SSE-CMM được biểu diễn như một mô hình tham chiếu quy trình (process reference model). Nó tập trung vào yêu cầu thực thi bảo mật trong một hệ thống hoặc chuỗi các hệ thống kết nối là Thông tin (Information). SSE-CMM là một khung chung để thực thi kỹ thuật bảo mật (security engineering) bên trong một tổ chức; nếu có thể kết hợp với một số CMMs sản xuất.
SSE-CMM định nghĩa các mục tiêu và các hoạt động chứa trong những quy trình đó, được đạt được từ việc triển khai các hoạt động này và sự trưởng thành của quy trình. SSE-CMM không cung cấp hướng dẫn cho một phương pháp hoặc quy trình cụ thể để sử dụng; tiện ích của nó nằm ở sự tích hợp các quy trình hiện tại trong tổ chức với những quy trình chứa trong mô hình.
Hơn nữa, tùy thuộc vào mục tiêu và mục đích của mỗi tổ chức, có nhiều quy trình trong SSE-CMM không thể áp dụng trong bối cảnh xác định. Vì lý do này, tổ chức nên nghiên cứu kỹ mối quan hệ giữa nhiều thực hành trong mô hình để quyết định tính áp dụng theo nhu cầu của họ.
Mô hình SSE-CMM được chia thành hai khu vực khác nhau nhưng liên quan hoặc các chiều (dimensions) như: domain (lĩnh vực) và capability (năng lực). Các khu vực quy trình và hoạt động khác nhau được định nghĩa cho cả hai phần. Các thực hành liên quan đến domain được điều chỉnh về lĩnh vực bảo mật trong khi các thực hành capability chung hơn và áp dụng cho một phạm vi rộng các domain. Chiều capability định nghĩa các thực hành biểu thị quản trị quy trình và thể chế hóa năng lực.
SSE-CMM xây dựng trên công trình của Deming giống như các CMMs khác đã làm, tập trung vào định nghĩa quy trình và cải tiến như một giá trị cốt lõi.
SSE-CMM nhìn vào sự xuất hiện của khiếm khuyết bảo mật (security defects), hoặc sự cố (incidents), và yêu cầu xác định lỗi trong quy trình liên quan để khắc phục lỗi, do đó loại bỏ lỗi tổng thể. Nó có thể đạt được cải tiến trong quy trình, những quy trình đó nên được dự đoán, với kết quả có thể dự đoán. Hơn nữa, các kiểm soát nên được định nghĩa và không ngầm xung quanh những quy trình đó.
SSE-CMM là kiến trúc phức tạp, được kiểm tra tốt để tích hợp vào tổ chức hướng kỹ thuật (engineering-oriented). Nếu tổ chức thực hiện kỹ thuật, như qua phát triển sản phẩm, thì nhu cầu SSE-CMM, thường trong sự hòa hợp trong các CMMs khác, sẽ rất có giá trị.
SSE-CMM không phải là sự phù hợp tốt nhất cho tổ chức dịch vụ không xử lý chức năng kỹ thuật. Mặc dù SSE-CMM chắc chắn có bài học quan trọng để dạy về quản trị an ninh thông tin toàn diện, những bài học đó sẽ khó thực hiện bên ngoài bối cảnh kỹ thuật.
Cách tiếp cận CMM rất hợp lý, nhưng rất xa lạ với văn hóa kinh doanh Mỹ. Nó được tin là bắt đầu với phân tích thống kê của quy trình, và sau đó dùng những thống kê đó để cô lập khiếm khuyết bên trong những quy trình, hướng tới mục tiêu cuối cùng là获得 cái nhìn sâu sắc hơn vào quy trình và nuôi dưỡng môi trường cải tiến chất lượng liên tục về quy trình.