Постанова НБУ №143: як підготувати ІТ-інфраструктуру до вимог кіберзахисту?

Що передбачає Постанова НБУ №143

Де саме Holm Security відповідає логіці Постанови

Постанова вимагає від надавачів фінансових послуг впровадити процес управління кіберризиками та ризиками інформаційної безпеки, а також застосовувати ризик-орієнтований підхід до заходів кіберзахисту.

Holm Security VMP це рішення для системного, ризик-орієнтованого та проактивного кіберзахисту. Воно допомагає виявляти вразливості в різних векторах атаки: системах, серверах, комп’ютерах, мережевому обладнанні, IoT, OT, Kubernetes, веб-застосунках, хмарних платформах, API та користувачах.

Це робить Holm Security релевантним інструментом для фінансових установ, яким потрібно не просто реагувати на інциденти, а постійно зменшувати кіберризики.

1. Виявлення та актуалізація активів

Постанова НБУ №143 покладає на відповідальну особу/організацію регулярної актуалізації переліку або реєстру програмних та апаратних засобів інформаційно-комунікаційних систем.

На практиці це одна з найскладніших задач: інфраструктура змінюється, з’являються нові сервіси, хмарні ресурси, тестові середовища, піддомени, API, зовнішні точки доступу. Частина активів може бути невидимою для ІТ-команди або не внесеною до внутрішніх реєстрів.

Holm Security Attack Surface Management автоматично ідентифікує нові активи, відстежує зміни, допомагає виявляти “сліпі зони” та тіньову ІТ-інфраструктуру, а також знаходить вразливості у виявлених активах.

Для зовнішньої поверхні атаки Holm Security EASM може виявляти та моніторити сервери, вебзастосунки, API, доменні активи та хмарні активи.

Це не замінює офіційно затверджений реєстр активів, але допомагає підтримувати його актуальність і зменшує ризик “сліпих зон” в інфраструктурі.

2. Пошук вразливостей, застарілого ПЗ і помилок конфігурації

Постанова передбачає необхідність аналізу ризиків, пов’язаних із використанням програмного забезпечення, для якого припинено підтримку виробника або постачальника. Серед компенсуючих заходів прямо зазначено регулярний моніторинг та аудит інформаційної безпеки для виявлення та усунення вразливостей.

Holm Security System & Network Security допомагає виявляти вразливості, застаріле програмне забезпечення та помилки конфігурації в ІТ-інфраструктурі.

Рішення підтримує сканування з автентифікацією та без автентифікації, перевірки відповідно до CIS Benchmarks, а також локальні сканери для хмарних платформ.

Для небанківських фінансових установ це означає можливість регулярно перевіряти критичні системи, бачити технічні слабкі місця та формувати план їх усунення.

3. Пріоритизація ризиків і контроль усунення

Одна з типових проблем у кібербезпеці це велика кількість знайдених вразливостей без зрозумілого пріоритету. У результаті команда може витрачати час на менш критичні задачі, тоді як реальні ризики залишаються відкритими.

Holm Security надає єдиний інтерфейс для огляду ризиків, робочих процесів та узгодженої моделі оцінки ризиків для різних векторів атак. Це допомагає командам пріоритизувати вразливості та усувати їх з урахуванням реального рівня ризику.

Такий підхід добре відповідає логіці Постанови НБУ №143, де акцент зроблено саме на управлінні кіберризиками, а не лише на формальному використанні засобів захисту.

4. Контроль зовнішньої поверхні атаки

Фінансові установи часто мають клієнтські кабінети, партнерські портали, вебформи, API-інтеграції, домени, піддомени та хмарні сервіси. Усе це може створювати додаткову поверхню атаки.

Постанова НБУ №143 містить вимоги до мережевого захисту, контрольованих точок доступу, сегментації мережі та захисту від відомих мережевих атак.

Holm Security EASM автоматично та безперервно відстежує зміни у зовнішніх активах, допомагає виявляти непотрібні активи, “сліпі зони” та тіньову ІТ-інфраструктуру. Також рішення допомагає оцінювати активи за рівнем ризику, потенційним впливом і ймовірністю експлуатації вразливостей.

Це дає організації кращу видимість того, що саме доступне ззовні і які елементи можуть створювати підвищений ризик.

5. Безпека хмарних середовищ

Якщо фінансова установа використовує хмарну інфраструктуру, важливо контролювати не лише сервери, а й конфігурації, ресурси, права доступу та ризики хмарних середовищ.

Holm Security Cloud Security допомагає виявляти та усувати вразливості в хмарних платформах за допомогою Cloud Security Posture Management.

Рішення Holm Security підтримує управління безпекою в мультихмарних середовищах, автоматичне виявлення та моніторинг хмарних активів, а також перевірку найкращих практик відповідно до CIS Benchmarks.

Це особливо актуально для організацій, які використовують хмарні сервіси в основних або допоміжних бізнес-процесах.

6. Перевірка вебзастосунків та API

Вебзастосунки й API часто є одними з найпомітніших точок взаємодії з клієнтами та партнерами. Саме тому їх потрібно регулярно перевіряти на вразливості.

Holm Security охоплює вебзастосунки та API, зокрема REST/OpenAPI, GraphQL і SOAP.

Сканування API дозволяє оцінювати API на наявність вразливостей, тестуючи кінцеві точки зі специфікації, зокрема на вразливості з переліку OWASP API Top 10.

Для фінансового сектору це важливо, адже веб- і API-рівень часто пов’язаний з обробкою клієнтських даних, заявок, кабінетів або інтеграцій із партнерами.

Переваги для українського ринку: реєстрація Holm Security VMP в ДССЗЗІ

Окремо варто зазначити, що Holm Security VMP отримало офіційну реєстрацію в ДССЗЗІ. Для українських організацій це є додатковим аргументом під час вибору рішення, особливо коли йдеться про впровадження інструментів кіберзахисту в регульованих або чутливих середовищах.

У контексті Постанови НБУ №143 це не означає автоматичну відповідність усім вимогам регулятора. Водночас така реєстрація підсилює довіру до рішення, оскільки Положення НБУ вимагає використовувати програмні, апаратні та програмно-апаратні засоби з урахуванням вимог законодавства України у сфері захисту інформації та кібербезпеки.

Тому для страховиків, кредитних спілок, фінансових компаній і ломбардів Holm Security VMP може бути не лише інструментом управління вразливостями, а й рішенням, яке має додаткову релевантність для впровадження в українському регуляторному середовищі.

Як фінансова установа може використовувати Holm Security для підготовки до вимог НБУ

Практичний сценарій може виглядати так:

1. Провести первинне виявлення активів: внутрішніх, зовнішніх, хмарних, веб- і API-ресурсів.
2. Зіставити знайдені активи з внутрішнім реєстром програмних та апаратних засобів.
3. Запустити регулярне сканування вразливостей для систем, серверів, вебзастосунків, API та хмарних платформ.
4. Виявити застаріле програмне забезпечення, помилки конфігурації та критичні технічні ризики.
5. Пріоритизувати усунення вразливостей відповідно до рівня ризику.
6. Контролювати процес усунення вразливостей і повторно перевіряти ефективність виконаних дій.
7. Формувати звіти для відповідальної особи, керівництва, внутрішнього контролю або аудиту.

Такий підхід допомагає перейти від разової перевірки до постійного циклу: виявлення активів, оцінка ризиків, усунення вразливостей, перевірка результату та оновлення даних.