まず、どの組織・業務・情報などをISMSで管理するかという適用範囲を決めます。対象が定まってから、その範囲の情報セキュリティリスクを洗い出して評価します。
リスクアセスメントの結果を基にリスク対応を決め、運用している仕組みを内部監査で確かめます。この選択肢の中では、適用範囲の決定が最初です。