我们知道系统安全工程是基于系统工程的一套科学的方法论。该方法论涵盖了组织做安全管理所涉及的过程、步骤和方法。每个组织在执行具体的安全管理过程中，也会结合组织现有需要解决的实际安全问题和组织当前的管理成熟度来具体诠释系统安全工程在特定组织的落地方法。

  由于不同组织执行安全管理的执行力和资源投入是不同的，我们需要一个标准化的评估体系来客观和全面地评价一个组织在实施系统安全的能力成熟度。SE-CMM就是用来进行系统安全工程能力成熟度评估的模型。

  SSE-CMM模型描述了一个组织的系统安全工程过程必须包含的公共特征，这些公共特征是证明组织在实施安全工程的保证证明，也可以作为测试特定组织在实施系统安全工程的度量（测评）标准。基于每个提供系统安全产品、服务或解决方案的系统安全工程实施方，我们都可以基于SSE-CMM模型标准来对其实施能力进行合理判断。这样，系统安全工程的获取组织（也就是甲方）可以降低选择不合规安全供应商的风险。SSE-CMM模型对于安全工程的实施组织（也就是乙方）也是有好处的，其所获得的SSE-CMM成熟度等级是安全实施能力的有利佐证。SSE-CMM模型所要求的公共特征为安全工程实施组织明确了其当下和未来的改进方向。

   SSE-CMM模型是一个两维的评价模型，分别称为“域维”和“能力维”。SSE-CMM模型的第一个维度是域维。域维包括很多过程域（Process Area,PA）,每个过程域都包括一组基本实践（Base Practice,BP）。我们可以认为基本实践是为了实现特定过程域目标的必要步骤，而且这些步骤是强制实施的。SSE-CMM模型的第二个维度是能力维，能力维一般是5级，这与软件开发成熟度模型CMM的能力成熟度评级标准相一致。安全工程的实施组织所能评到的能力级别，与该组织所拥有的针对不同级别所必须具有的公共特征直接相关。我们可以针对域维中过程域进行能力级别评估，不同能力级别会强制要求具备必要的公共特征。比如一个过程域如果要评为三级的话，其所对应的公共特征描述为“针对该过程域的基本实践是已经充分定义的标准过程，过程已经被制度化，确保重复执行该过程可以达成一致性的（同样的）效果”。

  SSE-CMM的测评举例如下​：

  我们可以针对安全工程实施组织的多个过程域进行测评，测评的结果可以基于木桶定律来综合评分。也就是一个组织的安全工程实施能力以其打分最少的过程域来计量其成熟度级别。比如某个安全工程实施组织被测了5个过程域，其中4个过程域的评级为3级，有1个过程域的评级为1级。那么，该组织的SSE-CMM评级为1级。

  总之，SSE-CMM模型是一套可以用来检验系统安全工程实施成熟度的方法论，无论是对于安全工程获取组织（甲方）、安全工程实施组织（乙方）和第三方测评机构都有其现实的意义。我们可以把SSE-CMM模型与我们所熟知的CMM模型进行横向比较学习，获得更多意想不到的收获。