令和8年度 ITパスポート試験 問93

解説

正解は『ア』。 ISMSの構築で最初に行うのは「適用範囲の決定」（どの組織・システム・情報資産を対象とするかを定める）。 その後リスクアセスメント→リスク対応→内部監査という順序で進める。 範囲が決まらないとリスク評価も対応策も立てられない。