互联网应用系统安全能力成熟度模型由能力要素、能力成熟度等级、能力建设过程三个维度构成。能力要素包括机构建设、制度流程、技术工具和人员能力。能力成熟度等级划分为五级,具体包括:1级是基础建设级,2级是规范防护级,3级是集成管控级,4级是综合协同级,5级是智能优化级。能力建设过程包括核心保护对象安全和通用安全。核心保护对象安全包括:通信安全、网络边界安全、计算环境安全、数据安全、个人信息安全5个过程类;通用安全包括:安全规划与架构、人员管理与培训、物理与环境安全、监测预警与应急响应、供应链安全保障5个过程类。具体要求见第6章和第7章内容。根据不同等级能力要求各不相同,各方向具体要求见标准附录A-C。依据组织机构的互联网应用系统安全能力成熟度分为一级、二级、三级、四级、五级,其中五级最高,一级最低。