O Sistema de Gestão da Segurança da Informação (SGSI) é a parte do sistema de gestão global, baseado na abordagem de riscos do negócio, para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar a segurança da informação.
A esse respeito, ao estabelecer o SGSI, a organização deve definir a abordagem de análise/avaliação de riscos