La realització de el Pla Director de Seguretat és important dividir-la en dues fases:

1. ANÀLISI. Consisteix a conèixer la situació actual de l'organització en matèria de seguretat. Per a això es duran a terme diferents anàlisis considerant aspectes tècnics, organitzatius, regulatoris i normatius, entre d'altres. És important reunir la informació necessària per conèixer l'organització i avaluar la seva situació actual.

Els següents passos ens permetran obtenir coneixement per:

- Identificar els actius d'informació de l'organització, cada un dels quals estarà exposat a unes amenaces determinades i tindrà unes vulnerabilitats associades.

- De el pas anterior, que ens descriu l'estat de l'actiu, obtenim el risc intrínsec. És a dir, el risc a què està exposat l'actiu «per defecte» abans de l'aplicació dels controls específics.

- El pas següent, és determinar la probabilitat de materialització d'un risc intrínsec, que donarà com a resultat un impacte, és a dir, les conseqüències que té per a l'organització la materialització de l'amenaça.

- A continuació, hem d'identificar aquells riscos que, per la seva probabilitat, impacte o tots dos, no són acceptables per a la nostra organització. Aquesta decisió hem de prendre-la d'acord a l'estratègia corporativa i en funció dels riscos que estiguem disposats a assumir.

2. ACCIONS. Un cop analitzada la situació actual en termes de seguretat i identificats els actius que tenim en situació de risc, consisteix a determinar el nivell de risc acceptable: el valor llindar que determina els riscos que han de ser tractats i els riscos que no són assumibles, i en base a això:

- Definir les accions, iniciatives i projectes necessaris per a assolir el nivell de seguretat que l'organització requereix.

- Determinar les iniciatives dirigides a millorar els mètodes de treball actuals, perquè contemplin els controls establerts pel marc normatiu i regulador.

- Posar en marxa un conjunt d'accions relacionades amb l'absència o insuficiència que hem detectat.

- Definir l'estratègia a seguir així com els projectes més adequats per gestionar els riscos situats per sobre del nostre risc acceptable.