はい、スコープの変更に着手すべきです。ウェブホスティング関連の技術サポートなど、サービスの重要な部分を外部委託すると、リスク環境やそれらのリスクを管理するために必要な統制に影響を与える可能性があるためです。この変更は外部環境とISMSの運用方法に影響を与えるため、スコープの見直しと調整が必要となります。
参照：ISO/IEC 27001:2013、第4.3項（情報セキュリティマネジメントシステムの適用範囲の決定）

情報セキュリティインシデント発生時にシステムユーザーが果たすべきでない役割と責任は、D：情報セキュリティインシデントの詳細を全従業員に周知することです。これは、インシデント対応プロセスに関与していない従業員の間で不必要なパニック、混乱、憶測を引き起こす可能性があるため、システムユーザーにとって適切な役割や責任ではありません。また、機密情報や秘密情報を含むインシデント情報の機密性と完全性を損なう可能性もあります。情報セキュリティインシデントの詳細を全従業員に周知することは、組織の情報セキュリティポリシーおよび手順に違反する可能性があり、インシデントへの対応には一定の裁量と機密保持が求められる場合があります。その他の役割と責任は、情報セキュリティインシデント発生時にシステムユーザーが行うべきことを説明しているため、適切です。例えば、サービスデスクにインシデントを報告する（A）、必要に応じて証拠を保全する（B）、必要に応じて調査担当者に協力するなどです。これらの役割と責任は、情報セキュリティインシデントへの迅速、効果的、かつ秩序だった対応を確保するのに役立ちます。 ISO/IEC 27001:2022では、組織が情報セキュリティインシデントの報告と管理の手順を実施することを要求しています（条項A.16.1を参照）。参照：CQIおよびIRCA認定ISO/IEC 27001:2022主任監査員トレーニングコース、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項、情報セキュリティインシデント管理とは？

The three Annex A controls that you would expect the auditee to have implemented when you conduct the follow-up audit are:
* B. 5.13 Labelling of information
* E. 5.34 Privacy and protection of personal identifiable information (PII)
* G. 6.3 Information security awareness, education, and training
* B. This control requires the organisation to label information assets in accordance with the information classification scheme, and to handle them accordingly12. This control is relevant for the auditee because it could help them to avoid misaddressing labels and sending parcels to wrong destinations, which could compromise the confidentiality, integrity, and availability of the information assets. By labelling the information assets correctly, the auditee could also ensure that they are delivered to the intended recipients and that they are protected from unauthorized access, use, or disclosure.
* E. この管理策では、組織が処理する個人識別情報（PII）の個人のプライバシーと権利を保護し、適用される法的義務および契約上の義務を遵守することが求められます13。この管理策は、入居者の個人データが供給業者によって不正に使用されることを防ぐのに役立つため、被監査者にとって重要です。不正使用は、入居者とその家族のプライバシーと権利を侵害し、被監査者を法的リスクや評判リスクにさらす可能性があります。また、入居者とその家族のPIIを保護することで、被監査者は信頼と満足度を高め、苦情や紛争を回避することもできます。
* G. この管理策では、組織はすべての従業員と契約社員が情報セキュリティポリシー、それぞれの役割と責任、および関連する情報セキュリティ手順と管理策を認識していることを確認する必要があります14。この管理策は、被監査組織にとって重要です。なぜなら、被監査組織が従業員の情報セキュリティ文化と行動を改善し、情報セキュリティインシデントにつながる可能性のある人的ミスや過失を減らすのに役立つからです。被監査組織は、従業員に情報セキュリティに関する意識向上、教育、トレーニングを提供することで、従業員の能力とパフォーマンスを向上させ、情報セキュリティプロセスと管理策の有効性と効率性を確保することもできます。
参考文献：
1: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要求事項、附属書 A 2: ISO/IEC 27002:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理の実施規範、条項 8.2.1 3: ISO/IEC 27002:
2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理の実施基準、条項 18.1.4 4: ISO/IEC 27002:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理の実施基準、条項 7.2.2

組織のISMSに関連する文書化された情報を保持する目的は、必要な範囲で、プロセスが計画どおりに実行されたことを確信できるようにすることです。つまり、文書化された情報は、ISMSの適合性と有効性、情報セキュリティ目標の達成、およびISMSの継続的な改善の証拠となります。また、文書化された情報は、ISMSのパフォーマンスの分析と評価、および改善の機会の特定にも役立ちます。参照：ISO/IEC 27001:2022、7.5.1項、PECB候補者ハンドブックISO 27001主任監査員、17ページ。

包括的かつ詳細な徹底分析
B. 正解: 認証契約は認証機関と A. 不正解: サラはまだ認証契約に署名していないため、脱退するには認証機関の承認は必要ありません。
C．誤り：認証契約は特定の監査員に依存するものではなく、組織と認証機関との間の契約です。
関連規格参照：