A figura acima, obtida da norma ABNT NBR ISO/IEC 27001:2006,...

Na implementação do SGSI, as atividades do fluxo apresentado na figura desenvolvem-se de forma estritamente sequencial.

A implementação da política de segurança da organização inicia- se, no modelo apresentado, durante a fase Do.

A implementação de programas de conscientização e treinamento de segurança ocorre durante a fase Check.

Vários aspectos relativos à gestão de riscos de segurança são definidos durante a fase Plan, especialmente: escolha da metodologia específica de análise e avaliação de riscos da organização; identificação de ativos, ameaças, vulnerabilidades e controles em uso; avaliação de opções para tratamento de riscos; e preparação de uma lista de decisões relativas ao tratamento de riscos.

Uma equipe de resposta a incidentes tipicamente atua durante a fase Act.