Зміст

  1. 1. Gmail і ABV для службової пошти
  2. 2. Відсутність SPF, DKIM і DMARC
  3. 3. Відсутність cookie-банера з реальним вибором
  4. 4. Політика конфіденційності 2018 або 2021 р.
  5. 5. Mixed content – HTTP-посилання на HTTPS-сайті
  6. 6. IP-адреса сервера в URL
  7. 7. Вбудоване відео YouTube без cookie consent
  8. Що це означає для вашої організації?
  9. Що робити зараз?

Нам не знадобився пароль. Нам не знадобився доступ до сервера. Ми відкрили браузер, завантажили публічний сайт однієї громади (общини) і за 15 хвилин виявили 7 порушень Закону про кібербезпеку (ЗКС), GDPR і Закону про електронне врядування (ЗЕУ) – кожне з яких може призвести до штрафу.

Ось що ми знайшли – і як перевірити власний сайт у такий самий спосіб.

1. Gmail і ABV для службової пошти

На сторінці «Контакти» ми побачили адреси електронної пошти працівників на @gmail.com та @abv.bg. Це потрійне порушення:

  • ЗКС, ст. 22, п. 5 – відсутність контролю над ланцюгом постачання. Google і ABV не є договірними постачальниками громади.
  • GDPR, ст. 28 – немає договору про обробку персональних даних із Google/ABV.
  • ЗЕУ – електронне листування адміністрації має вестися в захищеному середовищі.

Як перевірити: Відкрийте сторінку «Контакти» на вашому сайті. Якщо ви бачите @gmail.com, @abv.bg або @hotmail.com – у вас проблема.

2. Відсутність SPF, DKIM і DMARC

Ми перевірили DNS-записи домену. Не було ні SPF, ні DKIM, ні DMARC. Це означає, що будь-хто може надсилати підроблені листи від імені громади.

  • ЗКС, ст. 22, п. 8 – криптографічні заходи та захист комунікацій.
  • ЗКС, ст. 22, п. 1 – відсутність політики інформаційної безпеки.

Як перевірити: Перейдіть на mxtoolbox.com → введіть домен → подивіться, чи є записи SPF, DKIM, DMARC.

Сайт завантажував Google Analytics, YouTube iframe і Facebook widget ще до того, як користувач надав згоду. Cookie-банер або був відсутній, або мав лише кнопку «Приймаю» без можливості відмовитися.

  • GDPR, ст. 6 і ст. 7 – обробка персональних даних без дійсної згоди.
  • Директива 2002/58/ЄС (ePrivacy) – обов'язкова згода (consent) перед використанням non-essential cookies.

Як перевірити: Відкрийте сайт у режимі Incognito. Якщо ви бачите запити до YouTube, Facebook або Analytics ще до того, як щось натиснули, – це порушення.

4. Політика конфіденційності 2018 або 2021 р.

Ми знайшли Privacy Policy, востаннє оновлену у 2021 р. У ній не згадувалися ні ЗКС, ні NIS2, ні контакт DPO, ні процедура повідомлення про інциденти.

  • GDPR, ст. 13 і ст. 14 – обов'язок надавати актуальну інформацію.
  • ЗКС, ст. 23 – процедура повідомлення про інциденти (24/72 години до СЕРІКС).

Як перевірити: Відкрийте Privacy Policy на вашому сайті. Перевірте дату. Якщо вона раніша за 2026 р. і не згадує ЗКС – політика застаріла.

5. Mixed content – HTTP-посилання на HTTPS-сайті

Сайт мав HTTPS-сертифікат, але внутрішні ресурси (зображення, скрипти) завантажувалися через HTTP. Це mixed content – браузер показує попередження, а шифрування сторінки скомпрометоване.

  • ЗКС, ст. 22, п. 8 – криптографічні заходи.
  • ЗЕУ, Постанова про загальні вимоги – обов'язковий HTTPS для всіх публічних систем.

Як перевірити: Відкрийте сайт у Chrome → F12 → Console. Якщо ви бачите попередження «Mixed Content» – у вас проблема.

6. IP-адреса сервера в URL

Під час кліку на певні посилання URL показувала безпосередньо IP-адресу замість домену (наприклад, http://185.xxx.xxx.xx:8080/page). Це розкриває інфраструктуру й полегшує атаки.

  • ЗКС, ст. 22, п. 6 – оцінка ефективності заходів безпеки.
  • ЗКС, ст. 22, п. 1 – політики аналізу ризиків.

Як перевірити: Переходьте сторінками сайту й стежте за адресним рядком. Якщо ви бачите IP-адресу або нестандартний порт (:8080, :3000) – серверну архітектуру розкрито.

Відео YouTube були вбудовані звичайним iframe, без youtube-nocookie.com. Це означає, що Google встановлює відвідувачеві tracking cookies ще до будь-якої згоди.

  • GDPR, ст. 6 – обробка без правової підстави.
  • GDPR, ст. 28 – відсутність договору про обробку з Google.

Як перевірити: Перегляньте вихідний код сторінки (Ctrl+U). Шукайте «youtube.com/embed». Якщо це не «youtube-nocookie.com/embed» – це порушення.

Що це означає для вашої організації?

Кожне з цих 7 порушень видно публічно – без пароля, без доступу, без злому. Будь-який громадянин, журналіст чи перевіряльник від Міністерства електронного врядування (МЕУ) може виявити їх за лічені хвилини.

З набранням чинності ЗКС (ДВ № 17/13.02.2026) МЕУ вимагатиме доказів виконання, а не лише декларацій. НСОРБ (Національне об'єднання громад у Республіці Болгарія) прямо попередило про це у своєму консультативному матеріалі від 13.02.2026 р.

Санкції:

  • Особистий штраф для керівника: 500–5 000 EUR (ст. 21 ЗКС)
  • У разі невиконання припису: 2 500–12 000 EUR, повторно 5 000–25 000 EUR (ст. 28 ЗКС)
  • Максимальна санкція: до 10 000 000 EUR або 2% річного обороту (ст. 29 ЗКС)

Що робити зараз?

  1. Безкоштовне AI-сканування – наш інструмент перевіряє ваш публічний сайт на основні порушення за лічені секунди → avigentis.eu/app
  2. Завантажте контрольний перелік із 48 пунктів – повний перелік перевірок у 8 нормативних блоках → Завантажити PDF
  3. Зв'яжіться з нами – для повного аудиту зі звітом для МЕУ → avigentis.eu/kontakt

«Авігентіс» ЕООД є консультантом з кібербезпеки, а не гарантом. Відповідальність за виконання ЗКС несе суб'єкт (ст. 21 ЗКС).