参考テキストに基づき、ISO 27001認証の3つのステージと各ステージの活動を箇条書きで列挙しなさい。
SO/IEC 27001は、情報セキュリティを管理するための国際規格である。この規格は、2005年に国際標準化機構（ISO）と国際電気標準会議（IEC）が共同で発行したもので、2013年に改訂され、最近では2022年に再び発行された。また、この規格には数多くの国内規格が存在する。この規格の目的は、組織が保有する情報資産の安全性を高めることである。規格の要求事項を満たした組織は、審査に合格した後、認定された認証機関から認証を受けることができる。ISO/IEC 27001の認証プロセスと規格全体の有効性は、2020年に実施された大規模な調査で取り上げられている。

規格の仕組み
ほとんどの組織は、多くの情報セキュリティ管理体制を有している。しかし、情報セキュリティマネジメントシステム（ISMS）がない場合、管理策はやや無秩序でバラバラになりがちであり、特定の状況に対するポイントソリューションとして、または単に慣例として実施されていることが多い。通常、運用されているセキュリティ管理は、情報技術（IT）やデータセキュリティの特定の側面に特化して対処しており、IT以外の情報資産（書類や専有知識など）は全体としてあまり保護されていない。さらに、事業継続計画や物理的セキュリティは、ITや情報セキュリティとはまったく無関係に管理されている場合があり、人事慣行では、組織全体の情報セキュリティの役割と責任を定義し、割り当てる必要性についてほとんど言及されていない場合がある。

ISO/IEC 27001は、管理者に次のことを求めています：

脅威、脆弱性、影響を考慮して、組織の情報セキュリティリスクを体系的に検討する；
容認できないと判断されたリスクに対処するために、一貫性のある包括的な情報セキュリティ管理策および／または他の形態のリスク処置（リスク回避やリスク移転など）を設計し、実施する。
情報セキュリティ管理策が継続的に組織の情報セキュリティニーズを満たし続けることを確実にするための包括的な管理プロセスを採用する。
ISO/IEC 27001の認証の一環としてどのような管理策がテストされるかは、認証審査員によって異なります。これには、組織がISMSの範囲内であると判断したあらゆる管理策を含めることができ、このテストは、管理策が実施され、効果的に運用されていることをテストするために必要であると審査員が評価した任意の深さまたは範囲に行うことができます。

経営者は、認証目的のためにISMSの範囲を決定し、例えば、単一の事業単位または場所に限定することができる。ISO/IEC 27001認証を取得したからといって、適用範囲外の組織の残りの部分が、情報セキュリティマネジメントに対して適切なアプローチを行っているとは限りません。

ISO/IEC 27000ファミリーの他の規格は、ISMSの設計、実施、運用の特定の側面について、例えば情報セキュリティリスク管理（ISO/IEC 27005）などの追加ガイダンスを提供しています。

ISO/IEC 27001の歴史
BS 7799は、1995年にBSIグループによって発行された規格である。英国政府の通商産業省（DTI）によって作成され、いくつかの部分から構成されている。

情報セキュリティ管理のベストプラクティスを含む最初の部分は1998年に改訂され、世界的な標準化団体で長い議論が行われた後、最終的にISOによって2000年にISO/IEC 17799「情報技術-情報セキュリティ管理の実践規範」として採用された。ISO/IEC 17799は、その後2005年6月に改訂され、最終的に2007年7月にISO/IEC 27002としてISO 27000シリーズの規格に組み込まれた。

BS7799の第2部は1999年にBSIによって初めて発行され、BS7799パート2として知られている。BS7799-2は、情報セキュリティマネジメントシステム（ISMS）の導入方法に焦点を当て、BS7799-2で特定された情報セキュリティマネジメント構造とコントロールを参照している。これは後にISO/IEC 27001:2005となった。BS 7799 Part 2は、2005年11月にISOによってISO/IEC 27001として採用されました。

BS 7799 Part 3は2005年に発行され、リスク分析と管理をカバーしています。これはISO/IEC 27001:2005と整合している。

ISO/IEC 27001に関連して、BS規格はほとんど参照または使用されていません。

認証
ISMSは、世界中の多くの認定登録機関によってISO/IEC 27001規格に準拠していることが認証されます。認定された認証機関によるISO/IEC 27001の承認された国別バリエーション（例えば、JIS Q 27001、日本版）に対する認証は、ISO/IEC 27001そのものに対する認証と機能的に同等です。

特定の規格に対するマネジメントシステムの適合性を検証する機関を「認証機関」と呼ぶ国もあれば、一般に「登録機関」、「審査登録機関」、「認証／登録機関」、時には「登録機関」と呼ぶ国もあります。

ISO/IEC 27001認証は、他のISOマネジメントシステム認証と同様に、通常、ISO/IEC 17021およびISO/IEC 27006規格で定義された3段階の外部審査プロセスを伴います：

第1段階は、ISMSの予備的な非公式審査である。例えば、組織の情報セキュリティ方針、適用可能性宣言書（Statement of Applicability：SoA）、リスク処置計画書（Risk Treatment Plan：RTP）などの主要な文書の存在と完全性をチェックする。この段階は、監査人を組織に慣れ親しませ、その逆もまた同様である。
第2段階は、より詳細で正式なコンプライアンス監査であり、ISO/IEC 27001に規定された要求事項に対してISMSを独立してテストします。監査人は、マネジメントシステムが適切に設計され、実施され、実際に運用されていることを確認するための証拠を求めます（例えば、セキュリティ委員会または同様のマネジメント組織がISMSを監督するために定期的に会合を開いていることを確認するなど）。認証審査は通常、ISO/IEC 27001主任審査員によって実施される。この段階に合格すると、ISMSがISO/IEC 27001に準拠していることが認証されます。
継続には、組織が規格に準拠していることを確認するためのフォローアップ審査または監査が含まれる。認証の維持には、ISMSが規定され意図されたとおりに運用され続けていることを確認するための定期的な再評価審査が必要である。これらは少なくとも年1回実施されるべきであるが、（経営陣との合意により）特にISMSがまだ成熟していない間は、より頻繁に実施されることが多い。
ISO 27001認証の3つの段階を以下に示す：
1.ステージ1：情報セキュリティマネジメントシステムの予備的な非公式審査。活動には、主要文書の存在と完全性のチェックが含まれる。
2.ステージ 2：ISO 27001に規定された要求事項が適切に実施されていることを検証するために、第三者によって実施される詳細かつ正式な監査。
3.継続：ISO 27001の要求事項への継続的な準拠を確認するためのフォローアップ・レビューおよび監査。