Скільки часу займає підтримка СУІБ: чесний бюджет годин

Перед впровадженням ISO 27001 власники питають про гроші, а після — про час: «Скільки годин на місяць це у нас забиратиме?» Ділюся реалістичними цифрами з практики супроводу компаній різного розміру.

Регулярні активності та їх бюджет

• Щомісяця (4–8 годин): перегляд інцидентів і подій, контроль доступів (нові/звільнені), дрібні оновлення документів;
• щокварталу (8–16 годин): перегляд ризиків, перевірка постачальників, метрики ІБ, міні-навчання команди;
• щороку (3–6 днів): внутрішній аудит (чек-лист), аналіз керівництвом, перегляд усіх політик, підготовка і проходження наглядового аудиту.

Разом для компанії до 100 людей

Приблизно 0,2–0,4 FTE — тобто 1–2 дні на тиждень однієї людини, яка поєднує роль менеджера СУІБ з іншою (CTO, Head of Ops, DevOps-лід). Повноцінна окрема ставка зазвичай потрібна від 150–200 людей або в регульованих секторах.

Що роздуває бюджет часу

• Мертва документація, яку треба «оживляти» перед кожним аудитом (як тримати мінімум);
• ручні процеси там, де можлива автоматизація: онбординг/офбординг доступів, збір логів, нагадування про перегляди;
• аврали замість ритму — підготовка до аудиту за тиждень до нього завжди дорожча.

Як скоротити витрати часу

Вбудуйте активності СУІБ у наявні ритми (спринти, квартальні перегляди), автоматизуйте рутину, тримайте документи в живій вікі. І памʼятайте: час на підтримку — це не «податок на сертифікат», а робота з реальними ризиками бізнесу, яка окупається уникненими інцидентами.

Читайте також

• Документація СУІБ: мінімум
• Наглядові аудити після сертифікації
• Інтегровані системи менеджменту

Автор — Кирило Проскурня (Kyrylo Proskurnya), провідний аудитор ISO та міжнародний експерт із систем менеджменту. Проводжу сертифікаційні та внутрішні аудити ISO 27001, ISO 9001, ISO 27701, ISO 42001 для компаній України, Європи та США. Про мене · Замовити консультацію