ITパスポート 過去問
令和8年度
問93 (テクノロジ系 問39)

正しいです。ISMSの対象を明確にしなければ、どの情報資産のリスクを評価し、どこへ管理策を適用するかを決められないため、適用範囲の決定が最初に行います。

情報セキュリティリスクアセスメントは、決定した適用範囲内の情報資産やリスクを対象に行います。

リスク対応は、リスクアセスメントで特定・分析・評価したリスクに対し、回避、低減、移転、受容などを選ぶ段階です。

内部監査は、構築・運用したISMSが要求事項や組織の取決めに適合し、有効に実施されているかを確認する後の段階です。