ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問93 ISMS で最初に行うこと

ITパスポート 令和8年度 公開問題、全100問のうちの問93。

出典：令和8年度 ITパスポート試験 公開問題 問93

次の ISMS における実施項目のうち，最初に行うものはどれか。

  1. アISMS の適用範囲の決定
  2. イ情報セキュリティリスクアセスメント
  3. ウ情報セキュリティリスク対応
  4. エ内部監査
答えと解説を開く

正解はアです。

ISMS (情報セキュリティ​マネジメントシステム) を作るときは、最初に、会社のどの部署、どの業務、どの情報を対象にするかという適用範囲を決めます。範囲が決まらないと、何のリスクを調べればよいかが決まらないからです。そのあと、リスクアセスメント (リスクを見つけて評価する)、リスク対応 (対策を決めて実施する)、内部監査 (うまくいっているかを確かめる) と進みます。だから正解はアです。

ほかの選択肢が違う理由

  • イリスクアセスメントは、適用範囲を決めたあとに、その範囲の中のリスクについて行います。
  • ウリスク対応は、リスクアセスメントで評価した結果をもとに行うので、さらにそのあとです。
  • エ内部監査は、ISMS を運用してから、決めたとおりに動いているかを確かめるものです。後のほうの段階です。

仕組み

ISMS は、計画 (Plan)、実行 (Do)、確認 (Check)、改善 (Act) の PDCA を回して、情報セキュリティを良くし続ける仕組みです。

適用範囲の決定とリスクアセスメントは Plan、リスク対応の実施は Do、内部監査は Check に当たります。