正答2
解説
正解は2です。
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）の活動のうち、パフォーマンス評価で実施するものを問う問題です。
ISMSの要求事項を定めたJIS Q 27001では、パフォーマンス評価として、監視・測定・分析・評価、内部監査、マネジメントレビューを行うと定めています。
【選択肢別解説】
1：× 運用の計画及び管理は、計画した対策を実施する「運用」の活動です。
2：○ 内部監査は、ISMSが規格や組織の決めたルールに適合し、有効に機能しているかを確認する活動で、パフォーマンス評価に含まれます。
3：× 不適合の是正処置は、見つかった問題の原因を取り除いて再発を防ぐ「改善」の活動です。
4：× リスクの決定（リスクアセスメントなど）は、対策を検討する前段階である「計画」の活動です。
【ポイント】
ISMSはPDCAサイクルで運営され、計画（Plan）、運用（Do）、パフォーマンス評価（Check）、改善（Act）に対応します。
内部監査とマネジメントレビューは「評価（Check）」の活動です。