ITパスポート｜情報セキュリティマネジメント 問10

解説

ISMSでは、まず「どこを対象にするか」（適用範囲）を決め、その範囲の中でリスクを洗い出して評価し、対応を決めます。内部監査は運用後に行います。

• ア 正解。最初に適用範囲を決めます。
• イ 適用範囲を決めた後に、その範囲のリスクを評価します。
• ウ リスクアセスメントの結果をもとに行います。
• エ ISMSを運用した後に、その状況を確認するために行います。