Jak zbudować 15-20-osobowy zespół cyberbezpieczeństwa w Warszawie bez utraty jakości rekrutacji?

Budowa zespołu cyberbezpieczeństwa nie powinna zaczynać się od listy kilkunastu wakatów opublikowanych jednego dnia. Przy większej skali taki model szybko prowadzi do przeciążenia hiring managerów, niespójnej oceny kandydatów i ryzyka, że organizacja zatrudnia osoby operacyjne, zanim zabezpieczy strategiczne role odpowiedzialne za architekturę, ład i priorytety bezpieczeństwa.

Z danych HRK wynika, że rekrutacja 15-20 specjalistów IT w Warszawie jest realna, ale wymaga podejścia etapowego. W przypadku cyberbezpieczeństwa jest to szczególnie ważne, ponieważ poszczególne role różnią się dostępnością, czasem rekrutacji i wpływem na dalsze skalowanie funkcji.

Najpierw fundamenty, później skala operacyjna

Pierwsza fala rekrutacji powinna obejmować role, które tworzą ramy działania całego zespołu. Zazwyczaj są to: kierownik lub dyrektor ds. cyberbezpieczeństwa, architekt cyberbezpieczeństwa, jeden lub dwóch specjalistów GRC oraz kierownik SOC albo osoba odpowiedzialna za operacyjne zarządzanie monitoringiem i reagowaniem na incydenty.

Taki układ pozwala uniknąć sytuacji, w której firma szybko zatrudnia analityków, ale nie ma jeszcze ustalonych priorytetów, procedur, standardów raportowania, modelu eskalacji i architektury bezpieczeństwa. W efekcie zespół działa reaktywnie, a nowo zatrudnione osoby nie mają jasnego punktu odniesienia.

Druga fala: operacje i inżynieria

Dopiero po zabezpieczeniu ról fundamentowych warto przechodzić do rozbudowy warstwy operacyjnej. W tej fazie najczęściej pojawiają się analitycy SOC, specjaliści ds. reagowania na incydenty, analitycy podatności, inżynierowie bezpieczeństwa, specjaliści IAM oraz osoby wspierające bezpieczeństwo aplikacji lub środowisk chmurowych.

To etap, w którym organizacja może prowadzić kilka procesów równolegle. Nadal potrzebna jest jednak dyscyplina. Role powinny być pogrupowane według kompetencji, a kryteria oceny kandydatów jasno opisane. Inaczej łatwo o sytuację, w której każda rozmowa techniczna dotyczy innych aspektów, a porównanie kandydatów staje się trudne.

Trzecia fala: specjalizacja i dojrzałość

Ostatnia fala zwykle obejmuje role, które wynikają z konkretnego modelu działania organizacji: threat intelligence, bezpieczeństwo aplikacji, DevSecOps, bezpieczeństwo chmury, zarządzanie tożsamością, zaawansowane zarządzanie podatnościami, dodatkowi eksperci GRC lub audyt bezpieczeństwa. To stanowiska, które powinny odpowiadać na realne ryzyka i priorytety, a nie być kopiowane z ogólnego modelu organizacyjnego.

W firmach regulowanych szczególnego znaczenia nabierają role związane z dokumentacją, audytowalnością, zarządzaniem ryzykiem dostawców i gotowością do zgłaszania incydentów. W organizacjach produktowych większy nacisk może być położony na bezpieczeństwo aplikacji, procesy wytwarzania oprogramowania i współpracę z zespołami developerskimi.

Harmonogram rekrutacji

Przy założeniu dobrze przygotowanego procesu projekt 15-20 zatrudnień można planować w horyzoncie 4-6 miesięcy. Nie oznacza to jednak, że wszyscy kandydaci rozpoczną pracę w tym samym czasie. W przypadku umowy o pracę okres wypowiedzenia może wynosić do trzech miesięcy, a przy kontraktach B2B standardem jest często około miesiąca.

Dlatego plan powinien obejmować nie tylko datę podpisania oferty, ale też realną datę dostępności kandydata. W praktyce warto prowadzić harmonogram z podziałem na sourcing, rozmowy, decyzje, negocjacje, podpisanie umowy, okres wypowiedzenia i wdrożenie.

Jak ograniczyć ryzyko utraty kandydatów

W większych projektach rekrutacyjnych najczęściej powtarzają się trzy problemy. Pierwszy to zbyt długi proces decyzyjny. Drugi to niespójne wymagania między HR, liderem technicznym i biznesem. Trzeci to niedoszacowanie wynagrodzeń lub brak elastyczności w modelu współpracy.

Aby ograniczyć te ryzyka, warto z góry zarezerwować terminy rozmów technicznych, skrócić liczbę etapów do niezbędnego minimum i określić, kto podejmuje decyzję końcową. W przypadku ról seniorskich należy także przygotować argumentację projektu: dlaczego kandydat miałby zmienić stabilną pracę właśnie na tę organizację?

Budżet: nie tylko wynagrodzenie

Przykładowy 18-osobowy zespół cyberbezpieczeństwa może obejmować menedżera bezpieczeństwa, kierownika SOC, architekta, dwóch inżynierów bezpieczeństwa, dwóch specjalistów GRC i jedenastu analityków SOC. Na podstawie typowych przedziałów wynagrodzeń HRK miesięczny koszt wynagrodzeń takiego zespołu może wynosić około 400 tysięcy złotych, czyli około 5 milionów złotych rocznie w bezpośrednich kosztach wynagrodzeń.

Do tego należy doliczyć koszty pracodawcy przy umowach o pracę, budżety szkoleniowe, certyfikacje, narzędzia, koszty wdrożenia i czas liderów zaangażowanych w proces. W cyberbezpieczeństwie zbyt niski budżet rekrutacyjny zwykle skutkuje długim czasem wakatu, a ten bywa droższy niż dostosowanie widełek do realiów rynku.

Dlaczego partner rekrutacyjny pomaga przy skali

Przy projekcie obejmującym kilkanaście rekrutacji partner taki jak HRK może pełnić rolę nie tylko dostawcy kandydatów, ale także doradcy w planowaniu kolejności, definiowaniu profili, komunikacji oferty i ocenie realności harmonogramu. To szczególnie ważne, gdy firma wchodzi na polski rynek lub buduje funkcję bezpieczeństwa od podstaw.

Dobrze prowadzony projekt powinien dostarczać hiring managerom nie tylko CV, lecz także informacje o rynku: jak kandydaci reagują na ofertę, jakie obiekcje się powtarzają, które wymagania zawężają pulę oraz jakie elementy propozycji pracodawcy wzmacniają zaangażowanie.

Wniosek

Zespół cyberbezpieczeństwa buduje się etapami. Najpierw warto zabezpieczyć role strategiczne i regulacyjne, następnie rozwijać operacje, a dopiero później uzupełniać strukturę o specjalizacje wynikające z dojrzałości organizacji. Taka kolejność zwiększa jakość zatrudnień, skraca czas decyzyjny i ogranicza ryzyko, że szybko zbudowany zespół będzie działał bez właściwych fundamentów.