Neste nível, os processos de segurança da informação são informais, improvisados e reativos. Não há uma política de segurança definida, nem um planejamento estratégico. Os incidentes de segurança são frequentes e as ações corretivas são tomadas de forma pontual e sem análise de causa raiz. A segurança da informação depende da competência e da iniciativa de alguns indivíduos, mas não é uma prioridade para a organização.

Neste nível, os processos de segurança da informação começam a ser documentados, padronizados e monitorados. Há uma política de segurança definida, mas ainda não é totalmente implementada e seguida. Os incidentes de segurança são registrados e analisados, mas as ações preventivas e de melhoria ainda são limitadas. A segurança da informação é reconhecida como uma necessidade, mas não há uma visão integrada e alinhada com os objetivos do negócio.

Neste nível, os processos de segurança da informação são formalizados, estruturados e integrados. Há uma política de segurança implementada e seguida, bem como um plano de segurança que define objetivos, responsabilidades, recursos e indicadores. Os incidentes de segurança são gerenciados de forma proativa e sistemática, com ações preventivas e de melhoria contínua. A segurança da informação é considerada como um fator crítico de sucesso e está alinhada com a estratégia do negócio.

Neste nível, os processos de segurança da informação são medidos, avaliados e otimizados. Há uma política de segurança revisada e atualizada, bem como um plano de segurança que é monitorado e ajustado de acordo com os resultados. Os incidentes de segurança são reduzidos e controlados, com ações de melhoria baseadas em dados e análises estatísticas. A segurança da informação é tratada como um processo de melhoria contínua e está alinhada com os requisitos e as expectativas dos clientes e das partes interessadas.

Neste nível, os processos de segurança da informação são inovadores, adaptativos e antecipatórios. Há uma política de segurança que reflete as melhores práticas do mercado, bem como um plano de segurança que é revisado e atualizado de forma dinâmica e preditiva. Os incidentes de segurança são prevenidos e mitigados, com ações de melhoria baseadas em aprendizado e inteligência. A segurança da informação é tratada como um diferencial competitivo e está alinhada com as oportunidades e os desafios do negócio.