問93
頻出度★★★
次の ISMS における実施項目のうち, 最初に行うものはどれか。
令和8年度 ITパスポート試験 問93
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 93
- ア
正解 ISMS (情報セキュリティマネジメントシステム) は ISO/IEC 27001 に基づき PDCA サイクルで運用する。まず最初に「どの組織・業務・情報資産を対象とするか」という ISMS の適用範囲を決めないと、その後のリスクアセスメントもリスク対応も範囲が定まらず行えない。したがって選択肢の中で最初に行うのは「ISMS の適用範囲の決定」であり、正解は「ア」。一般的な実施順は、適用範囲の決定 → リスクアセスメント → リスク対応 → (運用後の) 内部監査、となる。
不正解イ
情報セキュリティリスクアセスメントは、守るべき対象 (適用範囲) が決まって初めて、その範囲内の資産に対する脅威・脆弱性・リスクを洗い出す作業。適用範囲の決定より後の工程なので、最初ではない。
不正解ウ
情報セキュリティリスク対応は、リスクアセスメントで評価したリスクに対して低減・回避・移転・受容などの処置を選ぶ工程。アセスメントの結果を前提とするため、適用範囲決定やアセスメントよりさらに後になる。
不正解エ
内部監査は PDCA の Check (点検) にあたり、ISMS を構築・運用した後にその有効性を確認する工程。実施項目の中では最後の段階に近く、最初に行うものではない。
ここがポイント
- ISMS は PDCA サイクルで運用し、構築の出発点は「適用範囲 (対象とする組織・資産) の決定」である。
- 標準的な実施順序: 適用範囲の決定 → リスクアセスメント → リスク対応 → 内部監査 (運用後の点検)。
用語