解説

ISMS（情報セキュリティマネジメントシステム）の確立では、まず組織の状況を把握し、利害関係者のニーズと期待を理解することから始めます。これを踏まえて適用範囲や方針を定め、リスクアセスメント、リスク対応、運用、内部監査と進みます。したがって最初に行うのはdの「利害関係者のニーズと期待の理解」で、正解はdです。リスクアセスメント（a）やリスク対応（b）、内部監査（c）はその後の段階です。

なぜ他の選択肢は違うのか

選択肢 ア

情報セキュリティリスクアセスメントは、組織の状況や利害関係者のニーズを理解した後に行う段階で、最初の活動ではありません。

選択肢 イ

情報セキュリティリスク対応は、リスクアセスメントの結果を受けて行う段階で、ISMS確立の最初に行うものではありません。

選択肢 ウ

内部監査はISMSが計画どおり運用されているかを点検する段階で、確立の最初に行う活動ではありません。

解くときのポイント

ISMSはまず「組織の状況・利害関係者のニーズの理解」から。リスクアセスメントや監査はその後の段階、と順序で押さえましょう。