ISMSの確立，実施，維持及び継続的改善における次の実施項目のうち，最初に行うものはどれか。
- ア情報セキュリティリスクアセスメント
- イ情報セキュリティリスク対応
- ウ内部監査
- エ利害関係者のニーズと期待の理解
正解と解説を見る
正解
エ 利害関係者のニーズと期待の理解
ISMS（情報セキュリティマネジメントシステム）のPDCAサイクルでは、まず組織を取り巻く状況や利害関係者のニーズと期待を理解することから始め、それを踏まえてリスクアセスメントや対応、監査などを行っていくため、最初に行うのはエである。情報セキュリティリスクアセスメントやリスク対応は、組織の状況や利害関係者の要求事項を把握した上で実施すべき工程であり、内部監査はISMS運用後の点検活動であるため、いずれも最初の実施項目にはならない。