正答2
解説
正解は2です。
ISMSの規格（JIS Q 27001:2014）は、計画、運用、パフォーマンス評価、改善の流れで要求事項を定めています。
パフォーマンス評価では、監視・測定・分析・評価、内部監査、マネジメントレビューを行います。
【選択肢別解説】
1：× 情報セキュリティリスクアセスメントは、計画の段階でその手順を定め、運用の段階で実施するものです。
パフォーマンス評価の活動ではありません。
2：○ 内部監査は、ISMSが規格や組織の要求事項に適合し、有効に運用されているかを確認する活動であり、パフォーマンス評価に含まれます。
3：× 不適合の是正処置は、見つかった不適合の原因を取り除いて再発を防ぐ活動であり、改善に含まれます。
4：× リスク（及び機会）の決定は、ISMSを計画する段階で行う活動です。
【ポイント】
計画、運用、パフォーマンス評価、改善は、PDCAサイクルのPlan、Do、Check、Actに対応します。
内部監査とマネジメントレビューはCheck、是正処置はActと覚えましょう。