O Plano Diretor de Segurança da Informação (PDSI) define onde a segurança da organização está hoje, onde precisa chegar e em que ordem as iniciativas serão executadas, com prazo, responsável e orçamento. É um plano plurianual, normalmente de três a cinco anos, revisado todo ano.
O ponto de partida diferencia um PDSI útil de um documento arquivado. Quando o diagnóstico vem de questionário respondido pelo próprio time, o plano reflete o que a empresa acredita sobre si. Quando vem de teste, reflete o ambiente real.
PDSI, política e plano de segurança: qual a diferença?
A política de segurança da informação estabelece as regras: o que é permitido, proibido e obrigatório. O plano de segurança reúne os procedimentos operacionais para executar essas regras. O PDSI é o plano de evolução: o que construir, em que ordem e a que custo.
A distinção evita uma compra equivocada. Quem contrata um PDSI e recebe um conjunto de políticas fica com regras de comportamento, mas sem a definição de onde investir.
O que compõe um PDSI
Na metodologia da Vultus, o plano reúne oito componentes:
- Red Team Assessment: um teste de intrusão no ambiente real para identificar o risco que existe de fato.
- Diagnóstico de maturidade: avaliação contra NIST CSF 2.0, ISO 27001 e CIS Controls, com as 106 subcategorias do NIST avaliadas em cinco níveis.
- Diagnóstico executivo de riscos: cenários que cruzam agentes de ameaça, eventos e incidentes, calibrados por probabilidade e impacto.
- Mapeamento de processos: comparação com uma cadeia de valor de 40 processos de referência em segurança.
- Diagnóstico de tecnologia: camadas de proteção do perímetro à nuvem, com visão atual e futura.
- Estrutura de segurança: dimensionamento do time e nível de reporte do responsável por segurança.
- Indicadores e rituais de gestão: KPIs estratégicos, táticos e operacionais, com os comitês que acompanham cada um.
- Roadmap: iniciativas em ondas anuais, com orçamento por onda.
Em que ordem construir o plano
A sequência importa. Diagnosticar antes de testar produz um plano que corrige o que a empresa já sabia e deixa de fora o que ninguém tinha visto. Por isso o teste vem primeiro, seguido da medição de maturidade contra um framework reconhecido.
Depois vêm a definição do apetite ao risco, o mapeamento da lacuna entre o que existe e o que precisa existir, a priorização por impacto e urgência e a distribuição das iniciativas em ondas com orçamento. Um PDSI com Red Team incluso leva cerca de oito semanas.
Por que muitos planos travam na governança
O Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações de 11 setores, mediu a maturidade por pilar numa escala de 0 a 5: tecnologia em 1,87, pessoas em 1,67, processos em 1,62 e governança em 1,48. Pelas funções do NIST, o esforço se concentra em proteger (1,94) e detectar (1,82).
O mesmo estudo encontrou processo estruturado de continuidade de negócio em apenas 23% das organizações. A camada que decide prioridade e sustenta o ritmo de execução é justamente a que o plano diretor deveria construir.
O cenário externo também pede planejamento de longo prazo. O Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, aponta que 94% dos líderes esperam que a IA seja a força mais relevante na cibersegurança em 2026 e que 64% das organizações já consideram ataques motivados por geopolítica em suas estratégias de risco.
Erros que fazem o plano parar
Os erros mais frequentes são um plano sem orçamento, todas as iniciativas na primeira onda, iniciativas sem responsável fora da área de segurança e ausência de ritual de acompanhamento depois da aprovação. O diagnóstico por autodeclaração completa a lista, porque o viés é otimista e o plano herda esse viés.
Para quem já tem um plano em vigor, o artigo 3 perguntas para a revisão do PDSI com eficiência orçamentária trata do ciclo de revisão.
PDSI ancorado em teste
A Vultus constrói o plano diretor a partir de um Red Team Assessment e transforma o diagnóstico num roadmap com orçamento, metas e governança. Conheça o Plano Diretor de Segurança da Informação da Vultus e veja como funciona a avaliação de maturidade.
