Основні функціональні обов'язки та професійна компетентність:

Організація, координація та супровід впровадження вимог Постанови Правління НБУ від 09.12.2025 № 143 та інших нормативно-правових актів НБУ у сфері інформаційної безпеки та кіберзахисту з урахуванням специфіки діяльності страховика.

Проведення внутрішнього аудиту та оцінювання відповідності організаційних процесів, інформаційних систем, ІТ-інфраструктури й організаційно-технічних заходів вимогам законодавства України, нормативно-правових актів НБУ та міжнародних стандартів.

Виявлення, документування та класифікація невідповідностей, недоліків і ризиків інформаційної безпеки, підготовка аудиторських висновків, рекомендацій та планів коригувальних заходів.

Розроблення, перегляд, актуалізація та супровід впровадження внутрішніх нормативних документів (ВНД) з інформаційної безпеки та кіберзахисту: політик, положень, процедур, інструкцій, методик, регламентів і планів.

Участь у побудові, впровадженні та вдосконаленні системи управління інформаційною безпекою (СУІБ) відповідно до ДСТУ ISO/IEC 27001:2023 та практик контролю, визначених ДСТУ ISO/IEC 27002:2023.

Організація та оцінювання процесів управління ризиками інформаційної безпеки й кіберризиками, аналіз загроз, вразливостей, ймовірності реалізації ризиків та потенційного впливу на інформаційні активи страховика.

Формування рекомендацій щодо обробки ризиків, вибору та впровадження заходів контролю, оцінювання залишкових ризиків і моніторингу ефективності заходів безпеки.

Проведення аудиту та оцінювання розподілу повноважень, відповідальності й контрольних функцій у сфері інформаційної безпеки та кіберзахисту з урахуванням моделі трьох ліній захисту.

Координація впровадження організаційних і технічних заходів інформаційної безпеки у взаємодії з підрозділами інформаційних технологій, управління ризиками, комплаєнсу, юридичним та іншими структурними підрозділами.

Оцінювання стану впровадження та ефективності засобів захисту інформації, зокрема DLP, SIEM, EDR/XDR, антивірусного захисту, NGFW, IDS/IPS, IAM/PAM, MFA, систем централізованого журналювання та моніторингу подій інформаційної безпеки.

Аудит процесів управління вразливостями, оновленнями програмного забезпечення, конфігураціями інформаційних систем, резервним копіюванням і відновленням інформації.

Оцінювання організації процесів виявлення, реєстрації, класифікації, розслідування та реагування на інциденти інформаційної безпеки й кіберінциденти, контроль виконання коригувальних і запобіжних заходів.

Перевірка дотримання вимог інформаційної безпеки під час управління змінами ІТ-інфраструктури, використання хмарних сервісів (IaaS, PaaS, SaaS) та залучення зовнішніх постачальників і підрядників.

Аудит процесів управління третіми сторонами, оцінювання ризиків аутсорсингу та перевірка виконання постачальниками договірних вимог щодо захисту інформації.

Участь у розробленні та перевірці вимог інформаційної безпеки до договорів про надання ІТ-послуг, угод про рівень надання послуг (SLA), вимог щодо конфіденційності, доступу, журналювання, реагування на інциденти та повідомлення про порушення безпеки.

Підготовка аудиторської документації, звітів, реєстрів, доказів відповідності та матеріалів для внутрішніх і зовнішніх аудитів, сертифікаційних перевірок та наглядових заходів НБУ.

Формування, ведення та контроль актуальності реєстрів інформаційних активів, кіберризиків, вразливостей, інцидентів, користувацьких доступів, змін, постачальників і резервного копіювання.

Участь в оцінюванні готовності страховика до забезпечення безперервності діяльності (BCP), відновлення після аварій (DRP) та відновлення функціонування інформаційних систем після кіберінцидентів.

Проведення перевірок дотримання вимог щодо захисту персональних даних, конфіденційної інформації та інформації, що обробляється під час укладання й супроводження договорів страхування, врегулювання страхових випадків та здійснення страхових виплат.

Підготовка рекомендацій, проведення інформаційно-роз'яснювальної роботи та сприяння підвищенню рівня обізнаності працівників щодо інформаційної безпеки, кіберзагроз і кібергігієни.

НОРМАТИВНО-ПРАВОВА ТА СТАНДАРТИЗАЦІЙНА БАЗА

Професійна діяльність та виконання зазначених функцій здійснюються з урахуванням таких нормативно-правових актів і стандартів:

Законодавство України:Закон України «Про основні засади забезпечення кібербезпеки України» — у частині організаційних і правових засад забезпечення кібербезпеки, управління кіберризиками та захисту інформаційних ресурсів.

Закон України «Про захист інформації в інформаційно-комунікаційних системах» — у частині організації захисту інформації, забезпечення її цілісності, конфіденційності та доступності, а також впровадження організаційних і технічних заходів захисту.

Закон України «Про страхування» — у частині забезпечення належного управління страховиком, захисту інформації та інформаційних процесів, пов'язаних зі страховою діяльністю.

Закон України «Про фінансові послуги та фінансові компанії» — у частині дотримання вимог до діяльності надавачів фінансових послуг, організації внутрішнього контролю та управління ризиками у застосовній частині.

Закон України «Про захист персональних даних» — у частині контролю законності обробки, зберігання, використання та захисту персональних даних страхувальників, застрахованих осіб, працівників та інших суб'єктів персональних даних.

Нормативно-правові акти Національного банку України:Постанова Правління НБУ від 09.12.2025 № 143 «Про затвердження Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг» — основна нормативна база щодо організації інформаційної безпеки та кіберзахисту, розподілу відповідальності, управління ризиками, контролю, моніторингу та реагування на кіберінциденти.

Постанова Правління НБУ від 27.12.2023 № 194 «Про затвердження Положення про вимоги до системи управління страховика» — у застосовній частині щодо корпоративного управління, системи внутрішнього контролю, управління ризиками та розподілу функцій і відповідальності.

Постанова Правління НБУ від 29.12.2023 № 204 «Про затвердження Положення про порядок обліку страховиком договорів, пов’язаних зі здійсненням діяльності із страхування, та вимоги до захисту інформації страховика» — у застосовній частині щодо захисту інформації, обліку договорів страхування та забезпечення належного функціонування відповідних інформаційних процесів.

Національні та міжнародні стандарти:

ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT) «Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою. Вимоги» — у частині побудови, впровадження, підтримання та постійного вдосконалення СУІБ, оцінювання ризиків, внутрішнього аудиту та аналізу результативності.

ДСТУ ISO/IEC 27002:2023 — у частині застосування практик і заходів контролю інформаційної безпеки, зокрема організаційних, кадрових, фізичних і технологічних заходів захисту інформації.