認証審査を開始する前に、ISMSの適用範囲を明確に定義し、認証機関と合意する必要があります。ISO/IEC 27001の第4.3項では、「適用範囲は文書化された情報として利用可能でなければならない」と規定されています。

経営陣は、情報セキュリティポリシーの策定、必要なリソースの確保、ISMSの業務プロセスへの統合、および継続的な改善の推進に責任を負います。効果的かつ成功裡にISMSを導入するには、経営陣の強いコミットメントが不可欠です。

第4.3項では、組織は内部および外部の問題、利害関係者、組織の境界を考慮してISMSの適用範囲を定義することが求められています。明確に定義された適用範囲により、ISMSが適切な事業活動および情報資産に適用されることが保証されます。

第9.2項（内部監査）および第9.3項（マネジメントレビュー）では、監査結果とマネジメントレビューがISMSのパフォーマンス評価における重要なインプットであることを強調しています。認証機関が実施するサーベイランス監査は、継続的なコンプライアンスと有効性を確認します。ISO認証制度（ISO/IEC準拠）
17021）では、是正措置と継続的改善が実施されているかどうかを確認するために、監視監査が義務付けられています。重要な焦点領域は、内部監査と経営陣によるレビューの結果であり、組織が認証サイクル間でISMSを維持していることを確認することです。
選択肢Aは誤りです。第三者監査は、顧客ではなく、独立した認証機関によって実施されます。
選択肢Bは誤りです。証明書は通常3年間有効で、毎年監視が行われます。選択肢Dも誤りです。ステージ1は主に文書化と準備状況の確認であり、証拠の観察ではありません。
したがって、検証済みの正解はCです。

ISO/IEC 27001:2022の4.2項には次のように記載されています。
「組織は、次の事項を決定しなければならない。a) 情報セキュリティ管理システムに関連する利害関係者、b) これらの利害関係者の関連要求事項、c) これらの要求事項のうち、ISMSを通じて対処されるもの。」これは、欠落している単語が「要求事項」であることを裏付けている。規格では、数、構造、影響のいずれも規定されていない。