Наличие штатного ИБшника на предприятии (не говоря о подразделении) это дорогое удовольствие и мелкие предприятия на это вряд-ли пойдут.
Кроме этого ответственный за организацию работ по защите ОКИИ на предприятии, должен иметь определенный статус (если это не один единственный ОКИИ на который можно посадить Цербером ИБшника) как минимум главный инженер или один из замов, осуществляющий общее руководство и решающий вопросы между разными структурными подразделениями.
Если вдруг у вас нарисовался ЗОКИИ, то для создания системы его защиты привлекается куча работников - организация физ. защиты, режим допуска на объект, пожарная - охранная сигнализация, ЛВС и инф. технологии, начальник подразделения производящий эксплуатацию ОКИИ, должностное лицо ответственное за эксплуатацию объекта, работник непосредственно работающий на объекте
Нет у вас образования и опыта - привлекаете стороннюю организацию, для проведения обследования ОКИИ, разработки модели угроз и выработки системы защиты, определения необходимых средств и систем защиты информации на объекте, установка и настройка СЗИ, разработка пакета ОРД для всех должностных лиц, привлекаемых для защиты объекта и инструкций для непосредственных работников на нем.
Проведение аттестации или анализа эффективности системы защиты объекта, с выдачей аттестата или документа о эффективности системы защиты на объекте.
Приказ о вводе СЗИ объекта, с четким распределением обязанностей по защите объекта между должностными лицами ( на ИБшника обычно возлагается контроль выполнения принятых требований и периодическая проверка эффективности системы защиты).
Т.е. ИБшник должен все организовать под ключ, а дальше осуществлять методическое руководство и контроль.
Руководство предприятия может иметь свое мнение, но рано или поздно все равно придется выполнить этот комплекс мероприятий описанный выше.
Не имеешь своего ИБшника или учи-рости его или пользуйся услугами сторонней организации.