ما هي إدارة المخاطر ؟
إدارة المخاطر أو إدارة المخاطرة أو إدارة الخطر هي عملية قياس وتقييم للمخاطر وتطوير إستراتيجيات لإدارتها. تتضمن هذه الإستراتيجيات نقل المخاطر إلى جهة أخرى وتجنبها وتقليل آثارها السلبية وقبول بعض أو كل تبعاتها. كما يمكن تعريفها بأنها النشاط الإداري الذي يهدف إلى التحكم بالمخاطر وتخفيضها إلى مستويات مقبولة. وبشكل أدق هي عملية تحديد وقياس والسيطرة وتخفيض المخاطر التي تواجه الشركة أو المؤسسة.
نظام إدارة أمن المعلومات ISMS هو مجموعة من السياسات المعنية بإدارة أمن المعلومات أو أنها ذات صلة بالمخاطر المتعلقة بالمعلومات. 
المبدأ الذي يحكم نظام إدارة امن المعلومات هو أن المنظمة ينبغي عليها تصميم وتنفيذ والحفاظ على مجموعة مترابطة من السياسات والعمليات ونظم إدارة المخاطر لأصولها في مجال المعلومات الخاصة بها، وبالتالي ضمان مستويات مقبولة من مخاطر أمن المعلومات.
كما هو الحال مع جميع العمليات الإدارية، يجب على نظام إدارة أمن المعلومات ان تظل فعالة وتتسم بالكفاءة على المدى الطويل ،و التكيف مع التغيرات في البيئة الخارجية وتنظيمها الداخلي. ولذلك أدرجت مواصفة ( ISO / IEC 27001:2005) دورة "Plan-Do-Check-Act" أو خطط نفذ تحقق صحح، أو (خطط - إعمل - دقق - نفذ).