É indicado apenas para a elaboração de processos de gestão de segurança.

Descreve todas as características dos processos que devem existir em uma organização para assegurar uma boa segurança de sistemas, mas não define níveis de maturidade para os processos.

Estão sendo identificadas e estudadas as métricas de processo e de segurança.

Foi criado para ser aplicado apenas no desenvolvimento de projetos de software.

Aplica-se apenas a pequenas e médias organizações privadas que possuem um número reduzido de processos.