ISMSの確立、実施、維持及び継続的改善における次の実施項目のうち、最初に行うものはどれか。

選択肢

• ア情報セキュリティリスクアセスメント
• イ情報セキュリティリスク対応
• ウ内部監査
• エ利害関係者のニーズと期待の理解

正解と解説

正解：エ 利害関係者のニーズと期待の理解

ISMSの構築は、まず組織を取り巻く状況を把握することから始まる。利害関係者が何を求めているかを理解し、適用範囲や方針を定めたうえで、リスクアセスメントを行い、リスク対応を実施し、その後に運用状況を内部監査で確認するという流れになる。したがって選択肢の中で最初に行うのは利害関係者のニーズと期待の理解である。

選択肢ごとの解説

• アリスクの特定と分析は、適用範囲や前提を定めた後に行う工程である。
• イリスク対応はアセスメントの結果を受けて実施するため、最初にはならない。
• ウ内部監査は運用の状況を確認する工程であり、構築の最初には行わない。
• エ正解。組織の状況把握として利害関係者の要求を理解することから始める。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70