内部監査の要件は、ISO/IECの9.2項（パフォーマンス評価）に明示的に規定されている。
27001:2022。この規格では以下が求められます。
*「組織は、情報セキュリティ管理システムが組織自身の要求事項および本文書の要求事項に適合しているかどうかに関する情報を提供するために、計画された間隔で内部監査を実施しなければならない。」(9.2.1)
* 「組織は監査プログラムを計画、確立、実施、維持しなければならない…」(9.2.2) この条項は明らかにパフォーマンス評価(条項9)に該当し、計画(条項6)、運用(条項8)、または改善(条項10)には該当しません。したがって、正解はCです。

第7.3項（認識）では、以下の事項が求められます。
「組織の管理下で業務を行う者は、以下の事項を認識していなければならない。(a) 情報セキュリティポリシー、(b) 情報セキュリティパフォーマンスの向上によるメリットを含め、ISMSの有効性に対する自身の貢献、(c) ISMSの要件に準拠しない場合の影響。」

第5.1条（リーダーシップとコミットメント）では、経営陣が以下の方法でリーダーシップを発揮することを求めている。
「情報セキュリティポリシーおよび情報セキュリティ目標が確立され、組織の戦略的方向性と整合していることを保証すること。」
「ISMSの要件を組織のプロセスに確実に統合すること」
「ISMSに必要なリソースが確実に利用可能であることを保証する。」

情報資産とは、データベース、顧客記録、知的財産など、事業運営を支える貴重な情報のことです。物理的なデバイスは情報を保存または処理しますが、一般的には情報資産ではなく、支援資産とみなされます。

第7.2項（権限）では、組織に以下のことを求めている。
「自社の管理下で情報セキュリティのパフォーマンスに影響を与える業務を行う担当者の必要な能力を判断する。」
「これらの者が適切な教育、訓練、または経験に基づいて能力を有していることを確認する。」
「能力の証拠として、適切な文書情報を保管すること。」