Quanto tempo exige manter um SGSI: um orçamento honesto de horas
Antes da implementação da ISO 27001, os empresários perguntam pelo dinheiro; depois, pelo tempo: «Quantas horas por mês nos vai isto consumir?» Partilho números realistas da prática de acompanhamento de empresas de várias dimensões.
Atividades regulares e o seu orçamento
- Mensal (4–8 horas): revisão de incidentes e eventos, controlo de acessos (entradas/saídas), pequenas atualizações de documentos;
- trimestral (8–16 horas): revisão de riscos, verificação de fornecedores, métricas de SI, microformação da equipa;
- anual (3–6 dias): auditoria interna (checklist), revisão pela gestão, revisão de todas as políticas, preparação e passagem da auditoria de acompanhamento.
Total para uma empresa até 100 pessoas
Cerca de 0,2–0,4 FTE — ou seja, 1–2 dias por semana de uma pessoa que acumula o papel de gestor do SGSI com outra função (CTO, Head of Ops, líder de DevOps). Um cargo dedicado a tempo inteiro normalmente só é preciso a partir de 150–200 pessoas ou em setores regulados.
O que infla o orçamento de tempo
- Documentação morta que é preciso «ressuscitar» antes de cada auditoria (como manter o mínimo);
- processos manuais onde é possível automatizar: onboarding/offboarding de acessos, recolha de logs, lembretes de revisões;
- correrias em vez de ritmo — preparar a auditoria uma semana antes sai sempre mais caro.
Como reduzir o tempo gasto
Integre as atividades do SGSI nos ritmos existentes (sprints, revisões trimestrais), automatize a rotina, mantenha os documentos numa wiki viva. E lembre-se: o tempo de manutenção não é um «imposto sobre o certificado» — é trabalho sobre riscos reais do negócio, que se paga em incidentes evitados.
Leia também
Autor — Kyrylo Proskurnya, Auditor Principal ISO e especialista internacional em sistemas de gestão. Realizo auditorias de certificação e auditorias internas ISO 27001, ISO 9001, ISO 27701 e ISO 42001 para empresas em Portugal, na Europa e nos EUA. Sobre mim · Pedir uma consulta