Витік клієнтських даних, неконтрольовані дії співробітників або відсутність належного моніторингу інформаційної безпеки можуть призвести не лише до фінансових втрат, а й до регуляторних ризиків.
Для страхових компаній та інших фінансових установ питання інформаційної безпеки вже давно вийшло за межі відповідальності IT-відділу.
Сьогодні це питання безперервності бізнесу, захисту репутації та дотримання вимог регулятора.
Нові вимоги НБУ: що змінюється для фінансових установ?
9 грудня 2025 року Національний банк України ухвалив постанову №143 «Про затвердження Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг».
Документ встановлює вимоги до організації інформаційної безпеки та кіберзахисту небанківських фінансових установ, зокрема страхових компаній.
Серед ключових напрямів — управління кіберризиками, контроль доступу, моніторинг подій інформаційної безпеки, реагування на інциденти та захист конфіденційної інформації.
Компанії мають привести свою діяльність у відповідність до встановлених вимог протягом 12 місяців із дня набрання постановою чинності.
Отже, до 13 грудня 2026 року необхідно забезпечити виконання відповідних організаційних і технічних заходів.
Найбільший ризик може виникнути всередині компанії
Уявімо типовий робочий день страхової компанії.
Страховий агент працює з клієнтами, у яких завершується термін дії договорів добровільного медичного страхування.
Для поновлення договорів він щодня переглядає персональні дані клієнтів, умови страхування, історію звернень, інформацію про страхові виплати та інші документи, до яких має службовий доступ.
Це звичайна частина його роботи.
Але одного дня характер його активності змінюється.
Замість перегляду інформації про кількох клієнтів, договори яких потрібно поновити, співробітник починає відкривати десятки або сотні інших договорів.
Він масово завантажує документи, копіює клієнтську базу або намагається передати файли на особисту електронну пошту.
Чи означає це, що співробітник викрадає дані? Не обов’язково.
Можливо, він готує звіт або виконує нове робоче завдання.
Але така зміна поведінки може бути сигналом потенційного ризику інформаційної безпеки.
Особливо коли йдеться про медичне страхування, адже документи можуть містити не лише персональні та фінансові дані клієнтів, а й чутливу інформацію про стан їхнього здоров’я.
Головне питання для керівництва страхової компанії:
Чи зможе служба інформаційної безпеки вчасно помітити, що співробітник отримує доступ до нетипово великої кількості клієнтських даних або намагається передати їх за межі компанії?
І найважливіше — чи зможе компанія відреагувати до того, як потенційний ризик перетвориться на реальний витік інформації?
Саме тому сучасна інформаційна безпека потребує не лише антивірусного захисту, а й інструментів контролю внутрішніх ризиків.
TimeWise допомагає виявляти потенційно небезпечні дії співробітників, контролювати операції з файлами та аналізувати активність користувачів, щоб служба інформаційної безпеки могла своєчасно реагувати на ризики.
Idealsoft — дистриб’ютор TimeWise в Україні.
TimeWise: готове рішення для страхових компаній згідно постанови НБУ №143
Щоб допомогти страховим компаніям підготуватися до виконання вимог постанови НБУ №143 без зайвих витрат часу та ресурсів, TimeWise пропонує спеціальний тариф, орієнтований на потреби фінансових установ. Рішення містить інструменти моніторингу активності співробітників, контролю операцій із корпоративними даними, виявлення потенційних витоків інформації та документування подій інформаційної безпеки. Завдяки можливості швидкого впровадження страхові компанії можуть оперативно посилити внутрішній контроль і реалізувати окремі технічні заходи, передбачені постановою НБУ №143.
Що таке TimeWise?
TimeWise — українська система моніторингу активності співробітників, контролю операцій із корпоративними даними та запобігання внутрішнім загрозам інформаційній безпеці, сертифікована Держспецзв’язку.
Рішення допомагає компаніям виявляти потенційно небезпечні дії користувачів, контролювати використання корпоративної інформації та отримувати дані для розслідування інцидентів.
Для страхових компаній, кредитних спілок та інших небанківських фінансових установ TimeWise може стати важливою частиною системи інформаційної безпеки.
Особливе значення це має в контексті постанови НБУ №143, яка встановлює вимоги до організації інформаційної безпеки та кіберзахисту визначених небанківських надавачів фінансових послуг.
TimeWise допомагає реалізувати окремі технічні заходи, передбачені цими вимогами.
Як TimeWise допомагає виконувати вимоги постанови НБУ №143 і що саме входить в тариф?
Нижче наведено відповідність між пунктами постанови, зазначеними в матеріалах TimeWise, та функціональними можливостями системи.
1. Пункти 6–8. Управління кіберризиками та ризиками інформаційної безпеки
Що передбачає напрям вимог:
Фінансові установи повинні організувати управління ризиками інформаційної безпеки, визначати потенційні загрози та впроваджувати заходи для їх мінімізації.
Як допомагає TimeWise:
Система дозволяє відстежувати активність співробітників і виявляти дії, які можуть створювати ризики для корпоративної інформації.
Відповідні функції:
– Моніторинг активності користувачів.
– Виявлення порушень налаштованих політик безпеки.
– Аналіз нетипових операцій із файлами.
– Контроль використання зовнішніх носіїв інформації.
– Формування звітів щодо активності співробітників.
2. Пункт 13.4. Моніторинг і розслідування інцидентів
Що передбачає напрям вимог:
Виявлення підозрілих подій та забезпечення можливості їх аналізу.
Як допомагає TimeWise:
Система реєструє активність користувачів і дозволяє аналізувати послідовність дій, які передували потенційному інциденту.
Відповідні функції:
– Журналювання активності співробітників.
– Фіксація операцій із файлами.
– Реєстрація використання USB-носіїв.
– Аналіз історії дій користувача.
– Пошук подій за доступними параметрами.
3. Пункти 13.5–13.6. Контроль неузгодженого програмного забезпечення
Що передбачає напрям вимог:
Виявлення використання програмного забезпечення, яке не відповідає внутрішнім правилам установи, та пов’язаних із цим ризиків.
Як допомагає TimeWise:
TimeWise дозволяє контролювати програмне забезпечення, яке використовується на робочих станціях.
Відповідні функції:
– Інвентаризація встановленого програмного забезпечення.
– Виявлення запуску неузгоджених програм.
– Моніторинг використання застосунків.
– Контроль дотримання політик використання ПЗ.
4. Пункти 16–18. Контроль доступу та використання наданих прав
Що передбачає напрям вимог:
Контроль доступу користувачів до інформаційних ресурсів та належного використання наданих повноважень.
Як допомагає TimeWise:
Система дозволяє аналізувати фактичну активність користувачів на робочих станціях.
Відповідні функції:
– Моніторинг дій співробітників.
– Контроль операцій із корпоративними файлами.
– Аналіз використання застосунків.
– Виявлення нетипової активності.
– Реєстрація дій користувачів.
5. Пункти 26, 28. Реєстрація, аналіз і зберігання подій інформаційної безпеки
Що передбачає напрям вимог:
Організація реєстрації та аналізу подій, необхідних для моніторингу інформаційної безпеки.
Як допомагає TimeWise:
Система формує журнали активності користувачів та забезпечує можливості пошуку й аналізу зареєстрованих подій.
Відповідні функції:
– Автоматична реєстрація контрольованих дій.
– Збереження історії активності.
– Пошук подій.
– Аналітичні звіти.
– Аналіз операцій із файлами та застосунками.
6. Пункт 31.3. Реєстрація дій користувачів операційних систем
Що передбачає напрям вимог:
Контроль і реєстрація визначених дій користувачів операційних систем.
Як допомагає TimeWise:
TimeWise забезпечує моніторинг активності користувачів на робочих станціях.
Відповідні функції:
– Реєстрація активності користувачів.
– Моніторинг запуску програм.
– Контроль операцій із файлами.
– Фіксація підключення зовнішніх пристроїв.
– Формування журналів активності.
7. Пункт 34.2. Регулярний моніторинг інформаційної безпеки
Що передбачає напрям вимог:
Організація постійного спостереження за визначеними подіями інформаційної безпеки та аналізу отриманої інформації.
Як допомагає TimeWise:
Система дозволяє регулярно аналізувати активність співробітників і формувати звітність.
Відповідні функції:
– Постійний моніторинг контрольованих робочих станцій.
– Аналіз активності користувачів.
– Виявлення порушень налаштованих політик.
– Формування аналітичних звітів.
– Сповіщення про визначені події.
8. Пункти 39–42. Управління інцидентами інформаційної безпеки
Що передбачає напрям вимог:
Виявлення, аналіз, документування інцидентів та організація реагування на них.
Як допомагає TimeWise:
TimeWise надає інформацію про активність користувачів, яка може використовуватися під час аналізу інцидентів.
Відповідні функції:
– Виявлення підозрілих дій.
– Журналювання активності.
– Аналіз історії подій.
– Формування звітів.
– Окремі механізми реагування на порушення політик.
9. Пункт 44. Документування та підтвердження реагування на інциденти
Що передбачає напрям вимог:
Забезпечення належного документування визначених подій та заходів реагування.
Як допомагає TimeWise:
Журнали й звіти системи можуть бути частиною інформації, яку установа використовує під час документування інцидентів.
Відповідні функції:
– Збереження журналів активності.
– Формування звітів.
– Пошук історичних подій.
– Аналіз дій користувачів.
– Експорт доступних результатів моніторингу.
Idealsoft — дистриб’ютор TimeWise в Україні.
Чи допоможе TimeWise уникнути штрафів НБУ?
Порушення нормативних вимог може стати підставою для застосування регулятором передбачених законодавством заходів впливу.
Водночас саме по собі встановлення програмного забезпечення не гарантує відсутності порушень або санкцій.
TimeWise допомагає знижувати ризики невиконання окремих вимог інформаційної безпеки завдяки моніторингу, контролю дій користувачів та документуванню подій та попереджати можливий витік даних.
Для фінансової установи це можливість посилити внутрішній контроль і сформувати доказову базу виконання відповідних технічних заходів.
Чому страховим компаніям варто діяти вже зараз?
До завершення перехідного періоду залишилося близько двох місяців.
Впровадження системи контролю потребує часу на визначення ризиків, налаштування політик, тестування та навчання відповідальних працівників.
Тому відкладати ці процеси до завершення перехідного періоду ризиковано.
TimeWise допомагає страховим компаніям і фінансовим установам посилити контроль внутрішніх ризиків та підтримати виконання окремих вимог НБУ щодо інформаційної безпеки.
Перевірте, які ризики залишаються неконтрольованими у вашій компанії
Замовте демонстрацію TimeWise та дізнайтеся, як рішення може допомогти вашій організації.
Idealsoft — дистриб’ютор TimeWise в Україні.
📩 orders@idealsoft.com.ua
📞 +38 (044) 593-74-76
📞 +38 (067) 622-45-42
