令和8年度 ITパスポート 問93（テクノロジ）

【ISMSの進め方】

ISMS（Information Security Management System、情報セキュリティマネジメントシステム）を構築するときは、組織の状況を理解したうえで、まずISMSの適用範囲（どの組織・拠点・業務・情報資産を対象にするか）を決めます。範囲が決まらないと、どの情報資産のリスクを洗い出せばよいかが決まらないからです。その後、おおむね次のように進めます。

・情報セキュリティ方針の策定

・情報セキュリティリスクアセスメント（リスクの特定・分析・評価）

・情報セキュリティリスク対応（管理策の選択と実施の計画）

・運用

・内部監査、マネジメントレビュー

・改善

【選択肢の検討】

ア：適用範囲の決定は、ISMSで最初に行うものです。

イ：リスクアセスメントは、適用範囲を決めた後で、その範囲の情報資産について行います。

ウ：リスク対応は、リスクアセスメントの結果を受けて行います。

エ：内部監査は、ISMSを運用した後で、適切に機能しているかを確かめるものです。

よって、正解は選択肢アです。