令和8年度 ITパスポート試験 問93

解説

ISMS は，まず組織の状況を踏まえて ISMS を適用する範囲を決め，次に対象範囲の情報資産について情報セキュリティリスクアセスメント（リスクの特定・分析・評価）を行い，その結果をもとにリスク対応を計画・実施し，運用した結果を内部監査などで確認する，という順に進めます。したがって，最初に行うのは適用範囲の決定です。

下線の用語は 用語集 で意味を確認できます。

選択肢ごとの解説

• ア正しい。まず ISMS の適用範囲を決めます。範囲が決まらないと，対象とする情報資産もリスクも定まりません。
• イ誤り。リスクアセスメントは，適用範囲が決まった後に，その範囲の情報資産について行います。
• ウ誤り。リスク対応は，リスクアセスメントの結果を受けて行います。
• エ誤り。内部監査は，ISMS を運用した後に，運用状況を確認するために行います。