ITパスポート 2026年 問93

ISMSにおける実施項目のうち、最初に行うものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：「最初に行うもの」かどうかに注目する。
2. 各選択肢の意味を整理する（定義は下で簡単に説明）。
3. 実務の順序を思い浮かべる。まず「何を対象にするか（適用範囲）」を決め、それから「リスクを評価」→「リスクに対応」→「監査」。
4. この順で見て、最も先に来るものを選ぶ。→ ア が該当。

• 適用範囲の決定（何を管理対象にするか）
• リスクアセスメント（リスクの特定・分析・評価）
• リスク対応（対策の選択と実施）
• 内部監査（運用と適合性の確認）

選択肢別の誤答解説

• ア：ISMSの適用範囲の決定
  • 正しい。まず「どの部署・システム・場所・情報をISMSで管理するか」を定めます。これが基盤になります。
• イ：情報セキュリティリスクアセスメント（リスク評価）
  • 誤り。リスクアセスメントは「何を守るか」が分かった上で行います。適用範囲が未決定だと、どの資産のリスクを評価するかが不明です。
• ウ：情報セキュリティリスク対応（リスク処置・対策実施）
  • 誤り。リスク対応はアセスメントの結果に基づいて対策を決めて実行する段階です。従ってアセスメントより後になります。
• エ：内部監査
  • 誤り。内部監査は運用中のISMSが規程や基準に適合しているかをチェックする活動です。仕組みを作り、運用を始めた後に行います。

よくある誤解

1. 「リスクアセスメントが最初だ」と思う誤解
   • リスクを評価するには評価対象（どの情報やシステム）が明確である必要があります。よって適用範囲の決定が先です。
2. 「適用範囲は後から決めてもいい」と考える誤解
   • 後で範囲を変えられますが、初期段階で範囲を曖昧にすると評価や対策の抜け漏れが発生します。試験では「最初に行うもの」を問われればスコープ決定を選びます。
3. 「内部監査は問題を見つけるために最初からやるべき」と思う誤解
   • 内部監査は設計・実行後の評価活動です。設計段階のレビューは別（マネジメントレビュー等）であり、内部監査は運用確認の段階です。

補足コラム

• ISO/IEC 27001（情報セキュリティの国際規格）では、組織はまず適用範囲（スコープ）を明確にし、その後リスクアセスメントに基づく管理策の選定・実施を行う流れになっています。
• 「適用範囲」を決めるときの考え方の例：会社全体を対象にするか、特定の事業部や特定のシステム（例：顧客情報を扱うCRMシステム）だけを対象にするかを決めます。小売店舗なら「本社の販売データベースと顧客情報だけ」といった限定も可能です。
• 覚え方の一つ：Scope → Risk assessment → Treatment → Audit（S → R → T → A）の順。

FAQ