正答1
解説
正解は1です。
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は、JIS Q 27001に沿って、PDCAサイクルで運用されます。
どの順序で実施項目を進めるかが問われています。
【選択肢別解説】
1：○ 最初に、組織のどの部門、拠点、業務、情報資産をISMSの対象とするかという適用範囲を決めます。
範囲が決まらなければ、守るべき資産もリスクも特定できないからです。
2：× 情報セキュリティリスクアセスメントは、適用範囲の中の情報資産について、リスクを特定、分析、評価する活動です。
適用範囲を決めた後に行います。
3：× 情報セキュリティリスク対応は、リスクアセスメントの結果に基づいて、管理策を選んで対応を決める活動です。
リスクアセスメントの後に行います。
4：× 内部監査は、ISMSが規格や組織の決めたルールに沿って有効に運用されているかを確認する活動です。
運用を始めた後のチェックの段階で行います。
【ポイント】
ISMSの流れは、適用範囲の決定、方針の策定、リスクアセスメント、リスク対応、運用、内部監査、改善の順です。
内部監査はPDCAのC（Check）に当たると押さえましょう。