Evaluación de riesgos y niveles de amenazas

1) Objetivos y ámbito de aplicación

Objetivo: proporcionar un enfoque único, reproducible y verificable para identificar, medir y gestionar los riesgos de las operaciones iGaming, cumplir con los requisitos regulatorios y reducir la vulnerabilidad agregada del negocio.
Cobertura: AML/KYC/KYB, cribado de sanciones y PEP, esquemas fraudulentos de pago y comportamiento, filtraciones de datos y amenazas cibernéticas, disponibilidad de plataformas (SLA/SLO), cambios regulatorios, riesgos de socios/proveedores, juego responsable (RLA) G).

2) Conceptos básicos y escalas

Riesgo = probabilidad de evento × magnitud del daño (finanzas, consecuencias legales, SLA/experiencia del jugador, reputación).
La amenaza es la fuente del evento (actor externo/interno, proceso, vulnerabilidad).

• Información (Info) - Señal sin impacto inmediato, monitoreo.
• Bajo - incidentes locales, solución dentro del turno.
• Medium - impacto en una región/proceso, se requiere una escalada dentro de las 4 h.
• Alto - impacto de servicio cruzado/aumento de pérdidas, escalada obligatoria ≤ 1 h.
• Critical - Daños sustanciales/riesgos regulatorios/inaccesibilidad masiva; inmediato incidente-puente, notificación a la gerencia y a los abogados.

• 1 - extremadamente raro; 2 - raramente; 3 - posible; 4 - probablemente; 5 es casi seguro.

• 1 - insignificante; 2 - bajo; 3 - promedio; 4 - alto; 5 - Crítico.

3) 5 × 5-matriz y umbrales de escalamiento

Evaluación de riesgo = L × I (1-25).

• 1-5 Verde (aceptable): monitoreo, prevención.
• 6-10 Amarillo (requiere un plan): deduplines y responsables.
• 11-15 Naranja (disminución acelerada): tareas en sprint, control frecuente.
• 16-25 Rojo (inaceptable): escalada inmediata, «solapamientos» temporales y medidas de protección.

• Amarillo: hasta 24 h → al propietario del riesgo.
• Naranja: hasta 4 h → al jefe de dirección.
• Rojo: ≤ 15 min → incidente-puente, C-level/yurslab/PR/cumplimiento.

4) Categorías de riesgo para iGaming

1. AML/Sanciones/PEP: falsos/positivos, eludir restricciones, «mulling», mezclar fondos.
2. KYC/KYB: documentos falsos, identidades sintéticas, feudo de socios/afiliados.
3. Frod de pago: charjbeki, bonus abuz, «lavado a través de cash out», multiaccounting.
4. Ciberseguridad/Datos: phishing, ATO (hackeo de cuentas), filtraciones de PII, DDoS, vulnerabilidades de API.
5. Sostenibilidad operativa: degradaciones de SLA, incidentes de lanzamientos, fallas en las cadenas de pago.
6. Regulaciones y multas: incumplimiento de las normas locales, reportes, publicidad.
7. Juego responsable (RG): escaladas de dependencia, autoconstrucción, límites.
8. Tercer circuito/Vendedores: caída del proveedor, irregularidades en el procesamiento de datos, riesgos sancionadores.

5) Metodología de evaluación (ciclo transversal)

1. Identificación:

fuentes: registros antifraude, SIEM/SOAR, gestión de casos, informes de reguladores, quejas de jugadores, monitoreo de socios, informes pentest.

2. Análisis de causas y escenarios:

«que si» por los canales: registro → verificación → depósitos → bonificaciones → retiros → sapport.

3. Cuantificación:

SLE/ALE: daños no recurrentes y anuales previstos;

Rangos: P10/P50/P90 (como la estacionalidad);

Pruebas de estrés: aumento del tráfico/campañas/deportes.
4. Evaluación del control: medidas preventivas, detectives, correctivas; eficiencia (proporción de bloqueos, FPR/FNR).
5. Plan de procesamiento: aceptar/reducir/transferir (seguro/subcontratar )/eliminar (cambiar el proceso).
6. Monitoreo e informes: KRI/KPI, dashboards, retrospectivas posteriores a incidentes.

6) Indicadores clave de riesgo (KRI) y KPI

• Proporción de alertas de sanciones/RR por 1 k de registros; tiempo de verificación manual;% de falsos positivos.

• Chargeback Rate; Net Fraud Loss% de GGR;% bono abusivo; conversión de la señal de frod en bloqueo.

• ATO rate en 1k logs; tiempo antes de la detección (MTTD) y antes de la reconstitución (MTTR); en las vulnerabilidades críticas.

• SLO uptime; Frecuencia de los incidentes de lanzamiento; éxito del autocat (éxito de rollback).

• % de autocuidaciones; la proporción de jugadores que superan los límites; tiempo de reacción del sapport.

7) Niveles de amenazas y enlace a la acción

8) Umbrales (puntos de referencia aproximados - adaptarse a la jurisdicción)

Sanciones/RER: Hit-rate> 1. 5% de inscripciones (Medium), 3% (High).
KYC FPR: > 8% (Medium), 12% (High).
Chargeback Rate: > 0. 8% (Medium), 1. 2% (High), 1. 5% (Critical).
ATO: > 0. 3 en 1k de inicio de sesión (Medium), 0. 6 (High).
Proveedores de pago SLA: aptime <99. 5% semana (Medium), 99. 0% (High).
RG de escalamiento: quejas de dependencia> línea base en un 50% (High).

9) Medidas de control y patrones arquitectónicos

Preventivos: cribado sancionador/RR para on-boarding y antes del pago; biometría conductual; device-fingerprinting; Límites de depósitos/retiros; 2FA/WebAuthn; segmentación de redes; cifrado PII; «dos ojos» en las verificaciones.
Detectives: real-time reglas antifraude; Correlación SIEM; alertas de anomalías por KRIs; cuentas honeypot.
Correctivos: bloques de funciones temporales (bonuses/payouts), niveles elevados de comprobaciones AML, secuencias de comandos de lanzamiento, rotación de claves/secretos, hot-fixes.
Procesos: RACI para incidentes, postmortems obligatorios (con 5 Whys), control de cambios (CAF), ejercicios regulares de tabletop.

10) Registro de riesgos (plantilla de campo)

ID, Categoría, Script, Causas/vulnerabilidades, Propietarios (negocios/esos), L, I, Punto, Zona, Controles (actual/plan), Umbral de KRIs, Estado, Deduplines, Fecha de revisión.

Ejemplo

11) Análisis de escenas y pruebas de estrés

Bonus Abuz durante un torneo importante: ráfaga de principiantes, aumento drástico de depósitos en una sola tarjeta/dispositivo → endurecer las reglas de velocity, límites en la promoción, comprobaciones manuales.
Fallo del proveedor KYC: habilitar el proveedor de respaldo, acotar el corredor de límites permitidos, si es necesario, prohibir temporalmente las salidas rápidas.
DDoS/degradación de aptime: activación WAF/Rate-Limit, corte geográfico, enrutamiento de tráfico, congelación de lanzamientos.

12) Informes y comunicaciones

Dashboards: KRIs por dominios, zonas de «semáforo», casos actuales de High/Critical.
Cadens: informes diarios a los operadores, puentes semanales por tendencia, comité mensual de riesgo (actualización del registro, planes a la baja).
Notificaciones obligatorias: regulador/banco/socios de pago en infracciones AML/fugas/incidentes masivos - según requisitos locales.
Dock-trace: registro de soluciones, artefactos post-mortem, control de ejecución CAPA (acciones correctivas y preventivas).

13) Roles y responsabilidades (RACI, ampliada)

Propietario del riesgo (Business/Compliance): evaluación de L/I, plan de reducción, informes.
Seguridad/FRM: detección, reglas antifraude, SOAR playbooks.
Datos/ML: modelos de puntuación, calibración de umbrales, reglas A/B.
Ops/SRE: estabilidad, SLO, autocat/banderas de fijas.
Legal/PR: comunicaciones con reguladores/bancos/públicos.
Soporte/VIP: respuesta primaria a los casos de los jugadores.

14) Aplicación (hoja de ruta)

1. Semana 1-2: inventario de riesgos, negociación de escalas, lanzamiento de la base 5 × la matriz 5 y el registro.
2. Semana 3-4: onboarding KRIs, integración de alertas, RACI y patrones post mortem.
3. Mes 2: proveedores de reservas (CUS/sanciones), SOAR playbucks, reglas de respaldo.
4. Mes 3 +: prueba de estrés escénico, auditoría de rendimiento, revisión de umbrales y apetito de riesgo.

15) Aplicaciones

• Probabilidad: {1: ≤1/god, 2: trimestral, 3: mensual, 4: semanal, 5: diario}
• Impacto (finanzas): {1: <5k €, 2: 5-25k €, 3: 25-100k €, 4: 100-500k €, 5:> 500k €}
• Impacto (regulación): {1: no, 2: solicitud, 3: prescripción, 4: riesgo de multa, 5: alto riesgo de revocación/multa mayor}

• AML/KYC ↔ sanciones/RE ↔ RG ↔ DLP/PII ↔ ERE/lanzamientos ↔ Pagos/FRM.

• Las escalas/matrices están armonizadas; Los KRIs de streaming se consideran; umbrales fijados; Se han probado los reproductores SOAR; los proveedores de respaldo están conectados; el comité mensual de riesgos está activo; El rastreador CAPA está en marcha.

TL corto; DR

Una sola matriz de 5 × 5 + KRIs claros y umbrales → alertas automáticas y playbook nítidos 'y → escaladas rápidas por niveles (Info→Critical) → postmortem regulares y reevaluación de riesgos. Esto reduce las pérdidas, acelera las reacciones y fortalece la posición de cumplimiento en iGaming.