参考テキストに基づき、ISO27001認証の3つのステージと各ステージの活動内容を箇条書きで示すこと。
SO/IEC 27001は、情報セキュリティを管理するための国際規格なのだ。この規格は、2005年に国際標準化機構（ISO）と国際電気標準会議（IEC）が共同で発行したもので、2013年に改訂され、直近では2022年に再び発行されました。また、この規格には多数の国内規格が存在するのだ。この規格の目的は、組織が保有する情報資産をより安全にすることであり、情報セキュリティマネジメントシステム（ISMS）の確立、実装、維持、継続的な改善に関する要求事項を詳述しています。この規格の要求事項を満たす組織は、認定された認証機関による監査を経て認証を受けることを選択できるのだ。ISO/IEC 27001の認証プロセスや規格全体の有効性については、2020年に実施された大規模な調査でも取り上げられています。

規格のしくみ
多くの組織では、情報セキュリティ管理体制を構築しているのだ。しかし、情報セキュリティマネジメントシステム（ISMS）を導入していない場合、特定の状況に対するポイントソリューションとして、あるいは単に慣習として導入されていることが多く、統制はやや無秩序でバラバラなものになりがちなのだ。また、セキュリティ管理は、情報技術（IT）やデータセキュリティの特定の側面に特化して行われることが多く、IT以外の情報資産（書類や独自の知識など）は全体として保護されていない。さらに、事業継続計画や物理的なセキュリティは、ITや情報セキュリティとはまったく無関係に管理されている場合があり、人事業務では、組織全体で情報セキュリティの役割と責任を定義して割り当てる必要性についてほとんど言及されていない場合があるのだ。

ISO/IEC 27001では、マネジメントが求められています：

脅威、脆弱性、影響を考慮し、組織の情報セキュリティリスクを体系的に検討する；
受容できないと判断されたリスクに対処するために、一貫した包括的な情報セキュリティ管理策及び／又は他の形態のリスク処理（リスク回避やリスク移転など）を設計し、実施すること；及び
情報セキュリティ管理策が継続的に組織の情報セキュリティニーズを満たし続けることを保証するために、包括的な管理プロセスを採用する。
ISO/IEC 27001の認証の一部として、どのような管理策がテストされるかは、認証審査員によります。このテストには、組織がISMSの範囲内と判断したあらゆる統制を含めることができ、このテストは、統制が実施され、効果的に動作していることをテストするために必要であると監査人が評価する任意の深さや範囲にすることができるのだ。

経営者は、認証取得のためにISMSの範囲を決定し、例えば、単一の事業単位または拠点に限定することができる。ISO/IEC 27001の認証は、スコープされた領域以外の組織の残りの部分が、情報セキュリティ管理に対して適切なアプローチをとっていることを必ずしも意味するものではありません。

ISO/IEC 27000ファミリーの他の規格は、情報セキュリティリスク管理（ISO/IEC 27005）など、ISMSの設計、実施、運用の特定の側面に関する追加のガイダンスを提供しているのだ。

ISO/IEC 27001の歴史
BS 7799は、1995年にBSI Groupが発行した規格なのだ。英国政府の貿易産業省（DTI）によって書かれたもので、いくつかの部分から構成されている。

情報セキュリティマネジメントのベストプラクティスを記した第1部は1998年に改訂され、世界中の標準化団体で長い議論を経て、最終的に2000年にISOでISO/IEC 17799「情報技術-情報セキュリティマネジメントの実践規範」として採択されました。その後、ISO/IEC 17799は2005年6月に改訂され、2007年7月にISO/IEC 27002としてISO 27000シリーズの規格に組み込まれた。

BS7799の第2部は、1999年にBSIによって初めて発行され、"Information Security Management Systems - Specification with guidance for use "というタイトルでBS7799 Part 2として知られているのだ。BS 7799-2は、情報セキュリティマネジメントシステム（ISMS）の導入方法に焦点を当て、BS 7799-2で特定された情報セキュリティマネジメントの構造およびコントロールを参照した。これは後にISO/IEC 27001:2005となった。BS 7799 Part 2は、2005年11月にISOによってISO/IEC 27001として採用されました。

BS 7799 Part 3は2005年に発行され、リスク分析および管理を対象としているのだ。ISO/IEC 27001:2005と整合している。

ISO/IEC 27001に関連してBS規格を参照したり使用したりすることはほとんどありません。

認証取得
ISMS は、世界中の多くの認定登録機関から ISO/IEC 27001 規格に準拠していると認定される可能性があります。認定された認証機関による、ISO/IEC 27001 のいずれかの認定国内版（例えば、日本版 JIS Q 27001）に対する認証は、ISO/IEC 27001 自体に対する認証と機能的に同等なのだ。

マネジメントシステムの規格への適合性を検証する機関を「認証機関」と呼ぶ国もあれば、「登録機関」「評価・登録機関」「認証・登録機関」、時には「レジストラ」と一般に呼ばれる国もある。

ISO/IEC 27001認証は、他のISOマネジメントシステム認証と同様に、通常、ISO/IEC 17021 およびISO/IEC 27006 規格で定義された3段階の外部監査プロセスを伴います：

ステージ1は、ISMSの予備的、非公式なレビューなのだ。例えば、組織の情報セキュリティ方針、適用性宣言（SoA）、リスク処置計画（RTP）などの主要な文書の存在と完全性のチェックが行われます。この段階は、監査人を組織に慣れさせる役割を果たし、またその逆もまた然りなのだ。
ステージ2は、より詳細で正式なコンプライアンス監査であり、ISO/IEC 27001に規定された要求事項に対してISMSを独立的にテストする。監査人は、マネジメントシステムが適切に設計され、実施され、実際に運用されていることを確認するための証拠（例えば、ISMSを監督するためにセキュリティ委員会または同様の管理機関が定期的に開催されていることを確認するなど）を求めます。認証審査は、通常、ISO/IEC 27001主任審査員によって行われる。この段階に合格すると、ISMSがISO/IEC 27001に準拠していることが認証されます。
継続では、組織が規格に準拠していることを確認するためのフォローアップレビューまたは監査が行われます。認証の維持には、ISMSが規定および意図されたとおりに運用され続けていることを確認するための定期的な再評価監査が必要なのだ。これらは少なくとも年1回行われるべきですが、（経営陣との合意により）特にISMSがまだ成熟している間は、より頻繁に実施されることが多いなのだ。
ISO 27001の認証取得の3つの段階は次のとおりなのだ：
1.ステージ1：情報セキュリティマネジメントシステムの予備的、非公式なレビューなのだ。活動には、主要な文書の存在と完全性の確認が含まれますなのだ。
2.ステージ2：第三者による詳細かつ正式な監査で、ISO 27001に規定された要求事項が適切に実施されていることを確認するのだ。
3.継続すること：ISO 27001の要求事項への継続的な準拠を確認するためのフォローアップレビューおよび監査なのだ。