令和2年度 ITパスポート 問69（テクノロジ）

【ISMSの進め方】

ISMSの要求事項を定めたJIS Q 27001では、ISMSを確立し、実施、維持、継続的に改善するための事項を、おおむね次の順で定めています。

・組織の状況：組織の内外の課題や、利害関係者のニーズと期待を理解し、ISMSの適用範囲を決める

・計画：情報セキュリティリスクアセスメントを行い、その結果を基に情報セキュリティリスク対応を決める

・運用：計画した対策を実施する

・パフォーマンス評価：監視・測定、内部監査、マネジメントレビューを行う

・改善：不適合を是正し、継続的に改善する

まず組織の置かれた状況や、利害関係者が何を求めているかを理解しないと、守るべき範囲やリスクを正しく決められないので、最初に行います。

【選択肢の検討】

ア：情報セキュリティリスクアセスメントは、組織の状況を理解した後の、計画の段階で行います。

イ：情報セキュリティリスク対応は、リスクアセスメントの結果を受けて行います。

ウ：内部監査は、ISMSを運用した後の、パフォーマンス評価の段階で行います。

エ：利害関係者のニーズと期待の理解は、組織の状況の理解として最初に行います。

よって、正解は選択肢エです。