Просто было сказано 5 вот я и думал есть шанс у руководства ещё 2 бойцов выбить
Вообще, на мой взгляд, людей под требования регуляторов выбивать - тупиковый путь.
Лучше ориентироваться на деньги.
Возможно вам и не нужно 5 людей, а нужны инструменты и обучение.
По моему личному опыту, на 1000 пользователей(хостов) с головой должно хватать 2-х квалифицированных безопасников.