EXIN Information Security Professional based on ISO/IEC 27001

EXIN Information Security Professional based on ISO/IEC 27001 ist eine herstellerunabhängige Zertifizierung für IS-Spezialisten, die im Einklang mit dem ISO-27001-Framework arbeiten — gut etabliert in Europa und weniger US-zentriert als CISM/CISSP. Themen: 1. Informationssicherheits-Grundlagen — CIA-Triade (Confidentiality, Integrity, Availability) erweitert um Authentizität, Verbindlichkeit (Non-Repudiation), Verfügbarkeit-Klassifizierung. Bedrohungen, Schwachstellen, Risiken, Maßnahmen-Kategorien (präventiv, detektiv, korrektiv, abschreckend). 2. ISO/IEC 27001:2022 vertieft — High Level Structure (HLS) mit 10 Kapiteln, alle Klauseln im Detail. Kontext der Organisation, Führungs-Commitment, Risikomanagement-Prozess, Statement of Applicability (SoA), Annex A (93 Controls in 4 Themen: Organizational 37, People 8, Physical 14, Technological 34 — Vergleich zur alten Version mit 114 Controls in 14 Domains). 3. ISO/IEC 27002:2022 — Implementierungsleitfaden für Annex-A-Controls mit Best Practices. 4. ISO/IEC 27005:2022 — Risikomanagement-Methodik (Identifikation, Analyse, Bewertung, Behandlung, Monitoring). Risk-Treatment-Strategien (avoid, modify/mitigate, share/transfer, retain/accept). Quantitative (ALE Annual Loss Expectancy = SLE Single Loss Expectancy × ARO Annual Rate of Occurrence) vs. qualitative Risikobewertung (Heat Maps). 5. ISO/IEC 27017 und 27018 — Cloud-spezifische Erweiterungen. 6. Implementierung eines ISMS — PDCA-Zyklus (Plan-Do-Check-Act), 5-Phasen-Implementierung (Initiation, Scoping, Risk Assessment, Risk Treatment, ISMS Operation). Stakeholder-Buy-in, Dokumentationsmanagement (Information Security Policy, Statement of Applicability, Risk Treatment Plan, Information Security Objectives). 7. Operation — Asset Management (Inventarisierung, Klassifizierung, Ownership), Access Control (User Lifecycle, Privileged Access Management PAM, MFA), Cryptography (Algorithmen, Key Management, PKI), Operations Security (Patch Management, Capacity Management, Backup, Logging), Communications Security (Network Segmentation, Email Security), Acquisition/Development (SDLC mit Security, OWASP), Supplier Relationships (Third-Party Risk Management, Cloud Service Provider Audits), Information Security Incident Management (CSIRT, NIST 800-61 Lifecycle). 8. Audit — Internes Audit, externes Zertifizierungsaudit (Stage 1 Documentation Review, Stage 2 Implementation Audit), Überwachungsaudits jährlich, Rezertifizierung alle 3 Jahre, Audit Findings (Nonconformity Major/Minor, Observation, Opportunity for Improvement). 9. Aktuelle Themen — NIS2-Compliance via ISO 27001, DORA Digital Operational Resilience Act für Finanzdienstleister, AI Act-Compliance für High-Risk AI. Examen: 40 Multiple-Choice-Fragen, 90 Minuten, 65% Pass (26/40).