情報システムやインターネットは、個人レベルだけでなく、企業や組織の運営にも欠かせないものとなりました。確かにネットワークを介して情報をやり取りできるという点においては非常に利便性の高いものではありますが、その反面大きな危険性を併せ持つことにもなっています。
それが、情報システムの停止による業務全体の停止、顧客情報や機密情報の漏洩、それらに伴う企業や組織のイメージ・信頼の失墜など金銭的な損害だけでなく、信頼を失うという企業経営の根幹を揺るがす事態を招きかねない危険性を内包しています。
そう考えると情報セキュリティに対するリスクマネジメントは重要な経営課題の一つであると言えます。
特に個人情報は自社の機密情報以上に厳重に取り扱うことが求められ、その保護は企業や組織の社会的責務でもあります。
実際に情報セキュリティ対策は、世界的にも重要な経営課題として認識され、「情報セキュリティ製品・システム評価基準（ISO/IEC15408）」や「情報セキュリティマネジメントシステムの認証基準（ISO/IEC27001）」が、国際標準として規格化されていて、日本国内でも採用する企業が増えています。
では、実際に情報セキュリティとは何を指すのでしょうか？一般的には以下の3つに関する脅威から情報資産を保護することだと言われています。
・機密性（Confidentiality）
許可された者だけが情報資産にアクセスできるようにすることを指します。
・完全性（Integrity）
保有する情報が正確であり、それらを完全な状態で保持することです。具体的には、書き換えられたり、破壊されたりしないように保護することを指します。
・可用性（Availability）
情報が完全に外部からシャットアウトされていれば、漏洩の危険性は減るでしょう。しかしそれでは情報資産としての価値がなくなってしまいます。可用性とは情報資産にアクセスを許可された者が、その情報をいつでも安定して利用する事ができることを指します。
企業や組織は様々な金銭や設備、人材など包括しており、近年ではそこに情報という資産が加わっています。
他の資産と異なり、情報はなかなか目に見えず、その窃取の方法も多岐にわたるため、情報が改ざんされたり、抜き取られたり、破壊されたりと行った犯罪に気づきにくいようになっています。
それだけに、他の資産以上の危機意識を持って情報資産という企業活動にとって非常に重要なものを保護していく体制を整える必要があるのです。