組織運営および情報システムを取り巻く環境は、トラフィック増大によるレスポンスの低下、ハッカーによる不正アクセス、リテラシ不足による情報流出等さまざまな問題や脅威に取り囲まれている。しかし、技術の進歩はネットワークをより多機能化・複雑化させており、これら不安の根本原因を究明して対策をうつのは容易なことではない。
一方、各企業の情報セキュリティ対策については、
　・情報セキュリティ意識に個人差がある
　・急激に変化するIT環境に対応した情報セキュリティの人材が絶対的に不足している
　・現場は、日々、事故対応・障害対応に追われている
等の問題が指摘されている。
　JNSA¹が毎年公開している「情報セキュリティインシデントに関する調査報告書」によると、外部脅威に比べて、内部過失や内部悪意による事故が増加しており［図1］、特に内部悪意によって、大量の情報が漏洩している現実がうかがえる［図2］。

※¹ NPO日本ネットワークセキュリティ協会（http://www.jnsa.org）

※² ［図1］［図2］とも、JNSA 2006年 情報セキュリティインシデントに関する調査報告書より引用

　内部統制も情報セキュリティも本来「あたりまえ」のこと。結果はもとより、そのプロセスが問われている。ルール（セキュリティポリシ）を作り、ルールの遵守状況や例外処置を常に把握・管理（モニタリング）し、改善していくという計画的かつ組織的な活動が不可欠なのである。
　なお情報セキュリティはコストがかさむ実用技術である。しかし有効活用できれば、企業価値を高め、すぐれた貢献が期待できる。その意味で、今やセキュリティコストは経営コストととらえるべきだ。
　なおリスクベース概念の利用は、網羅性と同時に実施計画立案に役に立つ［図4］。リスクを考慮した重み付けと、それに従ったマネジメントで、組織に見合ったコントロールを効率的に実施することができる。