問69
頻出度★★★
ISMS の確立, 実施, 維持及び継続的改善における次の実施項目のうち, 最初に行うものはどれか。
令和2年度 ITパスポート試験 問69
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 69
错误ア
信息安全风险评估是在条款6「计划」中进行的活动，它以掌握利益相关者的需求和确定适用范围为前提。它属于基础打好之后的阶段，因此不是最先进行的。
错误イ
信息安全风险应对是在风险评估（ア）中识别并评价出风险之后，据此实施的。它处于比 ア 更靠后的阶段，因此不是最先进行的。
错误ウ
内部审核位于条款9「绩效评价」，是在实际运行 ISMS 之后，为确认其有效性和符合性而进行的。它相当于 PDCA 中的 Check（检查），属于后半段的活动，因此不是最先进行的。
- エ
正解 正确答案是エ「理解利益相关者的需求和期望」。在规定 ISMS 的 JIS Q 27001（ISO/IEC 27001）中，首先要在条款4「理解组织及其状况」下的 4.2『理解利益相关者的需求和期望』，掌握组织周围的相关方（客户、业务伙伴、员工、监管机构等）对信息安全有何要求。由此确定 ISMS 的适用范围以及应满足的要求事项，从而成为之后风险评估、风险应对、运行、内部审核等活动的基础。因此在各选项中最先进行的是エ。
ここがポイント
- ISMS（JIS Q 27001）的实施顺序：理解利益相关者的需求 → 确定适用范围 → 风险评估 → 风险应对 → 运行 → 内部审核 → 持续改进。掌握组织的状况是一切的起点。
- 要记住：风险评估和风险应对属于「计划」阶段，内部审核属于「评价」阶段的活动，它们都要在完成各自的前提工作之后才实施。
用語