A questão foi retirada daqui.
Segundo a ISO 27001,"
4.2.1 Estabelecer o SGSI
A organização deve:
b) Definir uma política do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia que:
1) inclua uma estrutura para definir objetivos e estabeleça um direcionamento global e princípios para ações relacionadas com a segurança da informação;
2) considere requisitos de negócio, legais e/ou regulamentares, e obrigações de segurança contratuais;
3) esteja alinhada com o contexto estratégico de gestão de riscos da organização no qual o estabelecimento e manutenção do SGSI irão ocorrer ;
4) estabeleça critérios em relação aos quais os riscos serão avaliados (ver 4.2.1c)); e
5) tenha sido aprovada pela direção."
**Portanto, o erro da alternativa A, está em afirmar que é necessário a obtenção da autorização dos stakeholders, quando na verdade é necessário a aprovação pela direção.