der Norm ISO 27005 angeführten Gefährdungen
4. die in den Abschnitten zur Gefährdungslage eines Bausteins angeführten spezifischen Gefährdungen

Frage 3:

Was bewerten Sie bei der Risikoeinschätzung?

1. die Häufigkeit des Eintretens einer Gefährdung [richtig]
2. das mit einer Gefährdung verbundene Schadensausmaß [richtig]
3. welche Schutzziele von einer Gefährdung betroffen sind
4. die Wirksamkeit der geplanten und umgesetzten Maßnahmen gegen eine Gefährdung

Frage 4:

Wodurch verlagern Sie ein Risiko?

1. durch den Abschluss einer Versicherung [richtig]
2. durch Outsourcing des risikobehafteten Geschäftsprozesses an einen externen Dienstleister [richtig]
3. durch Umstrukturierung des risikobehafteten Geschäftsprozesses
4. durch die Entscheidung, risikomindernde Maßnahmen erst dann umzusetzen, wenn die hierzu erforderlichen Finanzmittel bereitstehen

Frage 5:

Aus welchen Gründen kann es gerechtfertigt sein, auch ein hohes Risiko zu akzeptieren?

1. Der Aufwand für mögliche Schutzmaßnahmen ist unangemessen hoch. [richtig]
2. Vergleichbare Institutionen akzeptieren das Risiko ebenfalls.
3. Es gibt keine wirksamen Schutzmaßnahmen gegen das Risiko. [richtig]
4. Es ist bislang noch zu keinem nennenswerten Sicherheitsvorfall aufgrund der dem Risiko zugrunde liegenden Gefährdung gekommen.

Frage 6:

Wann ist die Risikoakzeptanz grundsätzlich unzulässig?

1. bei der Nichterfüllung von Basis-Anforderungen [richtig]
2. beim Vorhandensein von elementaren Gefährdungen
3. bei sehr hohem Schutzbedarf
4. bei Nichterfüllung von Standard-Anforderungen