適用範囲の決定 を最初に行い，どの組織・業務・情報資産をISMSの対象とするか明確にします。その範囲でリスクアセスメントとリスク対応を行い，運用後に内部監査を実施します。 イ（リスクアセスメント）： 適用範囲を決めた後に実施します。 ウ（リスク対応）： リスクアセスメント結果に基づいて実施します。 エ（内部監査）： ISMSを運用した後に適合性と有効性を評価します。