次のISMSにおける実施項目のうち、最初に行うものはどれか。

選択肢

• アISMSの適用範囲の決定
• イ情報セキュリティリスクアセスメント
• ウ情報セキュリティリスク対応
• エ内部監査

正解と解説

正解：ア ISMSの適用範囲の決定

ISMSの構築はまず、どの組織・業務・情報資産までを対象とするかという適用範囲を決めることから始まる。範囲が定まらなければ、洗い出すべき資産もリスクアセスメントの対象も決まらない。範囲決定の後にリスクアセスメント、リスク対応と進み、運用を経て内部監査で有効性を確認する流れになる。

選択肢ごとの解説

• ア対象範囲を定める最初の作業で、これが正解。
• イリスクアセスメントは適用範囲が決まってから行う。
• ウリスク対応はアセスメントの結果を受けて実施する。
• エ内部監査は運用が始まった後に有効性を確認する活動である。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70
• 情報セキュリティのリスクマネジメントにおけるリスク対応を、リスク移転、リスク回避、リスク低減及びリスク保有の四つに分けて…2025年度 秋期 問91