ITパスポート試験 ITパスポート 2026年 (令和8年) 問93: 次の ISMS における実施項目のうち，最初に行うものはどれか。

正解

ア. ISMS の適用範囲の決定

正答率 81.3%（1,329人中 1,081人が正解）

問題の解説

ISMS (情報セキュリティマネジメントシステム) を構築・運用するときは、まず対象とする組織や拠点、情報資産の範囲、つまり適用範囲を決める。そのうえで、その範囲の情報資産についてリスクアセスメントを行い、結果に基づいてリスク対応を実施し、運用後に内部監査などで確認して見直す。したがって、最初に行うのは適用範囲の決定である。

選択肢ごとの解説

• ア正しい。どの部門や拠点、情報資産を対象とするのかが決まらないと、以降のリスクアセスメントなどを進められないので、適用範囲の決定が最初になる。
• イ情報セキュリティリスクアセスメントは、適用範囲を決めたあとで、その範囲の情報資産に対してリスクを特定・分析・評価する作業である。最初ではない。
• ウ情報セキュリティリスク対応は、リスクアセスメントの結果を受けて、低減や回避などの対応を選び実施する作業なので、さらにあとの段階である。
• エ内部監査は、ISMS を運用したあとに、規則どおり運用され有効に機能しているかを確かめるために行う。最初の実施項目ではない。