L’Information Security Risk Management risponde alla necessità di gestire in modo efficace il processo per l’identificazione, il controllo, l’eliminazione o minimizzazione di eventi incerti che possono danneggiare le risorse di un sistema informativo. La norma internazionale ISO/IEC 27005:2008, fornisce le linee guida per la gestione del rischio associate alla sicurezza delle informazioni, in particolare secondo i requisiti del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) definiti nella norma ISO/IEC 27001 con la quale si integra in modo decisamente fondamentale. Questo standard non fornisce una specifica metodologia per la gestione del rischio ma ha il pregio di fare chiarezza su come gestire i processi.