ISMSの実施項目の順番は？最初に行う作業の見分け方
ITパスポート試験 令和8年度 問93 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
次のISMSにおける実施項目のうち，最初に行うものはどれか。
- ア
ISMSの適用範囲の決定
- イ
情報セキュリティリスクアセスメント
- ウ
情報セキュリティリスク対応
- エ
内部監査
会話形式の解説
講師今回はISMS、つまり情報セキュリティマネジメントシステムを作るときの作業の順番を問う問題です。4つの作業のうち、どれがほかの作業の前提になっているかに注目してください。
受験者ISMSといえばリスクを洗い出すことが中心だと思っていたので、情報セキュリティリスクアセスメントが最初かと考えました。
講師そう考える見方もあります。では、リスクアセスメントを始めるには何が決まっている必要があるでしょうか。リスクアセスメントは、脅威や脆弱性をもとに資産のリスクを特定・分析・評価する作業です。
受験者評価する資産が決まっていないと始められません。どの情報資産を対象にするかを先に決める必要がある、ということですか。
講師そのとおりです。管理の対象とする部門、業務、拠点、情報資産の境界を決めるのが、ISMSの適用範囲の決定です。この境界が決まらないと評価する資産も決まらないので、適用範囲の決定が最初の作業になります。
受験者リスク対応は、リスクを低減したり回避したりする対応を決める作業ですよね。何をどう対応するかは、評価の結果がないと決められない気がします。
講師はい。リスク対応では、低減・回避・移転・受容といった対応を決めますが、これはリスクアセスメントの結果をもとに行います。なので、アセスメントより後の作業です。
受験者内部監査は、監査という言葉から仕組みを確認する作業だと思うので、かなり後になりそうです。
講師よい推論です。内部監査は、ISMSが計画どおりに有効に運用されているかを確かめる活動です。仕組みを作って運用した後の、評価と改善の段階で行うので、4つの中では最後に来ます。
受験者整理すると、適用範囲の決定、リスクアセスメント、リスク対応、内部監査の順番ですね。最初に行うのは適用範囲の決定だと分かりました。
講師正解です。順番を問う問題では、この作業には何の結果が必要かと、前の作業をさかのぼって考えると迷いにくくなります。ISMSの活動全体は、方針と範囲の確立、アセスメント、対応計画の策定、実施、評価・改善という流れで進みます。規格としてはJIS Q 27001、国際規格ではISO/IEC 27001にまとめられていることも合わせて覚えておきましょう。
まとめ
ISMS（情報セキュリティマネジメントシステム）を作るとき、最初に行うのは適用範囲の決定です。適用範囲とは、管理の対象とする部門・業務・拠点・情報資産の境界のことで、これが決まらないとリスクアセスメントで評価する資産が決まりません。リスク対応はアセスメントの結果をもとに行い、内部監査は仕組みを運用した後の評価・改善の段階で行います。順番を問う問題では、各作業に必要な前の結果をさかのぼって考えると判断しやすくなります。
解答・解説
正解はアです
この問題のテーマ
ISMS（情報セキュリティマネジメントシステム）を作るときに、どの作業から始めるかという手順の順番を問う問題です。
解き方の考え方
4つの選択肢を、それぞれの作業が前の作業の結果を必要とするかどうかで並べ替えます。リスクアセスメントには「どの情報資産を評価するか」という対象が必要です。リスク対応はアセスメントの結果をもとに決めます。内部監査は仕組みを作って運用した後に行う確認作業です。このようにたどると、ほかの作業の前提になるのは「どこまでを管理の対象にするか」を決める適用範囲の決定だとわかります。
選択肢ごとの解説
- ○ア ISMSの適用範囲の決定ISMSの適用範囲の決定は、ISMSを作り始めるときに最初に行う項目です。管理の対象とする部門、業務、拠点、情報資産の境界をここで決めます。この境界が決まらないと評価する情報資産も決まらないため、後のリスク評価や対策の土台になります。
- ×イ 情報セキュリティリスクアセスメント情報セキュリティリスクアセスメントは、脅威や脆弱性などをもとに、資産のリスクを特定・分析・評価する作業です。評価する資産は適用範囲によって決まるため、範囲を決めた後に行います。最初の作業ではありません。
- ×ウ 情報セキュリティリスク対応情報セキュリティリスク対応では、リスクを低減・回避・移転・受容するといった対応を決めます。リスクアセスメントの結果をもとに行うため、アセスメントより後の作業です。
- ×エ 内部監査内部監査は、ISMSが計画どおりに有効に運用されているかを確かめる活動です。仕組みを作って運用した後の、パフォーマンス評価と改善の段階で行います。4つの中では最後に来る作業です。
補足
順番を問う問題では、「この作業には何の結果が必要か」と前の作業をさかのぼって考えると迷いにくくなります。リスクアセスメントは中心的な作業なので最初に行うものだと思い込みやすいですが、評価する対象を決めないと始められない点に注意しましょう。ISMSの活動は、方針と範囲の確立、アセスメント、対応計画の策定、実施、評価・改善という流れで進みます。
POINT
- ISMSは情報セキュリティマネジメントシステムの略で、規格としてはJIS Q 27001（ISO/IEC 27001）にまとめられています。
- 4つの作業の順番は、適用範囲の決定、リスクアセスメント、リスク対応、内部監査です。
- 適用範囲とは、管理の対象とする部門・業務・拠点・情報資産の境界のことです。
- リスクアセスメントはリスクの特定・分析・評価を行う作業で、リスク対応はその結果をもとに行います。
- 内部監査は、仕組みを作って運用した後に行う評価・改善の段階の活動です。