令和8年度 問93｜情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）

正解：ア ISMSの適用範囲の決定

ポイント

ISMS の実施項目のうち、最初に行う項目を選ぶ問題です。

考え方と解き方

ISMS は、どこまでを管理の対象にするかを決めてから、リスクを調べて対処する流れで進めます。範囲が決まっていないと、何についてリスクを調べるのかが決まりません。

1. ISMS では、まず適用範囲を決定します。
2. そのあとで、その範囲について、リスクアセスメントとリスク対応を行います。
3. したがって、最初に行う項目として適切なのは ア です。

ほかの選択肢

• イ リスクアセスメントは、適用範囲を決めたあとで、その範囲の情報資産について行います。
• ウ リスク対応は、リスクアセスメントの結果を受けて行います。
• エ 内部監査は、運用の状況を確かめるために行うので、最初の項目ではありません。

覚えておくこと

• ISMS：組織が情報セキュリティを運用・管理する仕組み
• ISMS の実施項目で最初に行うのは、適用範囲の決定

（テーマ・覚えること）