監査における「IT全般統制」の評価範囲を決定する際、「トップダウン・リスクアプローチ」に基づいて最初に行うべきことはどれか。

NIST SP800-171（CUI保護のためのセキュリティ要件）への準拠性を監査する際、対象となる情報は何か。