試験では、ISMSを構築・運用する上での基本手順や用語の定義が問われます。特に、情報資産のリスクレベルを評価する「リスクアセスメント」の概念、およびリスクへの具体的な対処方法（リスクをシステム対応で小さくする『リスク低減』、リスクのある業務自体をやめる『リスク回避』、サイバー保険で他社に転嫁する『リスク移転』、対策費用が上回るためそのまま受け入れる『リスク保有』）を具体例と結びつけて分類する問題が非常に高い確率で出題されます。また、ISMSの国際規格名である「ISO/IEC 27001」や国内規格「JIS Q 27001」、継続的な運用プロセスとしての「PDCAサイクル」の仕組みについても正確に覚えておく必要があります。
ISMSに関連する用語には、情報資産の危険性を分析・評価する「リスクアセスメント」、リスクへの対応方法である「リスク対応（低減・回避・移転・保有）」、そしてISMSの国際標準規格「ISO/IEC 27001」があります。これらはセキュリティ管理の実務的なフレームワークを形成しています。