Política de segurança da informação (PSI) escrita para gaveta é ficção corporativa. A ANPD, em fiscalizações recentes, avalia se a PSI reflete controles reais — não retórica. Este template cobre as seções mínimas exigidas para conformidade com LGPD arts. 46 (segurança dos dados), 47 (dever de sigilo), 48 (comunicação de incidente) e 49 (padrões técnicos e administrativos). Adapte, não copie.

Como usar

Copie o bloco abaixo em um documento markdown ou Word, substitua o que estiver entre <> e revise com o DPO e o jurídico. Cada seção tem uma explicação técnica logo depois.

# POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
Versão: 1.0
Vigência: <data>
Aprovada por: <CEO/Diretoria>
Revisão: anual ou por evento relevante

## 1. OBJETIVO E ESCOPO
Esta Política estabelece princípios, diretrizes e responsabilidades
para proteção da informação da <EMPRESA>, incluindo dados pessoais
tratados sob a Lei 13.709/2018 (LGPD). Aplica-se a colaboradores,
terceiros, sistemas e ativos de informação sob controle da empresa.

## 2. DEFINIÇÕES
- Ativo de informação: qualquer recurso que armazene, processe ou
  transmita informação.
- Dado pessoal: LGPD art. 5, I.
- Dado sensível: LGPD art. 5, II.
- Incidente: evento adverso confirmado que compromete confidencialidade,
  integridade ou disponibilidade.

## 3. PRINCÍPIOS
3.1 Confidencialidade, integridade e disponibilidade.
3.2 Menor privilégio.
3.3 Segurança por padrão e desde a concepção (LGPD art. 46 §2).
3.4 Rastreabilidade.
3.5 Continuidade dos negócios.

## 4. PAPÉIS E RESPONSABILIDADES
4.1 Controlador dos dados: <RAZÃO SOCIAL>.
4.2 Encarregado (DPO): <NOME>, contato: <EMAIL>.
4.3 Comitê de Segurança: CEO, CTO, DPO, Jurídico. Reúne-se
    trimestralmente e a cada incidente S1.
4.4 Gestor de sistemas: responsável pela aplicação técnica dos
    controles no seu domínio.
4.5 Colaborador: cumpre a política e reporta incidentes ao
    security@<empresa>.

## 5. CLASSIFICAÇÃO DA INFORMAÇÃO
5.1 Pública: informação divulgada oficialmente.
5.2 Interna: uso interno, sem impacto se vazada.
5.3 Confidencial: acesso restrito por necessidade.
5.4 Restrita: dados pessoais sensíveis, credenciais, propriedade
    intelectual crítica.

## 6. CONTROLES TÉCNICOS (LGPD art. 46 e 49)
6.1 Autenticação com MFA obrigatório para acesso a sistemas
    contendo dados classificados como Confidencial ou Restrito.
6.2 Criptografia em trânsito com TLS 1.2+ e em repouso com
    AES-256 para dados pessoais.
6.3 Segregação de ambientes (dev/staging/prod) com controles
    de acesso distintos.
6.4 Gestão de vulnerabilidades: varredura contínua com
    remediação conforme SLA:
    - Crítico: 7 dias
    - Alto: 30 dias
    - Médio: 90 dias
6.5 Logs de acesso e transações mantidos por, no mínimo,
    6 meses (LGPD art. 37).
6.6 Backup diário com teste de restauração trimestral.
6.7 Gestão de secrets em cofre corporativo, proibido em código.

## 7. CONTROLES ADMINISTRATIVOS
7.1 Onboarding: acordo de confidencialidade, treinamento LGPD
    e segurança em até 30 dias.
7.2 Offboarding: revogação de acessos em até 24h.
7.3 Revisão de acessos a cada 90 dias.
7.4 Uso aceitável descrito em documento anexo.

## 8. DESENVOLVIMENTO SEGURO
8.1 Threat modeling em features que envolvam dado pessoal.
8.2 Análise estática (SAST) e dinâmica (DAST) no pipeline.
8.3 Revisão de código obrigatória por segundo desenvolvedor.
8.4 Pentest anual por terceiro independente.

## 9. TERCEIROS E OPERADORES (LGPD art. 39)
9.1 Devida diligência antes da contratação.
9.2 Contrato com cláusulas de proteção de dados.
9.3 Direito de auditoria.
9.4 Reporte imediato de incidente pelo operador.

## 10. RESPOSTA A INCIDENTE (LGPD art. 48)
10.1 Processo formal em Runbook anexo.
10.2 Notificação à ANPD em até 48h após conhecimento de
     incidente que possa gerar risco relevante aos titulares.
10.3 Comunicação aos titulares quando o risco for confirmado.
10.4 Post-mortem obrigatório em 30 dias.

## 11. RETENÇÃO E DESCARTE (LGPD art. 15, 16)
11.1 Retenção conforme finalidade e obrigação legal.
11.2 Descarte seguro após término da retenção.
11.3 Direitos do titular atendidos em até 15 dias.

## 12. CONTINUIDADE
12.1 Plano de continuidade revisado anualmente.
12.2 RTO/RPO definidos por sistema crítico.

## 13. TREINAMENTO E CULTURA
13.1 Onboarding obrigatório.
13.2 Reciclagem anual.
13.3 Simulações de phishing trimestrais.

## 14. NÃO CONFORMIDADE
Descumprimento pode resultar em medidas disciplinares e/ou legais.

## 15. VIGÊNCIA E REVISÃO
Anual ou por evento relevante (incidente, mudança regulatória,
mudança arquitetural).

Explicação por seção

Seções 1-2: definem escopo e vocabulário. LGPD tem definições próprias — use as do art. 5, não invente.

Seção 3: princípios têm força normativa dentro da empresa. Cite security by design explicitamente porque o art. 46 §2 exige.

Seção 4: responsabilidade sem nome é responsabilidade de ninguém. DPO tem que ser pessoa física identificada, canal público e reporte à alta direção (Resolução CD/ANPD 4/2023).

Seção 5: classificação simples. Quatro categorias funcionam para 90% das empresas. Cada nível dispara controles específicos.

Seção 6: onde a fiscalização olha primeiro. Deixe SLAs explícitos — vago é pior que nenhum. MFA em Confidencial/Restrito é padrão de mercado 2026.

Seção 7: offboarding em 24h é a métrica que audit externo pega. Sistemas com credencial órfã são o vetor #1 de ex-funcionário adversário.

Seção 8: desenvolvimento seguro precisa de controle mensurável. SAST/DAST não são retórica — são obrigação técnica que o art. 46 exige na prática.

Seção 9: operadores (art. 39) são responsabilidade compartilhada. Sem contrato robusto, o controlador fica com todo o passivo.

Seção 10: o gatilho de 48h vira o timer da crise. Amarre no playbook de resposta a incidente.

Seções 11-13: retenção limitada, plano de continuidade e treinamento fecham o ciclo. Phishing simulado trimestral é ROI comprovado.

Seções 14-15: sem consequência, política é decoração. Sem revisão anual, PSI vira arqueologia.

Auditoria interna: checklist mensal

• Todos os sistemas com dado pessoal têm MFA?
• Backup foi testado no último trimestre?
• Reviews de acesso foram feitos nos últimos 90 dias?
• Treinamento de novos colaboradores está em dia?
• Findings críticos estão dentro do SLA?

Compare com o checklist LGPD de 15 pontos — a PSI é o guarda-chuva, o checklist é o operacional.

Prova técnica é o que a ANPD pede

PSI sem evidência é papel. Manter varredura contínua com histórico auditável de findings e remediações fornece exatamente o tipo de prova técnica que o art. 46 exige. A Varredura registra cada finding com timestamp e status de remediação, gerando relatório auditável. Rode agora e transforme sua PSI em política com prova.