問93
頻出度★★★
次の ISMS における実施項目のうち, 最初に行うものはどれか。
令和8年度 ITパスポート試験 問93
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 93
- ア
正解 ISMS（信息安全管理体系）依据 ISO/IEC 27001，按 PDCA 循环运行。首先若不确定「以哪些组织、业务、信息资产为对象」这一 ISMS 的适用范围，之后的风险评估和风险应对都会因范围未定而无法进行。因此选项中最先进行的是「确定 ISMS 的适用范围」，正确答案为「ア」。一般的实施顺序为：确定适用范围 → 风险评估 → 风险应对 →（运行后的）内部审计。
错误イ
信息安全风险评估，是在确定了应保护的对象（适用范围）之后，才能针对该范围内的资产梳理出威胁、脆弱性与风险的工作。它处于确定适用范围之后的工序，因此不是最先进行的。
错误ウ
信息安全风险应对，是针对风险评估所评定的风险，选择降低、规避、转移、接受等处置措施的工序。由于它以评估结果为前提，因此比确定适用范围和风险评估都更靠后。
错误エ
内部审计相当于 PDCA 中的 Check（检查），是在构建并运行 ISMS 之后确认其有效性的工序。在各实施事项中接近最后阶段，并非最先进行的。
ここがポイント
- ISMS 按 PDCA 循环运行，其构建的起点是「确定适用范围（作为对象的组织与资产）」。
- 标准的实施顺序：确定适用范围 → 风险评估 → 风险应对 → 内部审计（运行后的检查）。
用語