情報資産

企業や組織が保有する価値のある情報の総称。顧客データ、技術情報、経営情報など、情報セキュリティの保護対象となるもの。

組織にとって価値のある情報及び情報を管理・処理するための資産。データ、ソフトウェア、ハードウェア、ネットワーク、文書、人材など幅広い資産が含まれる。情報セキュリティ管理の対象となる。

組織にとって価値があり、守るべき情報とその関連設備の総称。顧客データや設計図といった情報のほか、それを扱うハードウェア・ソフトウェア・記録媒体・人も含む。台帳を作って把握することが管理の出発点。

組織にとって価値があり保護すべき情報と、それを扱う仕組みの総称。顧客データや設計書といった情報そのもののほか、ハードウェア、ソフトウェア、記録媒体、人や役務も含む。台帳で洗い出し、重要度に応じて分類することが管理の出発点となる。

組織が保有する情報およびその情報を管理するための仕組み（情報システム、ネットワーク、設備等）の総称。情報セキュリティリスクアセスメントでは、保護すべき情報資産の特定が最初のステップとなる。

リスク特定、リスク分析、リスク評価のプロセス全体を指す。情報資産に対する脅威と脆弱性を洗い出し、リスクの大きさを算定し、対応の優先度を判断する。ISMSにおけるリスクマネジメントの中核プロセスである。

業務プロセスや人、システム、外部事象の不備によって損失が生じるリスク。情報システムの障害、事務ミス、不正行為、災害などが含まれ、金融機関の自己資本規制でも管理対象とされている。

国際情勢や紛争、経済制裁、法規制の変化によって事業やサプライチェーンが影響を受けるリスク。国家を背景としたサイバー攻撃や、特定国の製品・サービスの利用制限として情報セキュリティにも波及する。

損失を直接引き起こす事故や事象そのもの。火災、地震、盗難、システム障害などが該当する。損失の発生確率を高める背景的な条件であるハザードと区別して用いる。

ペリル（事故）の発生確率や損失の大きさを高める潜在的な要因・環境条件。老朽化した設備、施錠されない扉、教育不足などが該当し、リスク分析ではハザードの除去が対策の起点となる。

保険や補償の仕組みが存在することで当事者の注意が緩み、かえって事故や損失が起こりやすくなる状態。サイバー保険に加入したことを理由に対策を怠るような状況が該当し、免責や自己負担で抑制する。