分類テクノロジ系 » セキュリティ » 情報セキュリティ管理新しい試験24-3 リスクマネジメント年度令和8年度の100問の一覧
次のISMSにおける実施項目のうち，最初に行うものはどれか。
正解と解説
正解：ア
ア○ 正解 ISMS をどの組織・業務・場所に適用するかを決めないと、守る情報資産もリスクも洗い出せません。最初に行う事項です。
イ× リスクアセスメントは、決めた適用範囲の中の情報資産について行うので、適用範囲を決めた後です。
ウ× リスク対応は、リスクアセスメントの結果を受けて決めるので、アセスメントの後です。
エ× 内部監査は、ISMS を運用した後に、決めたとおりに運用されているかを確かめる活動です。
解説
ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティを継続的に管理する仕組みです。要求事項を定めた JIS Q 27001（ISO/IEC 27001）では、まず組織の状況を踏まえてISMSの適用範囲を決め、その範囲の中でリスクアセスメント（リスクの特定・分析・評価）を行い、結果に応じてリスク対応を決めて運用し、内部監査などで決めたとおりに動いているかを確かめて改善します。
どこまでを守るかの範囲が決まらないと、洗い出す情報資産もリスクも決まらないので、最初に行うのは適用範囲の決定です。
教科書 24-3この問題の知識
リスクマネジメントは、守る範囲と情報資産を決め、リスクを特定・分析・評価して、どれにどう手を打つかを選ぶ活動です。情報資産台帳と重要度、分析と評価の違い、回避・低減・共有（移転）・保有の見分け方と呼び名の違いまでを、公開問題を解ける形でまとめます。
この節で扱うこと：情報資産とリスク・情報セキュリティリスクアセスメント・情報セキュリティリスク対応
Udemy の ITパスポート講座を、受講者数・★評価・口コミで比べたページです（広告を含みます）。
過去問教科書の一覧（現行の試験の順）教科書の一覧（新しい試験の順）
出典：IPA「ITパスポート試験 公開問題」令和8年度 問93。問題文と選択肢は改変せずに引用しています（表・図は文字に書き起こしたもの）。正解は IPA 公表の解答例によります。