社内で許可されていないSaaSを個人で契約して業務利用する行為（シャドーIT）への対応として最も適切なものはどれか。

ISMS適合性評価制度（ISO/IEC 27001）において、組織が選択した管理策（対策）とその適用理由を明記した、監査で重要となる文書はどれか。