令和8年度 ITパスポート試験 公開問題 問93

ISMS（情報セキュリティマネジメントシステム）の構築・運用は、PDCA（Plan-Do-Check-Act）サイクルに沿って行われます。

JIS Q 27001などの規格において、ISMSを確立するにあたって、まず最初に組織の目的や状況を理解し、ISMSの適用範囲の決定を行うことが求められています。適用対象（どの部門、どの拠点、どのシステムを含めるか）が明確になって初めて、その範囲内に存在する情報資産や脅威、脆弱性を特定し、リスク評価を進めることができるためです。

各選択肢の解説

• ア：ISMSの適用範囲の決定
  正解です。ISMS構築の初期段階（Plan）において、一番初めに実施されます。
• イ：情報セキュリティリスクアセスメント
  適用範囲を決定した後、その範囲内の資産に対するリスクを特定・分析・評価するために実施されます。
• ウ：情報セキュリティリスク対応
  情報セキュリティリスクアセスメントによって評価されたリスクに対し、受容可能レベルまで低減・回避・移転などの対策を選択・計画する工程です。アセスメントの後に実施されます。
• エ：内部監査
  計画・運用（Plan-Do）の後に実施される点検・評価（Check）の工程です。ISMSが自組織の定めた要求事項や規格に適合しているか、有効に実施・維持されているかを確認します。