情報セキュリティマネジメントシステム
リスクとは、「目的に対する不確かさの影響」を指し、情報セキュリティリスクは、「脅威が情報資産のぜい弱性又は情報資産グループのぜい弱性に付け込み、その結果、組織に損害を与える可能性に伴って生じる。なお、ISMS の文脈においては、情報セキュリティリスクは、「情報セキュリティの目的に対する不確かさの影響」と表現することがある。
なお、情報資産は、ISOの原文では「資産」(asset)だが、誤解を招かぬようJISでは「情報資産」としている
リスクを起こす潜在的要因をリスク源といい、その典型例として脅威と脆弱性がある。
脅威(threat)とは、「システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」を指し、脅威は人為的脅威と環境的脅威に分類でき、人為的脅威はさらに意図的脅威(deliberate threat)と偶発的脅威(accidental threat)に分類できる。
脆弱性(vulnerability)とは、一つ以上の脅威によって付け込まれる可能性のある資産または管理策(後述)の弱点を指す。
ISMSでは、各リスクに対しリスクレベルというリスクの大きさを割り振る。リスクレベルはリスクの起こりやすさと起こった場合の結果によって決定する。リスクレベルの決定法としてJIPDECは資産価値、脅威、脆弱性を数値化し、
リスクレベル=資産価値×脅威×脆弱性
として算出する方法を例示している。
経済的な理由などにより、既知のリスクをすべて取り除くことが現実的でないこともあるので、ISMSでは組織が受容可能なリスクの水準を定め、リスク保有する事を許容している。