令和2年度 ITパスポート試験 問69

解説

ISMS（情報セキュリティマネジメントシステム）を構築するときは，まず組織の置かれた状況を理解することから始めます。その中で，顧客や取引先，法令などの利害関係者がどのような要求や期待をもっているかを把握します。それを踏まえて，リスクアセスメント，リスク対応と計画を進め，運用後に内部監査などで評価・改善します。したがって最初に行うのは利害関係者のニーズと期待の理解です。

下線の用語は 用語集 で意味を確認できます。

選択肢ごとの解説

• ア誤り。リスクアセスメントは，状況や利害関係者の要求を理解した後の計画段階で行います。
• イ誤り。リスク対応は，リスクアセスメントの結果を受けて行うので，さらに後の段階です。
• ウ誤り。内部監査は，ISMS を運用した後の評価の段階で行います。
• エ正しい。組織の状況や利害関係者のニーズと期待の理解が，ISMS の最初の実施項目です。