Постанова НБУ №143: як виконати вимоги з кіберзахисту, а не зімітувати їх | Руслан Соловйов, ISSP

Постанова НБУ №143 встановлює вимоги до кіберзахисту для небанківських фінансових установ – страхових компаній, кредитних спілок, фінансових компаній і ломбардів. Але вона напряму стосується і банків: більшість фінансових груп мають у своєму складі небанківські установи, і кіберзахист для них часто будують саме банківські команди.

Руслан Соловйов, голова департаменту інтеграції та консалтингу ISSP, розбирає постанову з точки зору керівництва: що саме треба захищати, які вимоги є мінімальним рівнем, а що інспектори НБУ перевірятимуть на практиці.

У доповіді:
– місце Постанови №143 у ландшафті вимог НБУ з кібербезпеки (95, 43, 178, 217, 123, 163, 147, 99, 58, 107)
– на кого поширюється постанова і чому вона стосується банківських груп
– що є об'єктом захисту: таємниця страхування, таємниця фінансової послуги, інформаційно-комунікаційні системи
– вимоги в цифрах: довжина пароля, зміна паролів, блокування, двофакторна автентифікація для віддаленого й адміністративного доступу, рік зберігання журналів, два роки на оновлення застарілого ПЗ
– близько 25 внутрішніх документів, які потрібно розробити: політики, накази про призначення, реєстри активів, процедури, плани оновлення ПЗ
– типові розриви, які знаходять інспектори: документи, що не працюють; неактуальний реєстр активів; двофакторка на VPN, але не для адміністраторів; журнали без моніторингу; неперевірений план реагування; договори з підрядниками без SLA та NDA
– орієнтовний план впровадження за строками: гап-аналіз, інвентаризація активів, документи та ролі, технічні контролі, реагування на інциденти
– відповідь на питання про ризики третіх осіб і аутсорсинг: як розмежувати функції кіберзахисту в межах фінансової групи та як контролювати постачальників через договори й аудит

ISSP – компанія з кібербезпеки, що працює на ринку 16 років.