Aunque existen varias plantillas disponibles (NIST ofrece una muy útil), un SSP típico contiene varios componentes centrales. Es un documento detallado, que suele tener entre 80 y más de 150 páginas, porque debe ser exhaustivo.

Las secciones clave de un SSP generalmente incluyen:

• Identificación del sistema: Información básica sobre el sistema, su nombre y su propósito.

• Entorno y límites del sistema: Una descripción de la misión del sistema, los datos que procesa y una definición clara de sus límites. Esto incluye diagramas de red, inventarios de hardware y software, y descripciones de cualquier conexión con otros sistemas.

• Implementación del control de seguridad: Este es el corazón del SSP. Esta sección detalla cómo se implementa cada control de seguridad requerido (por ejemplo, de NIST SP 800-171 o NIST SP 800-53). Si un control no está implementado, debe documentarse aquí.

• Roles y responsabilidades: Un esquema claro de quién es responsable de la seguridad del sistema, desde el propietario del sistema hasta los administradores.

• Plan de acción e hitos (POA&M): Si algún control de seguridad no está completamente implementado, el POA&M es un documento separado pero relacionado que da seguimiento al plan para corregir estas deficiencias. Describe la debilidad, la corrección planeada, los recursos necesarios y un cronograma para completarla.

• Referencias a políticas y procedimientos: El SSP frecuentemente hace referencia a otros documentos de seguridad clave, como un plan de respuesta a incidentes, un plan de gestión de configuración o los procedimientos de verificación del personal.

A los actores de amenazas les encanta encontrar los vacíos en un plan de seguridad. Un SSP incompleto u desactualizado suele indicar una organización con vulnerabilidades explotables.