ITパスポート 過去問
令和8年度
問93 (テクノロジ系 問39)

ISMS（Information Security Management System）は、

セキュリティリスクを管理するための仕組みで、主に以下の５つの活動を行います。

・ISMS適用範囲、基本方針の確立

・リスクアセスメント

・リスク対策計画の策定

・リスク対策の実施

・リスク対策後の評価、改善

ISMSを構築するときは、まず組織のどの部門、拠点、業務、情報資産を管理対象にするかという適用範囲を決めます。その範囲を前提にリスクアセスメントやリスク対応を進めます。

本問ではISMSに関する理解が問われています。

ISMS（Information Security Management System）とは組織が情報資産を守るためにリスクを特定・評価し、管理策を実施し、継続的に改善していく仕組みのことを示します。

ISMSの実施手順の流れとしては以下の通りです。

①情報資産の洗い出し（適用範囲の決定）：組織として守るべき情報資産としてどのようなものがあるかを整理します。

②リスクの特定（リスクアセスメント）：情報資産を守る上でどのような危険があるのかを特定・分析・評価します。

③管理策の策定（セキュリティリスク対応）：リスクアセスメントで特定したリスクに対し、どのように対応していくかを検討します。

④内部監査：策定したセキュリティリスクへの対応策が適切に運用されているかを確認します。

⑤継続運用：策定したセキュリティリスクての対応策について問題点を整理し、継続的に改善していきます。（PDCA）

設問ではISMSのうち最初に行うものがどれか問われているので、「ISMSの適用範囲の決定」が正答となります。

⑤の継続運用については選択肢として問われていませんが、内部監査実施後も策定したセキュリティリスク対策を継続して改善していく仕組みについてもISMSに含まれていることを覚えておきましょう。