ITパスポート｜情報セキュリティマネジメント 問2

解説

ISMS（Information Security Management System）を作るときは、まず組織の状況と、利害関係者（顧客、取引先、法令など）が何を求めているかを理解し、適用範囲を決めます。その上で、リスクアセスメント、リスク対応を計画し、運用した後に内部監査で評価します。

• ア リスクアセスメントは、組織の状況を理解した後に行います。
• イ リスク対応は、リスクアセスメントの後に行います。
• ウ 内部監査は、ISMS を運用した後の評価として行います。
• エ 正解。最初に、利害関係者のニーズと期待を理解します。