令和8年度 ITパスポート試験 公開問題 問100
テクノロジセキュリティ管理情報セキュリティリスクアセスメント・リスク対応
ISMSの活動に関する記述として，最も適切なものはどれか。
解答・解説
正解: ウ. 情報資産を洗い出し，リスクの特定と分析及び評価を行い，情報資産を管理する。
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は、組織が保護すべき情報資産について、機密性・完全性・可用性をバランスよく維持し、継続的に改善していくための仕組みです。
ISMSの活動では、組織内の情報資産を洗い出し、それらに対する脅威や脆弱性を考慮してリスクの特定・分析・評価（リスクアセスメント）を行い、適切な管理策を講じて情報資産を管理します。
各選択肢の解説
ア：企業のコスト削減や製品の品質、サービスの改善などのために、業務プロセスを抜本的に見直し再構築する活動は、BPR（Business Process Re-engineering）などの説明です。
イ：顧客の満足度を高めるために、ITサービスの品質を継続的に改善する活動は、ITSMS（ITサービスマネジメントシステム）やITILの説明です。
ウ：正解です。情報資産の洗い出しからリスクの特定・分析・評価に至るプロセスは、まさにISMSの活動の中核です。
エ：製品とサービスの開発プロセスの成熟度を評価し、改善するためのモデルは、CMMI（Capability Maturity Model Integration：能力成熟度モデル統合）などの説明です。