Bug Stream

«Білим» хакерам дали зелене світло. Що це означає на практиці?

Постанова КМУ №1580 та зміни до постанови №497, розроблені Державна служба спеціального зв'язку та захисту інформації України, фактично змінюють модель поводження з вразливостями в Україні. Кібербезпека державних і критичних систем перестає бути внутрішньою справою державних організацій або критично важливих підприємств.

1️⃣ Легалізовано пошук вразливостей без згоди власника.

«Білі» (етичні) хакери отримали право тестувати цифрові ресурси без попереднього дозволу власника системи — за умови:
без втручання в роботу системи;
без експлуатації вразливостей.

2️⃣ Вразливості більше не можна «пересидіти»

Нові правила вводять постійний контроль:
- власники державних і критичних систем зобов’язані забезпечувати регулярний пошук вразливостей;
- CERT-UA та CSIRT ведуть централізовані реєстри, аналізують вплив і публікують інформацію;
- Держспецзв’язку та СБУ надають обов’язкові до виконання вимоги;
- ДЦКЗ Держспецзв’язку проводить планові й позапланові сканування.

3️⃣ Зростають ризики для власників систем.

Нереагування або затягування може трактуватись як порушення базових вимог кіберзахисту.
Відсутність регулярних тестувань створює операційні та репутаційні ризики, особливо в умовах посиленого державного контролю.
Найгірша стратегія — чекати, поки проблему знайдуть за вас.

4️⃣ Чому діяти на випередження — єдиний раціональний варіант

Україна переходить до моделі публічної відповідальності за стан інформаційної безпеки:
- тестування можливе без згоди власника;
- інформація про вразливості акумулюється та поширюється;
- держава активніше сканує ресурси.

У цій моделі виграють ті, хто впроваджує тестування:
- Pe*******on Testing;
- — постійні програми за винагороду;
- — короткострокові хакатони;
- (Vulnerability Disclosure Program) — узгоджене розкриття вразливостей.

Ці інструменти дозволяють знайти й виправити проблеми до того, як у процес втрутяться регулятори.

5️⃣ Це вже працює на практиці

У 2024–2025 роках програми скоординованого виявлення вразливостей проводились для державного сектору:
- DOT-Chain DOT - Державний оператор тилу;
- державних реєстрів;
- системи НБУ;
- Prozorro та авторизованих майданчиків СМАРТТЕНДЕР, Etender - державні та комерційні торги - Prozorro, Prozorro.Продажі, Комерційні та державні закупівлі України - Zakupivli.Pro (на постійній основі з 2019 року).

Зелене світло білим хакерам: як тепер системи тестуватимуть на вразливості — колонка експерта Джорж Папарига, член Інституту дослідження кібервійни, розповідає, що зміниться після нової урядової постанови, що дозволяє тестувати системи на вразливості без з...

Bug Bounty як інструмент національної стійкості

У публікації експерта з кібербезпеки Сергій Демедюк акцентовано увагу на необхідності законодавчо закріпити регулярну роботу незалежних "red teams" для критичної інфраструктури та виборчих процесів у західних країнах.
Це не теоретична дискусія, а практичний механізм захисту, орієнтований на випередження реальних загроз.
Bug bounty програми безпосередньо відповідають цій логіці - вони забезпечуєють раннє та безперервне виявлення вразливостей — до того, як вони будуть використані в кібератаках або гібридних операціях.
______
Bug Bounty as a Tool of National Resilience

In a recent publication, cybersecurity expert Serhii Demediuk highlights the need to legally establish the regular operation of independent red teams for critical infrastructure and electoral processes across Western countries.
This is not a theoretical debate, but a practical security mechanism focused on anticipating and mitigating real-world threats.
Bug bounty programs align directly with this approach: they enable early and continuous identification of vulnerabilities — before those weaknesses are exploited in cyberattacks or hybrid operations.

РФ тестує інформаційні атаки на союзниках України Сергій Демедюк заявив, що Кремль вже використовує штучний інтелект для впливу на електорат країн-союзників України. За його словами, поєднання інформаційних опера...

Показова стаття про платформу із закупівель Etender - державні та комерційні торги - Prozorro, Prozorro.Продажі.

E-Tender - один з небагатьох авторизованих майданчиків Прозорро, який на постійній основі бере участь у програмах , яке організовує комнада Bug Stream.

— один із найбільш ефективних механізмів виявлення цифрових вразливостей, особливо для об’єктів критичної інфраструктури, які залишаються у фокусі кібератак.

Координоване залучення багхантерів дозволяє вивести захищеність систем на інший рівень: незалежні експерти з кібербезпеки тестують платформи в режимі, максимально наближеному до дій зловмисників, але з чіткими правилами та юридичними гарантіями.

Для операторів критичної інфраструктури — енергетики, логістики, медицини, фінансових сервісів, державних реєстрів тощо — це не опція, а питання стійкості держави.

Саме тому участь таких платформ як E-tender у програмах Bug Bounty від Bug Stream є показником зрілої безпекової політики і прикладом для інших гравців ринку.

Чому лідери виробничої галузі впроваджують e-Tender: досвід CEMARK e-Tender — платформа на основі штучного інтелекту, де корпоративні замовники управляють відносинами з постачальниками та отримують вигідні пропозиції

Перший Чемпіонату України з технологічного спорту в дисципліні.

6-7 вересня пройшов Перший Чемпіонат України з кібербезпеки. Змагання проходили на українському кіберполігоні UnitRange.

Вітаємо 🏆 переможців:
1. (АР Крим)
2. (Львів)
3. (Київ)

У топ-10 також увійшли: , , &Chill, , , , .

Антон Коржинський, Head of triage team компанії Bug Stream, виступив на панельній дискусії: «Роль кіберком‘юніті в розвитку технологічного спорту», яка проходила в рамках Чемпіонату України.

Антон наголосив, що CTF та Bug Bounty тісно пов’язані: навички, здобуті під час змагань — пошук вразливостей та аналітичне мислення — стають фундаментом для професійного багхантингу.

Водночас, щоб перейти з CTF до Bug Bounty, учасникам потрібно прокачати практичний досвід роботи з реальними системами, навички комунікації з бізнесом і розуміння юридичних та етичних аспектів.

Кіберкомʼюніті, за словами Антона, має потужний освітній і кадровий ефект — воно формує нове покоління спеціалістів, які здатні стати цінними кадрами для бізнесу та держави. Саме тому інвестиції в розвиток комʼюніті є стратегічно вигідними: вони посилюють кіберстійкість країни та створюють умови для появи висококласних експертів.

____

The First Ukrainian Championship in Technological Sport — CTF Discipline

On September 6–7, the First Ukrainian Cybersecurity Championship took place at the national cyber range .

🏆 Congratulations to the winners:
1. skif0perator (Crimea)
2. Snufkink (Lviv)
3. ByteMe (Kyiv)

The Top 10 also included: 0xRivne, 0x57, Netflix&Chill, KyivShield, Ghost in the Shellcode, milworms, WireOnFire.

Anton Korzhynskyi, Head of the Triage Team at Stream, spoke at the panel discussion The Role of the Cyber Community in the Development of Technological Sport, held as part of the Championship.

Anton emphasized that CTF and Bug Bounty are closely interconnected: the skills gained during competitions — vulnerability discovery and analytical thinking — form the foundation of professional bug hunting.

At the same time, to transition from CTF to Bug Bounty, participants need to strengthen their practical experience with real-world systems, business communication skills, and an understanding of legal and ethical aspects.

According to Anton, the cyber community has a powerful educational and workforce effect — it shapes a new generation of specialists who can become valuable assets for both business and the state. That is why investing in community development is strategically beneficial: it strengthens the country’s cyber resilience and creates conditions for the emergence of world-class experts.

🎉 Ми були раді взяти участь у святкуванні 9-ї річниці Prozorro!

Цей захід об’єднав закупівельну спільноту, партнерів, бізнес і урядовців, де лунали важливі вітальні слова від Олексія Соболева - новопризначеного Міністра економіки, довкілля та сільського господарства України, від Андрія Телюпи — заступника Міністра, а також представника Посольства Великої Британії.

Микола Ткаченко, СЕО ДП «Прозорро», поділився ключовими досягненнями 2025 року та планами на 2026-й. Було проведено цікаві панельні дискусії, вікторину, а також насичений нетворкінг.

Для — це особлива честь працювати з ДП «Прозорро», єдиним державним підприємством в Україні, яке на постійній основі проводить разом з нами Bug Bounty програми.
Завдяки такій співпраці ми разом підвищуємо кібербезпеку та захищаємо прозорість цифрових процесів України.

Дякуємо за довіру та партнерство!

#Прозорро #Кібербезпека