解説

ISMSの構築では、まず情報セキュリティマネジメントを行う対象範囲（適用範囲）を決定します。どの組織・業務・情報資産を対象とするかを定めてから、リスクアセスメントやリスク対応、内部監査などを進めます。守る対象の範囲が決まっていないとリスクの洗い出しや対策の検討ができないため、範囲の決定が出発点になります。最初に行うのは適用範囲の決定であり、正解はアです。

なぜ他の選択肢は違うのか

選択肢 イ

情報セキュリティリスクアセスメントは、適用範囲を定めた後に、対象の情報資産のリスクを分析・評価する活動で、最初に行うものではありません。

選択肢 ウ

情報セキュリティリスク対応は、リスクアセスメントの結果に基づいて対策を選び実施する活動で、最初の手順ではありません。

選択肢 エ

内部監査は、ISMSが適切に運用されているかを確認するために、構築・運用が進んだ後で行うもので、最初の手順ではありません。

解くときのポイント

ISMSは『適用範囲の決定→リスクアセスメント→リスク対応→運用→監査→見直し』の順で進みます。何を守るか（範囲）を最初に決める、と押さえましょう。