Se refera la toate masurile luate de o organizatie pentru a-si proteja informatiile sensibile. Se refera la realizarea unei analize de riscuri informationale in urma careia se decide ce masuri trebuie luate: masuri de securitate fizica, protejare informatii referitoare la resurse umane, masuri de securitate in zona IT, in scopul restrictionarii si protejarii accesului la informatiile organizatiei sau la informatiile clientilor detinute de organizatie. SMSI se refera printre altele si la crearea unui cadru de continuitate a afacerii in caz de dezastru, raportarea incidentelor de securitate aparute, conformarea cu cerintele legale (ex: licentierea tuturor software-urilor utilizate, punerea de parole pe statiile de lucru, protejarea arhivei si documentelor in format fizic/electronic, etc)

Aproximativ 60% din cerintele standardului se refera la masuri de protectie ale echipamentelor IT si de comunicatii intrucat majoritatea informatiilor se gasesc in acest mediu, in orice companie.

Spre deosebire de ISO 20000, se aplica in orice organizatie, indiferent de marime si tip de activitate.