ＩＳＭＳ（情報セキュリティマネジメントシステム）は、実行されてはじめて実効があります。膨大な情報資産を多様な脅威から高いレベルで守るようにするには、非常な作業が必要です。そのため、当初から理想的な状態にすることは困難です。
対象範囲の拡大、レベルの向上のためには、継続的な活動として発展させることが重要です。それには，「策定－導入－運用－評価・見直し」のＰＤＣＡサイクル（Plan-Do-Check-Act/Action）をまわして、発展させるとが必要なのです。
Ｐ：ＩＳＭＳの確立
Ｄ：ＩＳＭＳの導入及び運用
Ｃ：ＩＳＭＳの監視およびレビュー
Ａ：ＩＳＭＳの維持及び改善
