Security Management beginnt immer bei der Risikoanalyse. Aus ihr leitet sich die Security Policy ab, die zu konkreten Maßnahmen führt. Aber nicht nur die einzelnen Maßnahmen, sondern der gesamte Prozess ist laufend zu kontrollieren, zu verifizieren und zu aktualisieren.