ISO 27001: დანერგვა და მხარდაჭერა

1) რატომ არის ISO 27001 iGaming ოპერატორი

ლიცენზიები და ნდობა: ამარტივებს დიალოგს რეგულატორებთან/ბანკებთან/PSP/KYC პროვაიდერებთან.
სისტემური მიდგომა: რისკებისა და მაკონტროლებლების ერთიანი მოდელი პროდუქტებისთვის, პლატფორმისა და ვენდორის ჯაჭვისთვის.
დაზოგვა: ნაკლები ინციდენტი და ჯარიმა, კონტრაქტორების პროგნოზირებადი მოთხოვნები.

2) ISMS ტერიტორია და კონტექსტი

დაადგინეთ ISMS საზღვრები (პროდუქტები/რეგიონები/პროცესები), დაინტერესებული მხარეები (მოთამაშეები, მარეგულირებლები, ბანკები, პარტნიორები), ვალდებულებები (კანონი, ლიცენზია, ხელშეკრულებები) და დაშვება/დამოკიდებულება (ღრუბელი, სუბპროცესორები).
შედეგი: Scope & Context + steikholders და მოთხოვნები.

3) აქტივები და რისკების რეესტრი

აქტივების რეესტრი: მონაცემები (PII/KYC/ფინანსები), სერვისები (გადახდები, ანტიფროდი, KYC), ინფრასტრუქტურა (K8s/ღრუბელი), პროგრამა/საცავი, გასაღებები/საიდუმლოებები, ხალხი და როლები.
მუქარის მოდელი: PII გაჟონვა, თაღლითობა, PSP/KYC დაშლა, SDK ექსპლოატაციები, DR ჩავარდნები.
რისკების შეფასება: ალბათობის/ზემოქმედების კრიტერიუმები, დაბალი მაღალი რისკის კრიტერიუმები, რისკების მფლობელები და მიმოქცევის გეგმები: მიღება/შემცირება/თავიდან აცილება/გადაცემა.
მაკონტროლებლებთან კომუნიკაცია: A - KPI/KRI დანართიდან კონტროლის რისკი, მტკიცებულებები.

4) პოლიტიკოსები და პროცედურები (ISMS Documentation Set)

• IB პოლიტიკა, მონაცემთა კლასიფიკაცია, წვდომა და სეგმენტი (RBAC/ABAC/SoD/JIT/PAM), პაროლი და MFA, ლოგი და აუდიტი, ინციდენტის მენეჯმენტი, Bacape და DR, განვითარება და გამოშვება (SDLC C C C C C C S S S S VSecOps), დაუცველობა/პენტესტები, კრიპტოგრაფია/კლავიშების მენეჯმენტი, ვენდორფის მენეჯმენტი (TPRM), კონფიდენციალურობა (GDPR), ტრენინგი და ცნობიერება, ცვლილების მენეჯმენტი, აქტივების მენეჯმენტი და მისაღები გამოყენება, ფიზიკური უსაფრთხოება.
• დოკუმენტები ხორციელდება ვერსიების მართვისთვის, ჟურნალის ცვლილებებითა და სტატუსით (Draft/Approved/Effective).

5) დანართი A (A.5-A. 8): პრაქტიკული ზომები iGaming- ისთვის

A.5 ორგანიზაციული ზომები

როლების დელიმიტაცია, SoD, RACI; ISMS კომიტეტი; IB ყოველწლიური მიზნები; DPO/პირადი როლი.
IGA/JML (Joiner-Mover-Leaver), უფლებების რესტრუქტურიზაცია, როლების კატალოგები, როგორც კოდი.

A.6 ადამიანის რესურსები

დაქირავების შემოწმება (სადაც ლეგალურია), NDA, onboarding MFA/WebAthn- ით, რეგულარული ტრენინგები (ფიშინგი/კონფიდენციალურობა), ოფშორული მომსახურება 15 წთ

A.7 ფიზიკური ზომები

ოფისში/მონაცემთა ცენტრში წვდომის კონტროლი, სეგმენტი, CCTV/ჟურნალები, სუფთა მაგიდები/ეკრანები, მოწყობილობებისა და მატარებლების დაცვა.

A.8 ტექნოლოგიური ზომები

უსაფრთხო არქიტექტურა: WAF/CDN, mTLS, KMS/HSM, დაშიფვრა at rest/in transit, tokenization PII, RLS/CLS/შენიღბვა.
SDLC: SAST/DAST/Dependence სკანირება, IaC სკანირება, საიდუმლო სკანერები, არტეფაქტების ხელმოწერა, supply-chain კონტროლი.
ოპერაციები: ჟურნალები (WORM + ჰეშის ჯაჭვები), SIEM/SOAR, საიდუმლოებების გამოსწორების ანტიპატერები, ზურგჩანთები (3-2-1), DR ტესტები, დაუცველები/SLA petachi, განთავისუფლების ცხრილები.
CIAM/მოთამაშეები: ავთენტიფიკაციის დაცვა, მოწყობილობების რისკის შეფასება, ქცევითი ანტიბიოტიკები.

6) განაცხადი გამოყენებასთან დაკავშირებით (SoA)

მატრიცა: კონტროლი - სტატუსი (გამოყენებული/არ გამოიყენება) - დასაბუთება - მტკიცებულებების განხორციელება - მეპატრონე - მეტრიკის მფლობელი.

7) დოკუმენტებისა და ჩანაწერების მენეჯმენტი (evidence)

რეესტრები: რისკები, აქტივები, ინციდენტები, დაუცველობა, ტრენინგი, წვდომა, აუდიტი, CAPA, გამყიდველები/ქვე-პროცესორები.
ჩანაწერების მოთხოვნები: უცვლელი, მთლიანობა (ხელმოწერები/ჰეში), შენახვის დრო, სწრაფი ძებნა, კონტროლი და KPI.

8) შიდა აუდიტი და მიმოხილვა მენეჯმენტისგან

შიდა აუდიტი: ერთი წლის გეგმა (რისკზე ორიენტირებული), დიზაინის/ოპერატიული ეფექტის შემოწმება, ნიმუშები, მოხსენებები და CAPA.
მენეჯმენტის მიმოხილვა (1-2 ჯერ/წელიწადში): KPI/KRI სტატუსი, აუდიტის/ინციდენტების შედეგები, რესურსების შეფასება, რისკები და შესაძლებლობები, შემდეგი პერიოდის გადაწყვეტილებები/მიზნები.

9) მეტრიკი (KPI/KRI) ISMS- ისთვის

• პოლიტიკოსების დაფარვა და დოკუმენტების შესაბამისობა 95% -ს შეადგენს
• აუდიტის/ტრენინგის გეგმების შესრულება 95%
• SLA (High/Critical) დროულად 95% -ს შეადგენს
• ავტომატური კონტროლის წილი QoQ

• გაჟონვა/ინციდენტები PII = 0; შეტყობინებები 72 საათის - 100%
• დარღვევები SoD/JIT/შენიღბვა = 0
• წარუმატებელი DR ტესტირება = 0; ფაქტობრივი RTO/RPO ნორმალურია

10) ინტეგრაცია უკვე არსებულ პრაქტიკებთან

დააკავშირეთ ISO 27001 თქვენი ვიკის არსებულ სექციებთან: წვდომის პოლიტიკოსები და სეგმენტები, RBAC/Least Privilege, პაროლის პოლიტიკა და MFA, აუდიტის ჟურნალები, TPRM და SLA, შიდა კონტროლი და მათი აუდიტი, GDPR R/DO O O/PIA, ინციდენტები და გაჟონვა, DR/BCP.

11) როლები და RACI

12) სერტიფიკაციის გეგმა: Stage 1 - Stage 2

სცენა 1 (დოკუმენტაცია და მზადყოფნა): Scope, კონტექსტი, რისკის მოდელი, SoA, საკვანძო პოლიტიკოსები/პროცედურები, განხორციელების ჩანაწერი, Stage 2 გეგმა.
სცენა 2 (პრაქტიკა და მტკიცებულებები): ინტერვიუები, ნიმუშები, ტრეკერი, ფაქტობრივი კონტროლი.
ამის შემდეგ - მოხსენება, შეუსაბამობები, რემედიაცია, სერტიფიკატის გაცემა (ჩვეულებრივ 3 წელი) + ყოველწლიური საზედამხედველო აუდიტი.

13) განხორციელების საგზაო რუკა (12 კვირა სერთიფიკატი)

კვირები 1-2: კონტექსტი/სკოპი, სტეიკჰოლდერების რუკა, აქტივებისა და რისკების რეესტრი (პროექტი), საკომუნიკაციო გეგმა, მფლობელთა დანიშვნა.
არგუმენტები 3-4: პოლიტიკის პაკეტი v1, SoA (პროექტი), ჟურნალების/ლოჯისტიკის კატალოგები, ტრენინგის დაწყება, TPRM პროცესის დაწყება.
კვირები 5-6: კრიტიკული მაკონტროლებლების დანერგვა (MFA/WebAuthn, RBAC/ABAC/JIT, WORM-logs, bacaps/DR გეგმა, დაუცველობა/თანატოლები), შიდა აუდიტის დაწყება 11 (DE E E E).
კვირები 7-8: აღმოჩენის აღმოფხვრა, SoA- ს დახვეწა, Evidence საცავი, KPI/KRI დაშბორდები, ინციდენტის ვარჯიშები და DR მინი ტესტი.
კვირები 9-10: შიდა აუდიტი 22 (OE), მენეჯმენტის მიმოხილვა, აუდიტის დაჯავშნა, მზადება Stage 1-ისთვის (დოკუმენტების პაკეტი).
არგუმენტები 11-12: Stage 1 - სწრაფი კორექტირება - Stage 2, ოპერატიული რემონტი, მტკიცებულებების საბოლოო პაკეტი.

14) ჩეკის ფურცლები

14. 1 მზადყოფნა Stage 1

• Scope/Context დამტკიცებულია
• აქტივების/რისკების რეესტრი და შეფასების მეთოდოლოგია
• პოლიტიკოსები და პროცედურები v1 (მინიმუმ 12 ძირითადი)
• SoA (სტატუსები და დასაბუთებები)
• აუდიტის/ტრენინგის გეგმა, დანიშნა მეპატრონეები

14. 2 მზადყოფნა Stage 2

• Evidence თითოეული კონტროლისთვის A.5-A. 8
• ჟურნალები: წვდომა, ინციდენტები, დაუცველობა, ზურგჩანთები/DR, ტრენინგები
• პროტოკოლები DR/ინციდენტის სავარჯიშოები, ნიმუშები, CAPA
• სულ KPI/KRI და მენეჯმენტის მიმოხილვის გადაწყვეტილებები

14. 3 მხარდაჭერა და ზედამხედველობის აუდიტი

• წლიური აუდიტის გეგმა და რისკების განახლება
• SoA/პოლიტიკის განახლება გარემოს ცვლილებებში
• ტესტი DR - 1-2 ჯერ/წელიწადში, ტრენინგის განგაში

პერსონალის და დამწყებთათვის ტრენინგი 100%

15) ხშირი შეცდომები და როგორ მოვერიდოთ მათ

ISMS „ქაღალდზე“: არ არსებობს კავშირი „მეტრიკის კონტროლის რისკი“. გააკეთეთ დაშბორდები და რეგულარული შურისძიება.
ძალიან ფართო Scope: დაიწყეთ კრიტიკული მიკროსქემის საშუალებით (გადახდები/KUS/ძირითადი პროდი) და გააფართოვეთ.
რისკების მფლობელების არარსებობა: დანიშნეთ დომენის მფლობელები და RACI.
არ არსებობს ავტომატიზაცია: გადაიტანეთ განმეორებითი კონტროლები CCM- ში (SIEM/SOAR, სქემების მიმღები, IGA გამშვები).
მათ დაივიწყეს გამყიდველების შესახებ: TPRM, DPA/SLA/აუდიტის უფლება, სუბპროცესორების რეესტრი და მონიტორინგი.

16) შესაბამისობის შენარჩუნება (Run ISMS)

PDCA: დაგეგმეთ Design Design Tournal (კვარტალური ციკლები).
Change მენეჯმენტი: მნიშვნელოვანი ცვლილებები (არქიტექტურა, რეგიონები, მოვაჭრეები) - რისკების გადასინჯვა/SoA.
KPI/KRI ანგარიშები: ყოველთვიურად ბორდო, კვარტალურად - ISMS- ის გაფართოებული ანგარიში.
ინციდენტები და დაუცველობა: SLA კორექტირება, რეტროსპექტივები, CAPA გაუმჯობესების რეესტრში.

TL; DR

წარმატებული ISO 27001 = მკაფიო Scope და რისკის მოდელი, პრაქტიკული პოლიტიკოსის ერთობლიობა, SoA, რომელსაც აქვს რისკის კონტროლი, კონტროლი (MFA/RBAC/logs/DR/დაუცველობა), შიდა აუდიტი + მენეჯმენტის მიმოხილვა და PDCA მხარდაჭერა. გააკეთეთ გზის რუქაზე 12 კვირა - და გაქვთ ISMS სამუშაო, ემზადებით სერთიფიკატისა და ყოველდღიური ოპერაციისთვის.