Сколько времени занимает поддержка СУИБ: честный бюджет часов
Перед внедрением ISO 27001 собственники спрашивают о деньгах, а после — о времени: «Сколько часов в месяц это у нас будет забирать?» Делюсь реалистичными цифрами из практики сопровождения компаний разного размера.
Регулярные активности и их бюджет
- Ежемесячно (4–8 часов): просмотр инцидентов и событий, контроль доступов (новые/уволенные), мелкие обновления документов;
- ежеквартально (8–16 часов): пересмотр рисков, проверка поставщиков, метрики ИБ, мини-обучение команды;
- ежегодно (3–6 дней): внутренний аудит (чек-лист), анализ руководством, пересмотр всех политик, подготовка и прохождение надзорного аудита.
Итого для компании до 100 человек
Примерно 0,2–0,4 FTE — то есть 1–2 дня в неделю одного человека, совмещающего роль менеджера СУИБ с другой (CTO, Head of Ops, DevOps-лид). Полноценная отдельная ставка обычно нужна от 150–200 человек или в регулируемых секторах.
Что раздувает бюджет времени
- Мёртвая документация, которую нужно «оживлять» перед каждым аудитом (как держать минимум);
- ручные процессы там, где возможна автоматизация: онбординг/офбординг доступов, сбор логов, напоминания о пересмотрах;
- авралы вместо ритма — подготовка к аудиту за неделю до него всегда дороже.
Как сократить затраты времени
Встройте активности СУИБ в существующие ритмы (спринты, квартальные обзоры), автоматизируйте рутину, держите документы в живой вики. И помните: время на поддержку — это не «налог на сертификат», а работа с реальными рисками бизнеса, которая окупается предотвращёнными инцидентами.
Читайте также
Автор — Кирилл Проскурня (Проскурня Кирилл, Kyrylo Proskurnya), ведущий аудитор ISO и международный эксперт по системам менеджмента. Провожу сертификационные и внутренние аудиты ISO 27001, ISO 9001, ISO 27701, ISO 42001 для компаний Европы и США. Обо мне · Заказать консультацию