Question 31
外部審計師收到了對研究開發公司進行 ISMS 審計的邀請。在接受之前，他們與被審計方的內部稽核師（他們的朋友）討論了先前的審計報告。這是可以接受的嗎？
Question 32
場景9：UpNet是一家網路公司，已通過ISO/IEC 27001認證。
自從獲得 ISO/IEC 27001 認證以來，該公司的認可度大幅提高。此認證證實了 UpNefs 營運的成熟性及其符合廣泛認可和接受的標準。
但認證之後一切還沒結束。 UpNet 透過進行內部稽核不斷審查和增強其安全控制以及 ISMS 的整體有效性和效率。高階主管不願意聘請全職內部稽核團隊，因此決定將內部稽核職能外包。這種形式的內部稽核確保了獨立性、客觀性，並且在 ISMS 的持續改進方面發揮諮詢作用。
在初次認證審核後不久，該公司創建了一個專門從事數據和儲存產品的新部門。他們提供針對資料中心和基於軟體的網路設備（例如網路虛擬化和網路安全設備）進行最佳化的路由器和交換器。這導致 ISMS 認證範圍內已涵蓋的其他部門的營運發生變化。
所以。 UpNet 啟動了風險評估流程和內部稽核。根據內部審計結果，公司確認了現有和新流程和控制的有效性和效率。
由於新部門符合 ISO/IEC 27001 要求，最高管理層決定將其納入認證範圍。 UpNet宣布取得ISO/IEC 27001認證，認證範圍涵蓋全公司。
在初次認證審核一年後，認證機構對 UpNefs ISMS 進行了另一次審核。
此次審核旨在確定 UpNefs ISMS 是否符合指定的 ISO/IEC 27001 要求，並確保 ISMS 持續改善。審核小組確認，經過認證的 ISMS 繼續符合標準的要求。儘管如此，新部門對管理體系的治理產生了重大影響。此外，認證機構並未獲悉任何變更。因此，UpNefs認證被暫停。
根據上述場景，回答以下問題：
場景 9 最後一段說明了什麼類型的審計？
Question 33
您正在進行 ISMS 審核。審計計劃的下一步是驗證組織的資訊安全風險處理計劃是否已製定並正確實施。您決定採訪 IT 安全經理。
您：能否請您解釋一下組織是如何進行資訊安全風險評估和處理流程的？
IT 安全經理：我們遵循資訊安全風險管理程序，產生風險處理計劃。
旁白：您回顧了第 123 號風險處理計劃，該計劃涉及計劃安裝電子（隱形）圍欄，以提高療養院的物理安全。您發現風險處理計劃已獲得 IT 安全經理的批准。
您：誰要為實體安全風險負責？
IT 安全經理：設施經理負責實體安全風險。 IT部門幫助他們監控警報。授權設施經理批准123號風險處理計畫的預算。
您：123號風險處置預案實施後，還有哪些資訊安全風險殘留？
IT安全經理：據我了解，目前還沒有關於殘留資訊安全風險接受的資訊。
您準備您的審計結果。為場景中合理的發現選擇三個選項。
Question 34
場景9：UpNet是一家網路公司，已通過ISO/IEC 27001認證。
自從獲得 ISO/IEC 27001 認證以來，該公司的認可度大幅提高。此認證證實了 UpNefs 營運的成熟性及其符合廣泛認可和接受的標準。
但認證之後一切還沒結束。 UpNet 透過進行內部稽核不斷審查和增強其安全控制以及 ISMS 的整體有效性和效率。高階主管不願意聘請全職內部稽核團隊，因此決定將內部稽核職能外包。這種形式的內部稽核確保了獨立性、客觀性，並且在 ISMS 的持續改進方面發揮諮詢作用。
在初次認證審核後不久，該公司創建了一個專門從事數據和儲存產品的新部門。他們提供針對資料中心和基於軟體的網路設備（例如網路虛擬化和網路安全設備）進行最佳化的路由器和交換器。這導致 ISMS 認證範圍內已涵蓋的其他部門的營運發生變化。
所以。 UpNet 啟動了風險評估流程和內部稽核。根據內部審計結果，公司確認了現有和新流程和控制的有效性和效率。
由於新部門符合 ISO/IEC 27001 要求，最高管理層決定將其納入認證範圍。 UpNet宣布取得ISO/IEC 27001認證，認證範圍涵蓋全公司。
在初次認證審核一年後，認證機構對 UpNefs ISMS 進行了另一次審核。
此次審核旨在確定 UpNefs ISMS 是否符合指定的 ISO/IEC 27001 要求，並確保 ISMS 持續改善。審核小組確認，經過認證的 ISMS 繼續符合標準的要求。儘管如此，新部門對管理體系的治理產生了重大影響。此外，認證機構並未獲悉任何變更。因此，UpNefs認證被暫停。
根據上述場景，回答以下問題：
場景 9 最後一段說明了什麼類型的審計？
Question 35
OrgXY 是一家經過 ISO/IEC 27001 認證的軟體開發公司。在獲得認證一年後，OrgXY 的高階主管通知認證機構，該公司尚未準備好進行監督審核。在這種情況下會發生什麼？