ISM3 pretende alcanzar un nivel de seguridad definido,
también conocido como riesgo aceptable, en lugar de
buscar la invulnerabilidad.
ISM3 ve como objetivo de la seguridad de la información el
garantizar la consecución de objetivos de negocio.
ISM3 relaciona directamente los
objetivos de negocio (como
entregar productos a tiempo) de
una organización con los
objetivos de seguridad (como dar
acceso a las bases de datos sólo a
los usuarios autorizados)...
Algunas características
significativas de ISM3 son:
Métricas de Seguridad de la
Información - "Lo que no se puede
medir, no se puede gestionar, y lo
que no se puede gestionar, no se
puede mejorar"
Niveles de Madurez – ISM3 se adapta tanto a
organizaciones maduras como a emergentes mediante sus
cinco niveles de madurez,
Basado el Procesos - ISM3 v1.20 está basado en procesos,
lo que lo hace especialmente atractivo para organizaciones
que tienen experiencia con ISO9001 o que utilizan ITIL
como modelo de gestión de TIC.