بدأت المؤسسات بجميع أنواعها بالاهتمام بشكل كبير بالتهديدات التي يمكن أن تواجه أمن المعلومات وإدارتها أصبحت ذات اهتمام أساسي من قبل أقسام تكنولوجيا المعلومات التابعة لها. وستقوم المواصفة الدولية الجديدة ISO/IEC 27005:2008 التي تصف عملية إدارة معلومات أمن المخاطر و المهام المتعلقة بها بمساعجة تلك المنظمات في إدارة المخاطر.

 

قد تكون التهديدات عرضية أو متعمدة وقد يكون لها علاقة باستخدام أو تطبيق نظم تكنولوجيا المعلومات أو النواحي البيئية والفيزيائية التابعة لكتنولوجيا المعلومات. قد تأخذ هذه المخاطر أي شكل من أشكال سرقة المعلومات أو مخاطر متابعة الأعمال عن طريق الانترنت أو التجسس عن بعد أو سرقة المعدات أو الوثائق من خلال أي ظاهرة مناخية كالزلازل أو الحرائق او الفيضانات أو الحوادث الوبائية. قد ينتج عن هذه المخاطر العديد من الآثار السلبية على العمل مثل الخسارة المالية أو الضرر المادي أو ضياع خدمات الشبكات الرئيسية أو خسارة ثقة المستهلك نتيجة لفقدان إمداد الطاقة أو إخفاق معدات الاتصالات.

 

التهديد مجموعة مؤلفة من عدة متتابعات ناجمة عن وقوع حادث غير مرغوب فيه أو الاحتمال القوي لوقوع حادث ما. ويصف تقييم المخاطر نوعية وكمية التهديد ويمكن المدراء من تحديد أولوية المخاطر تبعا لإدراك جديتها أو غيرها من المعايير الموضوعة. إن المواصفة الدولية ISO/IEC 27005:2008 تقدم أرشادات حول إدارة مخاطر أمن المعلومات وتدعم المفاهيم العامر المحددة في هذه المواصفة.   

تم تصميم المواصفة الجديدة لمساعدة تطبيق المواصفة ISO/IEC 27005:2008 والتي تستند إلى طريقة إدارة المخاطر، معرفة المفاهيم والنماذج والعمليات والمصطلحات التي وضعتها المواصفة تعتبر هامه للفهم الكامل لهذه المواصفة الدولية.  
وتتألف العمليات من:

 

• تقـييم المخاطر.
• عــلاج المخاطر.
• قــبول المخاطر.
• ترابــط المخاطر.
• مراقبة المخاطر.

 

غير ان المواصفة المذكورة  لا تقدم أية معلومات محددة منهجيه لادارة المخاطر الأمنية. والامر متروك للمنظمة لتحديد نهج لادارة المخاطر، تبعا، على سبيل المثال، لنطاق المعلومات في نظام ادارة الامن، استنادا الى سياق ادارة المخاطر، او في قطاع الصناعة. يقول ادوارد همفرييس، رئيس فريق العامل الذي وضع المواصفة : "اليوم، معظم المنظمات تعترف بالدور الحاسم الذي تلعبه تكنولوجيا المعلومات في دعم اعمالها واهدافها مع ظهور شبكة الانترنت واحتمال اداء الاعمال التجارية على شبكة الانترنت. إن أمن نظم المعلومات أصبح في الصدارة، إن المواصفة المذكورة لها علاقة بالمدراء والموظفين المعنيين بإدارة مخاطر أمن المعلومات في نطاق المؤسسة. وأينما كان ذلك ممكنا.