ITパスポート試験
令和8年 第93問

問93

次のISMSにおける実施項目のうち、最初に行うものはどれか。

（令和8年 ITパスポート試験 第93問 テクノロジ系/セキュリティ）

解説

ISMSを構築・運用するには、まずどこまでをISMSの対象にするかを決める必要があります。そのため、最初に行うのはISMSの適用範囲の決定です。

• （ア）ISMSの適用範囲の決定 は、最初に行うべき項目です。→ これが正解です。
• （イ）情報セキュリティリスクアセスメント は、適用範囲を決めた後、その範囲内のリスクを評価する活動です。
• （ウ）情報セキュリティリスク対応 は、評価したリスクに対して対応策を決める活動です。
• （エ）内部監査 は、ISMSが適切に運用されているかを確認する活動です。

【用語の説明】
ISMS：情報セキュリティを継続的に管理・改善する仕組みです。
情報セキュリティリスクアセスメント：情報セキュリティ上のリスクを特定し、分析・評価することです。

【ワンポイントアドバイス】
ISMSでは、まず対象範囲を決めることから始めます。