Quy tắc tham chiếu (Rule of Thumb) phổ biến
| Chỉ tiêu | Tỷ lệ / Khuyến nghị | Ghi chú |
|---|
| Security Staff / IT Staff | 5% - 10% | Ví dụ: 100 nhân viên IT → 5-10 nhân sự Security. |
| Security Staff / Tổng nhân sự công ty | 0.5% - 1.5% | 1000 nhân viên → 5-15 security. |
| Security Staff / Doanh thu (Revenue) | 0.1% - 0.3% doanh thu | Dùng cho ngân sách, không headcount trực tiếp. |
| SOC Analyst / 1000 endpoint | 1 - 2 FTE | Tùy độ tự động hóa (SOAR) và noise level. |
| AppSec Engineer / Dev team | 1 / 50-100 devs | Hoặc 1/10 ứng dụng critical. |
| Security Architect / Organization | 1 / 500-1000 nhân sự | Hoặc 1 cho mỗi domain lớn (Cloud, Network, App, Data, Identity). |
Yếu tố điều chỉnh 編制 (Sizing Factors)
- Ngành nghề & Rủi ro: Ngân hàng, y tế, chính phủ, công nghệ cao → tỷ lệ cao hơn (10-15% IT staff). Sản xuất, bán lẻ nhỏ → thấp hơn (3-5%).
- Độ trưởng thành (Maturity): Level 1 (Ad-hoc) → ít người, reactive. Level 3 (Defined/Managed) → nhiều người, proactive (threat hunting, purple team).
- Tự động hóa (Automation/SOAR): Cao → cần ít analyst L1/L2, nhiều engineer/architect.
- Mô hình vận hành: Insource all vs Hybrid (MSSP cho SOC L1/L2, giữ L3/Architecture/IR in-house) vs Outsource all.
- Tuân thủ (Compliance): PCI-DSS, ISO 27001, NIST, Luật An ninh mạng VN → yêu cầu tài liệu, audit, control owner → thêm headcount GRC.
- Cloud-first / Multi-cloud: Cần Cloud Security Engineer, DevSecOps, CSPM admin.
- OT/ICS/IoT: Cần OT Security Specialist, network segmentation engineer.
Cấu trúc đội ngũ điển hình theo quy mô
Doanh nghiệp nhỏ (SMB: < 200 user, IT < 10 người)
- 0-1 FTE Security (thường IT admin 겸 task security).
- Thuê MSSP cho SOC 24/7 (alert triage).
- Vuln scanquarterly bởi vendor.
- Vendor quản trị Firewall/EDR (Managed Service).
Doanh nghiệp trung bình (Mid-market: 200-2000 user, IT 10-100)
| Vai trò | Số lượng | Chú thích |
|---|
| CISO / Security Manager | 1 | Chiến lược, governance, budget. |
| SOC Analyst (L1/L2) | 2-4 | Shift 24/7 nếu critical; hoặc 9-5 + on-call. |
| Security Engineer (Infra/Cloud/Endpoint) | 2-4 | Firewall, EDR, Email Sec, Cloud Sec, PKI, NAC. |
| Vulnerability / AppSec Engineer | 1-2 | Scan, SAST/DAST, secure SDLC. |
| GRC / Compliance / Awareness | 1 | Policy, audit, training, vendor risk. |
| Tổng | 7-12 | ~5-10% IT staff. |
Doanh nghiệp lớn / Enterprise (>2000 user, IT >100)
- Team chuyên biệt: Threat Intel, Threat Hunting, Detection Engineering, Red Team, Purple Team, Cloud Sec, AppSec, Data Sec, Identity Sec, OT Sec, GRC, Security Operations (SOC 24/7 multi-shift), Architecture, Automation/Platform.
- Tỷ lệ 5-10% IT staff vẫn áp dụng, nhưng có thể >10% nếu high-risk (bank, telco, gov).
- Thường có Security Operations Center (SOC) tách biệt, có thể đa vùng (Follow-the-sun).
Chi phí ước lượng (Việt Nam / Khu vực APAC)
| Vai trò | Lương tháng (Triệu VND) - Tham chiếu 2024 |
|---|
| SOC Analyst L1 | 12-18 |
| SOC Analyst L2/L3 | 20-35 |
| Security Engineer | 25-45 |
| Cloud/AppSec Engineer | 30-55 |
| Security Architect | 45-80 |
| CISO/Head of Security | 80-150+ |
Thêm: Lương MSSP ~ $3-8/endpoint/tháng; Penetration test ~ $5k-20k/lần; Bug bounty program tùy scope.
7 bước xây dựng đội ngũ Security từ con số 0
- Đánh giá rủi ro & xác định maturity target (NIST CSF, CMMI).
- Xác định budget & headcount plan 3 năm (phân pha).
- Tuyển CISO/Lead trước → họ thiết kế org chart, job description.
- Xây baseline: Asset inventory, Policy, Baseline config, Logging, Backup.
- Tuyển core: SOC L1/L2 (hoặc MSSP), Sec Engineer (Firewall/EDR/Cloud), GRC.
- Triển khai tooling: SIEM, EDR, Vuln Scanner, Ticketing, SOAR (tùy budget).
- Đo lường KPI, review quý, điều chỉnh編制.
Kết luận
Không có con số "chuẩn mực" duy nhất. Bắt đầu từ 5-10% nhân sự IT hoặc 0.5-1.5% tổng nhân sự, điều chỉnh theo rủi ro ngành, maturity, automation, compliance, cloud/OT footprint. Đầu tư vào tự động hóa (SOAR, IaC, Policy-as-Code) và MSSP cho tier 1 để tối ưu headcount. Quan trọng nhất: có người chịu trách nhiệm cuối cùng (CISO/Lead) và chiến lược rõ ràng.
