La sécurité de l’information est un moteur essentiel pour la protection de la vie privée et des données à caractère personnel. De plus, la plupart des organisations doivent faire face à un paysage en perpétuelle mutation affectant leurs activités. Les incertitudes engendrées par de tels changements auront une incidence sur la manière dont l'organisation doit réagir afin de s'assurer que ses informations sont dûment protégées. Par conséquent, un cadre spécifique permettant aux responsables de la sécurité de l'information de gérer les incertitudes susceptibles d'affecter, avec le temps, la sécurité des informations de leur organisation est nécessaire. Un tel cadre d'organisation spécifique est qualifié de processus de gestion des risques relatifs à la sécurité des systèmes d'information.
Il existe trois éléments généralement acceptés pour assurer de façon adéquate la sécurité de l’information :
- la confidentialité : afin que seules les bonnes personnes aient accès à l’information ;
- l’intégrité : afin que seules les bonnes personnes puissent actualiser les informations de façon adéquate ; et
- la disponibilité : les informations sont disponibles lorsqu’elles sont nécessaires.