かつては、コンピュータ・システムのセキュリティ問題は、社内の一室に据えられたコンピュータの周辺範囲に限定されていました。そこでは社員だけがコンピュータを利用し、外部の者がシステムに接触する可能性は低かったのです。セキュリティ問題の多くの関心は、地震や火災などの自然災害に対する安全対策や、社内情報を外部のものが持ち出す可能性に対する監視対策、あるいは停電や操作ミス等によるディスク・クラッシュに対するデータ保護等の対策などでした。

しかし、今日のように、インターネットの利用が普及し、外部のネットワークへの接続が当たり前になってくると、社内だけのセキュリティ対策では不十分になってきました。電子メールの形でやってくるコンピュータ・ウィルスは日増しにその数と種類が増大しています。Ｗｅｂサーバーに対するクラッカーと呼ばれる不法侵入者によるホームページの改ざんや、データの漏洩なども増加しています。あるいは、インターネット上での取引データが傍受され、クレジット・カードの番号や個人情報などが犯罪者によって盗まれ、悪用されるというリスクも増大しています。

こうした様々な情報システムを脅かすリスクの増大に対して、企業のセキュリティ対策も、以前にも増して高度な対策が求められてきています。図１は、情報システムの脅威の種類と、それに対するセキュリティ対策を機能別に整理したものです。（出所：ＩＳＡＣＡ大阪支部・監査基準分科会）
　

この図で分かるように、セキュリティ対策を施す脅威は、「犯罪／不正行為」のみならず、「プライバシー保護」や「制御・エラー／人的災害／自然災害」などのジャンルに大別することができます。これらの各脅威は、一般的に考えられる脅威を網羅的にまとめたものになっていますが、企業の置かれている環境によって、その脅威の存在領域は異なってくるのは言うまでもありません。