Question 221
下列哪兩個是「確實」涉及人際互動的審核方法的範例？
Question 222
情境 8：EsBank 自 9 月起為愛沙尼亞銀行業提供銀行和金融解決方案
2010年，該公司在全國擁有30家分行和100多台ATM機。
EsBank 在高度監管的行業中運營，必須遵守許多有關資料安全和隱私的法律和法規。他們需要透過實施技術和非技術控制來管理整個營運的資訊安全。 EsBank 決定實施基於 ISO/IEC 的 ISMS
27001，因為它提供了更好的安全性、更多的風險控制以及符合法律法規的關鍵要求。
在成功實施 ISMS 九個月後，EsBank 決定由獨立認證機構根據 ISO/IEC 27001 對其 ISMS 進行認證。
第一階段和第二階段審核是共同進行的，發現了一些不符合項。第一個不合格之處與 EsBank 的資訊標籤有關。該公司有資訊分類方案，但沒有資訊標籤程序。因此，需要相同保護等級的文件將被貼上不同的標籤（有時為機密，有時為敏感）。
考慮到所有文件也以電子方式存儲，不合格情況也影響了媒體處理。審計小組透過抽樣得出結論，200 個可移動媒體中有 50 個儲存了被錯誤分類為機密的敏感資訊。根據資訊分類方案，允許將機密資訊儲存在可移動媒體中，而嚴格禁止儲存敏感資訊。這標誌著另一個不合格之處。
他們起草了不合格報告，並與 EsBank 代表討論了審計結論，代表同意在兩個月內針對發現的不合格問題提交行動計劃。
EsBank 接受了審計組組長提出的解決方案。他們根據實體和電子格式的分類方案起草了資訊標籤程序，解決了不合格問題。可移動媒體程式也基於此程式進行了更新。
審計完成兩週後，EsBank 提交了總體行動計畫。在那裡，他們解決了檢測到的不合格問題以及採取的糾正措施，但沒有包括有關受影響的系統、控製或操作的任何詳細資訊。審核小組評估了該行動計劃並得出結論，該計劃將解決不合格問題。然而，EsBank 收到了不利的認證建議。
根據上述場景，回答以下問題：
場景 8 所示的哪一種行為在外部審計中是不可接受的？
Question 223
場景 9：Techmanic 是一家比利時公司，成立於 1995 年，目前在布魯塞爾運作。該公司提供 IT 諮詢、軟體設計以及軟體硬體服務，包括部署和維護。其服務業涵蓋公共服務、金融、電信、能源、醫療保健和教育等領域。作為一家以客戶為中心的公司，Techmanic 重視與客戶建立牢固的關係，並致力於採用領先的安全實踐。
Techmanic 已獲得 ISO/IEC 27001 認證一年，並對此認證引以為傲。在認證審核期間，審核員發現其資訊安全管理系統 (ISMS) 的實施存在一些不一致之處。由於發現的問題並未影響其 ISMS 實現預期結果的能力，因此在審核員遠端跟進根本原因分析和糾正措施後，Techmanic 獲得了認證。同年，該公司在其服務清單中新增了主機託管服務，並申請擴大認證範圍以涵蓋該領域。負責審核的審核員批准了該申請，並通知 Techmanic 將在監督審核期間進行擴展審核。 Techmanic 接受了監督審核，以驗證其 ISMS 的持續有效性以及對 ISO/IEC 27001 的合規性。監督審核旨在確保 Techmanic 的安全實踐(包括最近新增的主機託管服務)與認證的嚴格要求無縫銜接。審核員在重新認證過程中策略性地利用了先前監督審核報告中的發現，旨在避免進行額外的重新認證審核，尤其是在 IT 諮詢領域。認識到持續改進的價值，並從過去的評估中吸取經驗教訓。
Techmanic實施了一項審查以往監督審計報告的慣例。這種積極主動的做法不僅有助於識別和解決潛在的不符合項，而且旨在簡化IT諮詢行業的重新認證流程。
在監督審核過程中，發現了一些不符合項。資訊安全管理系統(ISMS)持續符合ISO/IEC標準。
Techmanic公司雖然符合ISO/IEC 27001*標準的要求，但其內部稽核員報告稱，該公司未能解決與託管服務相關的不符合項。此外，內部稽核報告存在多處不一致之處，令人質疑內部稽核員在託管服務稽核過程中的獨立性。基於此，Techmanic公司未獲得擴展認證。因此，該公司申請轉至其他認證機構。同時，該公司向客戶發布聲明稱，ISO/IEC 27001認證涵蓋其IT服務以及託管服務。
根據以上情景，回答以下問題：
問題：
審核員在遠端跟進整改措施後，建議Techmanic公司取得認證。這是否可以接受？
Question 224
您正在作為審核組組長進行首次第三方 ISMS 監督審核。您目前與審核團隊的另一位成員以及組織的指南一起位於受審核方的資料中心。
您要求進入受密碼鎖和虹膜掃描器保護的上鎖房間。此房間包含幾排不間斷電源以及幾個包含客戶端提供的設備（主要是伺服器和交換器）的資料櫃。
您注意到有一個氣體滅火系統。標籤表示系統需要每 6 個月進行一次測試，但標籤上記錄的最近一次測試是製造商在 12 個月前進行的。
根據上述情況，您現在會採取下列哪兩項操作？
Question 225
情境 8：EsBank 自 9 月起為愛沙尼亞銀行業提供銀行和金融解決方案
2010年，該公司在全國擁有30家分行和100多台ATM機。
EsBank 在高度監管的行業中運營，必須遵守許多有關資料安全和隱私的法律和法規。他們需要透過實施技術和非技術控制來管理整個營運的資訊安全。 EsBank 決定實施基於 ISO/IEC 的 ISMS
27001，因為它提供了更好的安全性、更多的風險控制以及符合法律法規的關鍵要求。
在成功實施 ISMS 九個月後，EsBank 決定由獨立認證機構根據 ISO/IEC 27001 對其 ISMS 進行認證。
第一階段和第二階段審核是共同進行的，發現了一些不符合項。第一個不合格之處與 EsBank 的資訊標籤有關。該公司有資訊分類方案，但沒有資訊標籤程序。因此，需要相同保護等級的文件將被貼上不同的標籤（有時為機密，有時為敏感）。
考慮到所有文件也以電子方式存儲，不合格情況也影響了媒體處理。審計小組透過抽樣得出結論，200 個可移動媒體中有 50 個儲存了被錯誤分類為機密的敏感資訊。根據資訊分類方案，允許將機密資訊儲存在可移動媒體中，而嚴格禁止儲存敏感資訊。這標誌著另一個不合格之處。
他們起草了不合格報告，並與 EsBank 代表討論了審計結論，代表同意在兩個月內針對發現的不合格問題提交行動計劃。
EsBank 接受了審計組組長提出的解決方案。他們根據實體和電子格式的分類方案起草了資訊標籤程序，解決了不合格問題。可移動媒體程式也基於此程式進行了更新。
審計完成兩週後，EsBank 提交了總體行動計畫。在那裡，他們解決了檢測到的不合格問題以及採取的糾正措施，但沒有包括有關受影響的系統、控製或操作的任何詳細資訊。審核小組評估了該行動計劃並得出結論，該計劃將解決不合格問題。然而，EsBank 收到了不利的認證建議。
根據上述場景，回答以下問題：
哪個選項可以證明不利的認證建議是合理的？請參閱場景 8。