SSE-CMM แสดงเป็นโมเดลอ้างอิงกระบวนการ (Process Reference Model) มัน tập trung vàoความจำเป็นสำหรับการดำเนินการความปลอดภัย (Executing Security) ในระบบหรือลำดับของระบบที่เชื่อมต่อกันซึ่งเป็นข้อมูล (The Information) SSE-CMM เป็นกรอบทั่วไป (General Framework) สำหรับการดำเนินการวิศวกรรมความปลอดภัย (Security Engineering) ภายในองค์กร หากเป็นไปได้ร่วมกับ CMMs การผลิตอื่นๆ
SSE-CMM กำหนดเป้าหมายและกิจกรรมที่บรรจุอยู่ในกระบวนการเหล่านี้ ถูกบรรลุจากการนำกิจกรรมเหล่านี้ไปใช้ และความสุกของกระบวนการ (Process Maturity) SSE-CMM ไม่ให้แนวทางปฏิบัติสำหรับมेथอดโอลอจีหรือกระบวนการเฉพาะที่จะถูกใช้ คุณค่าของมันอยู่ที่การบูรณาการ (Integration) ของกระบวนการปัจจุบันในองค์กรกับกระบวนการที่บรรจุอยู่ในโมเดล
นอกจากนี้ ขึ้นอยู่กับวัตถุประสงค์และเป้าหมายของแต่ละองค์กร มีกระบวนการหลายอย่างภายใน SSE-CMM ที่ไม่สามารถนำไปใช้ในบริบทที่กำหนดได้ เพื่อเหตุผลนี้ องค์กรควรศึกษาความสัมพันธ์ระหว่างแนวทางปฏิบัติหลายอย่างภายในโมเดลอย่างระมัดระวัง เพื่อตัดสินใจความเหมาะสมตามความต้องการของพวกเขา
โมเดล SSE-CMM ถูกแบ่งออกเป็นสองพื้นที่ที่แตกต่างแต่เกี่ยวข้องกัน (Inter-related) หรือมิติ (Dimensions) เช่น โดเมน (Domain) และความสามารถ (Capability) พื้นที่กระบวนการและกิจกรรมที่แตกต่างกันถูกกำหนดสำหรับทั้งสองส่วน แนวทางปฏิบัติที่เกี่ยวข้องกับโดเมน (Domain-related Practices) ถูกกำหนดทิศทางไปยังโดเมนความปลอดภัย ในขณะที่แนวทางปฏิบัติความสามารถ (Capability Practices) เป็นทั่วไปกว่าและใช้กับช่วงโดเมนกว้าง ความสามารถมิติ (Capability Dimension) กำหนดแนวทางปฏิบัติที่แสดงการจัดการกระบวนการ (Process Management) และการสถาปนาให้เป็นสถาบัน (Institutionalization) ของความสามารถ
SSE-CMM สร้างขึ้นบนงานของเดมิง (Deming) เหมือนกับ CMMs อื่นๆ ที่ทำ มุ่งเน้นการกำหนดกระบวนการและการปรับปรุง (Process Definition and Improvement) เป็นค่านิยมหลัก
SSE-CMM มองที่ลักษณะของข้อบกพร่องความปลอดภัย (Security Defects) หรือเหตุการณ์ (Incidents) และขอระบุข้อบกพร่องในกระบวนการที่เกี่ยวข้อง เพื่อแก้ไขข้อบกพร่อง ดังนั้นจึงกำจัดข้อบกพร่องโดยรวม (Overall Fault) สามารถบรรลุการปรับปรุงในกระบวนการ กระบวนการเหล่านั้นควรคาดการณ์ได้ (Predictable) ด้วยผลลัพธ์ที่คาดการณ์ได้ (Predictable Outcomes) นอกจากนี้ การควบคุม (Controls) ควรถูกกำหนดและไม่นิยาม (Unstated) รอบๆ กระบวนการเหล่านั้น
SSE-CMM เป็นสถาปัตยกรรมที่ซับซ้อน ทดสอบได้ดี (Well-tested) สำหรับการบูรณาการเข้าไปในองค์กรที่เน้นวิศวกรรม (Engineering-oriented Organization) หากองค์กรดำเนินการวิศวกรรม เช่น ผ่านการพัฒนาผลิตภัณฑ์ (Product Development) แล้ว ความต้องการของ SSE-CMM โดยทั่วไปในการผสมผสานภายใน CMMs อื่นๆ จะมีค่ามาก
SSE-CMM ไม่ใช่การจับคู่ที่ดีที่สุดสำหรับองค์กรบริการ (Service Organizations) ที่ไม่ได้ประมวลผลฟังก์ชันวิศวกรรม แม้ SSE-CMM จะมีบทเรียนสำคัญแน่นอนที่จะสอนในแง่ของการจัดการความปลอดภัยข้อมูลอย่างครบถ้วน (Holistically) บทเรียนเหล่านั้นจะยากที่จะนำไปใช้ภายนอกบริบทวิศวกรรม
แนวทาง CMM เป็นเรื่องที่สมเหตุสมผลมาก แต่ก็ต่างดาวมากต่อวัฒนธรรมธุรกิจอเมริกัน เชื่อว่าเริ่มต้นด้วยการวิเคราะห์สถิติของกระบวนการ และจากนั้นใช้สถิติเหล่านั้นเพื่อแยกข้อบกพร่องภายในกระบวนการเหล่านั้น ไปสู่วัตถุประสงค์สุดท้ายของการได้รับข้อมูลเชิงลึกที่ดีขึ้นเกี่ยวกับกระบวนการ และส่งเสริมสภาพแวดล้อมการปรับปรุงคุณภาพต่อเนื่อง (Continuous Quality Improvement) เกี่ยวกับกระบวนการ
