L’organisation d’une entreprise est composée d’un ensemble d’activités métiers qui reposent sur des processus et équipements physiques et logiques (applications, infrastructure, locaux, mobilier…). Ils seront classés par ordre d’importance en termes de disponibilité, d’intégrité et de confidentialité afin de qualifier de façon quantitative et/ou qualitative là où les risques se situent et ainsi de pouvoir protéger ce que l’entreprise a de plus cher à ses yeux (patrimoine). Tous les événements impactant sont pris en compte, qu’ils soient considérés rares (inondations, séismes, actes terroristes) ou plus fréquents (attaque informatique, panne matérielle, absence de personnel…). Les aspects humains sont également traités (embauche, formation…), ainsi que les risques associés (erreur de manipulation, malveillance…).

L’implémentation du SMSI est appliquée sur la globalité ou sur un périmètre particulier du système d’information à protéger. Il fonctionne sur le modèle itératif du « PDCA » : « Plan », « Do », « Check », « Act » (en français « Planifier », « Développer », « Contrôler », « Agir »). La performance du système mis en place doit être surveillée, revue et améliorée, par exemple les audits internes produiront des plans d’action à appliquer pour les équipes.