リスクアセスメントを三つのプロセスに分けるとすると，リスクの特定，リスクの評価ともう一つはどれか。

次のISMSにおける実施項目のうち，最初に行うものはどれか。

情報セキュリティ監査の説明として，最も適切なものはどれか。