A) Não, nem todos os controles precisam ser implementados. A declaração de aplicabilidade é usada justamente para explicitar quais serão e quais não serão usados.
B) Estranhíssima, mas errada. Não considero como resposta correta, uma vez que os controles existem para satisfazer os requisitos e prover segurança da informação. O termo garantia é complicado de ser usado. Portanto, errada.
C) Errada. Há diversos controles tratando do assunto. Um aspecto importante: concordo parcialmente com a questão no sentido de que os controles não são aprofundados. Mas são detalhados, sim. Se a FCC quis dizer que não há uma seção específica de segurança de redes, tudo bem. Mas não é isso que a assertiva diz. Listo alguns controles de segurança de redes:
Controles de redes, Segurança dos serviços de rede, Política de uso dos serviços de rede, Identificação de equipamento em redes, Controle de Roteamento e Conexão em Redes ... Se isso não é detalhar controles referentes à segurança de redes, eu não sei o que é.
O problema aqui é que o boçal que fez a questão não conhece o assunto e a norma, e acha que segurança é provida somente por controles técnicos, mas não gerenciais.
D) e E) Estão invertidas.
Por exclusão, letra C. Mas muito mal elaborada.