تجدید مجوز و ممیزی

1) چرا اهمیت دارد

مجوز یک سند استاتیک نیست، بلکه یک تعهد برای حفظ استانداردهای RG/AML، امنیت، داده ها و گزارش است. تجدید موفقیت آمیز و ممیزی، مدیریت ریسک، بلوغ فرآیند و آمادگی برای مقیاس را تایید می کند.

اصول کلیدی: اول شواهد، بدون انسان در تولید، سیاست به عنوان کد، ردیابی.

2) انواع تجدید و ممیزی

تجدید: توسط تقویم (معمولا سالانه/یک بار در هر N سال) - ارائه فرم، هزینه ها و بسته شواهد در کنترل.
تغییرات/تغییرات (تنوع): تغییر ذینفعان، اضافه کردن عمودی، مکان های میزبانی، افراد کلیدی - نیاز به هماهنگی جداگانه دارند.
ممیزی نظارتی: بررسی سیاست/گزارش، بازاریابی/وابسته، RG/AML، سیاهههای مربوط به حوادث.
ممیزی فنی/آزمایشگاه: RNG/RTP، SDLC/منتشر شده، آسیب پذیری/pentest، DR/BCP، میزبانی و سیاهههای مربوط.
حسابرسی مالی: GGR/مالیات/ذخایر، صحت پاداش نوشتن آف، ثبت پرداخت.
ممیزی GDPR/DPA: DPIA، رجیستری پردازش، پاسخ به موضوعات، نشت/اطلاعیه ها.
PCI DSS (در صورت کار با PAN): تقسیم بندی، نشانه گذاری، ورود به سیستم، اسکن ASV.

3) تقویم تجدید: مقیاس نشانگر

T-90...60 روز - تجزیه و تحلیل شکاف، به روز رسانی سیاست ها، آزمایشگاه رزرو/حسابرسان.
T-60...30 - مجموعه ای از مصنوعات (سیاهههای مربوط، SBOM، اسکن/گزارش تست نفوذ، اعمال DR)، تایید افراد کلیدی.
T-30...14 - بسته نهایی، نمونه برداری داخلی از شواهد، آماده سازی کسانی که مسئول مصاحبه.
T-14...0 - ارسال یک بسته تمدید، پرداخت هزینه ها، پنجره های SLA برای پاسخ به تنظیم کننده.
T + 0... + 30 - پرسش و پاسخ/درخواست، اصلاح، تایید تجدید.

💡 مسیر بحرانی: افراد کلیدی → سیاست ها/رویه ها → شواهد فنی (SDLC/سیاهههای مربوط/DR) → آزمایشگاه ها/حسابرسان → Q&A

4) بسته شواهد: چه چیزی را قبل از پخت و پز کنید

ORG/راست: ساختار مالکیت, SoF/SoW (اگر اصلاح شده), CV و افراد کلیدی مراجع, ثبت نام نمایندگی.
سیاست ها: AML/CTF فعلی، RG، تبلیغات/وابسته، حفاظت از داده ها (DPIA)، حوادث، DR/BCP ؛ مجله حسابرسی و آموزش.

فناوری اطلاعات و انتشارات:

یک گزارش از انتشارات با SBOM و امضاهای مصنوعی ؛
گزارش SAST/SCA/DAST، طرح اصلاح، هیچ بحرانی/بالا بدون استثنا فعال ؛
قابلیت مشاهده: داشبورد SLO/SLI، چک های مصنوعی «سپرده/CCD/برداشت» ؛
ورود به سیستم: سیاهههای مربوط به ساختار بدون PII/PAN، حفظ و جستجو ؛
DR/BCP: اعمال تست های بازیابی، RTO/RPO، پروتکل های ورزشی اضطراری.
RG/AML: ثبت مداخله و نتیجه، خود حذفی (محلی/ملی)، گزارش معاملات مشکوک (STR/SAR)، ورود به سیستم تحریم/PEP.
بازاریابی/وابسته: لیست سفید از کانال ها، مجموعه ای از خلاقیت با برنامه ها، ورود به سیستم از نقض و اقدامات.
امور مالی/مالیات: گزارش عمودی GGR، تنظیمات پاداش/جکپات، آشتی PSP/بانک.

5) فرمت و ردیابی

هر ↔ سیاست کنترل شواهد ↔ (تصاویر، آپلود ها، هش و گزارش های تاریخ) را کنترل می کند.
Single index «Evidence Map»: کنترل جایی که → مالک ذخیره می شود → تاریخ به روز رسانی.
نسخه بندی بسته (Git/repository) + کنترل دسترسی، بنابراین حسابرسان می توانند به طور انتخابی مصنوعات را مشاهده کنند.

6) IT/Data Requirements (آنچه بیشتر تماشا می شود)

SDLC/releases: staging pipelines, manual/auto quality gates, سیاست عقبگرد, ممنوعیت تغییرات مستقیم در فروش.
زنجیره تامین: امضاهای مصنوعی، SBOM، چک پذیرش، سیاست آسیب پذیری.
اسرار و دسترسی: SSO/MFA/PAM، نشانه های کوتاه مدت، سیاهههای مربوط به جلسه محرمانه.
شبکه: تقسیم بندی، مدیریت WAF/bot، کنترل DDoS، mTLS/خروج.
قابلیت مشاهده: OTel-trails، داشبورد SLO، هشدار خطا بودجه، SRM-check در آزمایش.
داده ها: DPIA، به حداقل رساندن، داده ها توسط منطقه (اقامت)، PII/PAN سیاهههای مربوط به دسترسی.
DR/BCP: پشتیبان گیری، بازگرداندن منظم با پروتکل ها، تعویض تمرینات.

7) گذراندن حسابرسی: تاکتیک

1. Kickoff و دامنه: در محیط، لیست نمونه ها، قالب شواهد به توافق برسند.
2. اتاق داده: دسترسی ساختاری به نقشه شواهد را آماده کنید.
3. مصاحبه خشک اجرا: MLRO/DPO/RG-سرب/CTO/SRE - پرسش و پاسخ و اجرای نسخه ی نمایشی.
4. جلسات زنده: ما نشان می دهد سیاهههای مربوط، داشبورد SLO، مصنوعات انتشار، اسکریپت DR.
5. اصلاح: هماهنگی اولویت ها و مهلت ها، رفع در ردیاب.
6. بسته شدن: گزارش حسابرسی، درس های آموخته شده، به روز رسانی سیاست/کنترل، یکپارچهسازی با سیستمعامل.

8) طرح بازسازی (قالب)

شناسه کاربری	اقامت	ریسک پذیری	فعالیت ها	مالک اصلی	مدت زمان	وضعیت شرکت
SEC-01	بدون امضای تصویر در 2 سرویس	بالا	فعال کردن امضا و سیاست پذیرش	سرب پلت فرم	15 روز	در عمل
RG-02	تله متری مداخله ناقص	متوسط	گسترش رویدادها/داشبورد، انجام آموزش	سرب RG	10 روز	برنامه ریزی
AML-03	2 استثناء آسیب پذیری منقضی شده است	بالا	بستن/به روز رسانی استثنا، گزارش به SIEM	سرپرست امنیتی	7 روز	انجام شده

9) RACI (مثال: برنامه تجدید)

منطقه مورد نظر	مسئول	مسئولیت پذیری	مشاوره شده	اطلاع رسانی
نقشه شواهد و اتاق داده	پیروی از PM	رئیس انطباق	امنیت، پلت فرم، داده ها	مدیر عامل
سیاست ها و آموزش	رهبری انطباق	مدیر عامل	حقوقی، منابع انسانی	همه چیز
SDLC/انتشار/SBOM	پلت فرم/SRE سرب	CTO ها	امنیت	تطابق پذیری
پنتست/آسیب پذیری	سرپرست امنیتی	CTO ها	فروشندگان	تطابق پذیری
گزارش RG/AML	سرب RG/MLRO	مدیر عامل	پشتیبانی، داده ها	مدیر عامل
بازاریابی/شرکت های وابسته	عملیات بازاریابی	CMO	حقوقی، انطباق	امور مالی
مالی/GGR/مالیات	سرپرست امور مالی	مدیر مالی	PSP، محتوا	مدیر عامل

10) چک لیست

10. 1 تعریف آماده (60-90 روز قبل از مهلت)

به روز رسانی سیاست های AML/RG/Ad/Data/Incident ؛ تمرینات برگزار شد.
افراد کلیدی تایید شده، SoF/SoW مربوطه (در صورت لزوم).
SAST/SCA/DAST و pentest گزارش جمع آوری، بحرانی/بالا بسته بدون استثنا منقضی شده است.
سیاهههای مربوط انتشار با SBOM/امضا در دسترس هستند ؛ سیاست پذیرش در دولت اجرا.
داشبورد SLO/SLI و گزارش های بررسی مصنوعی سپرده/CCL/برداشت در دسترس هستند.
گزارش تست DR/restore در SLA RTO/RPO.
RG/AML ثبت: مداخلات, SAR/STR, خود حذفی; تحریم ها/گزارش PEP.
بازاریابی/وابسته: کانال های لیست سفید, نمونه خلاقیت با approwals.
GGR صورتهای مالی/مالیات آشتی با PSP/بانک ها.

10. 2 تعریف انجام شده (پس از تجدید/تایید حسابرسی)

نامه/تجدید گواهی دریافت شده، ثبت نام/سایت/اسناد به روز شده است.
طرح بازسازی بسته شده، سیاست ها و نقشه شواهد به روز شده است.
درس یکپارچهسازی با سیستمعامل، تغییرات روند، تقویم به روز شده است.
اطلاعیه های ارسال شده به ISP ها/PSP ها (در صورت لزوم).

11) کار با شرکت های وابسته و تبلیغات در طول دوره حسابرسی

آماده ثبت نام از کانال ها، یک نمونه از خلاقیت، شواهد از 18 +/21 + هدف، ورود به سیستم از مصوبات.
روش توقف لیست برای نقض شرکا، شرایط در قراردادهای انطباق RG/AML.
نمایش فرکانس/محدودیت داشبورد و لیست بلوک.

12) مدیریت ریسک (رجیستری)

ریسک پذیری	احتمال/تاثیر	ثبت نام	کنترل کردن	مالک اصلی
آسیب پذیری های بحرانی عقب افتاده	متر در ساعت	یافته ها> 14 روز	هیچ سیاست بحرانی/بالا، ردیابی خودکار	امنیت
گزارش های ناقص RG	متر بر متر	شکاف های رویداد	دایرکتوری رویداد، QA داده	سرب RG
عدم وجود شواهد کافی در مورد SDLC	متر در ساعت	سوالات مربوط به انتشار	SBOM/امضا، تغییر ورود به سیستم	پلت فرم
روش های DR ناپایدار	L/H	RTO/RPO نرسیده است	آزمون ترمیم سه ماهه	بررسی اجمالی
نقض تبلیغات/سهامداران	متر بر متر	شکایات، جریمه	لیست سفید، حسابرسی خلاقیت	بازاریابی و فروش

13) قالب های کوچک

نقشه شواهد (CSV) کلاه:


Control,Policy Ref,Artifact,Location,Owner,Updated At,Retention
RG-Limits,RG §4.2,Dashboard URL,obs://rg/limits,RG Lead,2025-10-15,24m
SDLC-SBOM,SDLC §3.1,sbom_2025Q4.json,repo://release/sbom,Platform Lead,2025-10-30,36m
DR-Restore,BCP §5.3,restore_report_Q4.pdf,doc://dr/reports,SRE Lead,2025-10-20,36m

طرح حسابرسی (صفحه 1):

محدوده/اهداف
لیست نمونه ها و فرمت شواهد
تقویم جلسات/مصاحبه
نقش ها و تماس ها
کانال پرسش و پاسخ و پاسخ SLA

14) سوالات مکرر

آیا من نیاز به ارائه تمام آثار در یک بار ؟ نه: یک پایگاه ارسال کنید و نمونه هایی را در صورت تقاضا ارائه دهید - اما همه چیز را آماده نگه دارید.
آیا امکان جبران نبود برخی از لاگها وجود دارد ؟ فقط با یک علت قابل توضیح و طرح اصلاح (و جدول زمانی).
چه چیزی برای تنظیم کننده مهم است - سیاست یا شواهد ؟ همیشه شواهدی وجود دارد که ثابت می کند سیاست واقعا کار می کند.

15) 30 روز برنامه کوتاه (مسیر سریع)

هفته 1: تجزیه و تحلیل شکاف نهایی، به روز رسانی سیاست، اندازه گیری SLO/log، رزرو حسابرسان.
هفته 2: جمع آوری SBOM/امضا/انتشار سیاهههای مربوط، گزارش آسیب پذیری/تست نفوذ، DR عمل می کند.
هفته 3: RG/AML/تثبیت بازاریابی، داشبورد خلاصه، مصاحبه خشک اجرا می شود.
هفته 4: پر کردن، Q&A، اصلاح سریع و تایید تجدید.

نتیجه گیری مختصر

تجدید و حسابرسی یک «تحویل گزارش» نیست، بلکه یک نمایش منظم از بلوغ فرآیند است. ساخت یک تقویم، نگه داشتن نقشه شواهد، کنترل خودکار مانند کد، حفظ قابلیت مشاهده و DR در شکل خوب است. سپس این تمدید از ریسک به روال تبدیل می شود و حسابرسی به منبع بهبود و اعتماد از تنظیم کننده ها، شرکا و بازیکنان تبدیل می شود.

تجدید مجوز و ممیزی

نتیجه گیری مختصر

با ما در تماس باشید

ارتباط سریع

ویدئو به‌زودی به‌روزرسانی می‌شود

ما در حال حاضر بسیار درگیر پروژه‌ها هستیم