რისკების შეფასება და საფრთხეების დონე

1) მიზნები და გამოყენების სფერო

მიზანი: უზრუნველყოს ერთიანი, რეპროდუქციული და დამოწმებული მიდგომა iGaming ოპერაციების იდენტიფიკაციის, გაზომვისა და მართვის რისკების შესახებ, მარეგულირებელი მოთხოვნების შესაბამისობა და ბიზნესის მთლიანი დაუცველობის შემცირება.
გაშუქება: AML/KYC/KYB, სანქციები და PEP სკრინინგი, გადახდის და ქცევითი თაღლითობის სქემები, მონაცემთა გაჟონვა და კიბერ საფრთხეები, პლატფორმის ხელმისაწვდომობა (SLA/SLO), მარეგულირებელი ცვლილებები, პარტნიორი/მომწოდებელი რისკები, საპასუხისმგებლო თამაში (RG G G G).

2) ძირითადი ცნებები და მასშტაბები

რისკი = ზიანის სიხშირის ალბათობა (ფინანსები, სამართლებრივი შედეგები, SLA/მოთამაშის გამოცდილება, რეპუტაცია).
საფრთხე არის მოვლენის წყარო (გარე/შინაგანი აქტორი, პროცესი, დაუცველობა).

• ინფორმაციული (ინფო) - სიგნალი დაუყოვნებელი ზემოქმედების გარეშე, მონიტორინგი.
• დაბალი - ადგილობრივი ინციდენტები, აღმოფხვრა, როგორც ცვლის ნაწილი.
• Medium - გავლენა ერთ რეგიონში/პროცესზე, საჭიროა ესკალაცია 4 საათის განმავლობაში.

• კრიტიკული - მნიშვნელოვანი ზიანი/მარეგულირებელი რისკები/მასობრივი მიუწვდომლობა; დაუყოვნებლივი ინციდენტის ხიდი, მენეჯმენტისა და იურისტების შეტყობინება.

• 1 - ძალიან იშვიათად; 2 - იშვიათად; 3 - ალბათ; 4 - ალბათ; 5 - თითქმის რა თქმა უნდა.

• 1 - ოდნავ; 2 - დაბალი; 3 - საშუალო; 4 - მაღალი; 5 - კრიტიკული.

3) 5 × 5 მატრიქსი და ესკალაციის ბარიერი

რისკის შეფასება = L × I (1-25).

• 1-5 მწვანე (მისაღები): მონიტორინგი, პრევენცია.
• 6-10 ყვითელი (მოითხოვს გეგმას): ვადები და პასუხისმგებლობა.
• 11-15 ნარინჯისფერი (დაჩქარებული ვარდნა): სპრინტის დავალებები, ხშირი კონტროლი.
• 16-25 წითელი (მიუღებლად): დაუყოვნებელი ესკალაცია, დროებითი „ჭერი“ და დამცავი ზომები.

• ყვითელი: 24 საათამდე რისკის მფლობელს.
• ნარინჯისფერი: 4 საათამდე - მიმართულების ხელმძღვანელი.
• წითელი: 15 წუთი ევრო ინციდენტი-ხიდი, C-level/იურიდიული სამსახური/PR/შესაბამისობა.

4) რისკების კატეგორიები iGaming- ისთვის

1. AML/სანქციები/PEP: ყალბი/პოზიტიური მოქმედება, შეზღუდვების გვერდის ავლით, „მულინგი“, სახსრების შერევა.
2. KYC/KYB: ყალბი დოკუმენტები, სინთეზური პიროვნებები, პარტნიორების ფრაგმენტები/აფილიტები.
3. გადახდის ფროიდი: carjbeki, ბონუს აბუზი, „გათეთრება ქეშების საშუალებით“, მულტიკონტინგი.
4. კიბერუსაფრთხოება/მონაცემები: ფიშინგი, ATO (ანგარიშების ჰაკერი), PII, DDoS გაჟონვა, API დაუცველობა.
5. ოპერაციული სტაბილურობა: SLA დეგრადაცია, გამოშვების ინციდენტები, გადახდის ჯაჭვების გაუმართაობა.
6. მარეგულირებელი და ჯარიმები: ადგილობრივი წესების შეუსრულებლობა, ანგარიშგებები, რეკლამა.
7. საპასუხისმგებლო თამაში (RG): დამოკიდებულების ესკალაცია, თვითგამოხატვა, ლიმიტები.
8. მესამე წრე/Wendora: მიმწოდებლის ვარდნა, მონაცემთა დამუშავების დარღვევები, სანქციების რისკები.

5) შეფასების მეთოდოლოგია (ციკლის დასრულება)

1. იდენტიფიკაცია:

წყაროები: ანტიფროდული ლოგოები, SIEM/SOAR, საქმის მენეჯმენტი, რეგულატორების მოხსენებები, მოთამაშეთა საჩივრები, პარტნიორების მონიტორინგი, პენტესტის მოხსენებები.

2. მიზეზებისა და სკრიპტების ანალიზი:

„რა“ არხებით: რეგისტრაცია - გადამოწმება, დეპოზიტები, პრემიები - დასკვნები და საფოსტო პორტები.

3. რაოდენობრივი:

SLE/ALE: ერთჯერადი და წლიური მოსალოდნელი ზიანი;

დიაპაზონი: P10/P50/P90 (სეზონური ჩათვლით);

სტრესის ტესტები: ტრეფიკი/კამპანიები/სპორტსმენები.
4. კონტროლის შეფასება: პრევენციული, დეტექტიური, მაკორექტირებელი ზომები; ეფექტურობა (ბლოკირების წილი, FPR/FNR).
5. დამუშავების გეგმა: მიღება/შემცირება/გადაცემა (დაზღვევა/აუთსორსი )/აღმოფხვრა (პროცესის შეცვლა).
6. მონიტორინგი და მოხსენებები: KRI/KPI, დაშბორდები, პოსტ-ინციდენტის რეტროსპექტივები.

6) ძირითადი რისკის ინდიკატორები (KRI) და KPI

• სანქციების ალერტების წილი/REP 1k რეგისტრაციებზე; სახელმძღვანელო შემოწმების დრო;% ყალბი პოზიტიური.

• Chargeback Rate; Net Fraud Loss% GGR;% ბონუს აბუსი; ფროიდის სიგნალის დაბლოკვა.

• ATO rate 1k ლოგინებზე; გამოჩენამდე დრო (MTTD) და აღდგენამდე (MTTR); კრიტიკულ დაუცველობებში.

• SLO აფთიაქი; ინციდენტების სიხშირე; მანქანის კატის წარმატება (rollback success).

• გამოხატვის%; შეზღუდვების გადამეტებული მოთამაშეთა წილი; საპორტო რეაქციის დრო.

7) მუქარის დონე და მოქმედებების მითითება

8) ბარიერები (სავარაუდო მითითებები - ადაპტირება იურისდიქციის ქვეშ)

სანქციები/REP: Hit-rate> 1. რეგისტრაციების 5% (საშუალო), 3% (მაღალი).
KYC FPR: > 8% (Medium), 12% (High).
Chargeback Rate: > 0. 8% (Medium), 1. 2% (High), 1. 5% (Critical).
ATO: > 0. 3 1k ლოგინზე (Medium), 0. 6 (High).
SLA გადახდის პროვაიდერები: აფთიაქი <99. კვირის 5% (Medium), 99. 0% (High).
RG ესკალაცია: საჩივრები დამოკიდებულების შესახებ> ძირითადი ხაზის 50% -ით (მაღალი).

9) საკონტროლო ზომები და არქიტექტურული ნიმუშები

პრევენციული: სანქციების/RER სკრინინგი on-boarding- ზე და გადახდამდე; ქცევითი ბიომეტრია; device-fingerprinting; დეპოზიტების/დასკვნების ლიმიტები; 2FA/WebAuthn; ქსელის სეგმენტი; დაშიფვრა PII; „ორი თვალი“ გადამოწმებაში.
დეტექტიური: ნამდვილი დრო ანტიფროდიული წესები; SIEM კორელაციები; KRI- ს ანომალიების ალერტები; honeypot ანგარიშები.
მაკორექტირებელი: დროებითი ფუნქციების ბლოკები (bonuses/payouts), AML შემოწმების გაზრდილი დონე, გამოშვების სცენარები, გასაღებების/საიდუმლოებების როტაცია, ცხელი ფიქსაცია.
პროცესები: RACI ინციდენტებისთვის, სავალდებულო პოსტ-mortems (5-დან), ცვლილებების კონტროლი (CAB), რეგულარული tabletop სავარჯიშოები.

10) რისკების რეესტრი (საველე შაბლონი)

ID, კატეგორია, სცენარი, მიზეზები/დაუცველობა, მფლობელები (ბიზნესი/მათ), L, I, Ball, Zone, Controlly (მიმდინარე/გეგმა), KRIs ბარიერი, სტატუსი, ვადა, გადასინჯვის თარიღი.

ჩაწერის მაგალითი

11) სცენარის ანალიზი და სტრესის ტესტები

ძირითადი ტურნირის განმავლობაში ბონუს აბუზი: ახალბედა ზრდა, ერთ ბარათზე/მოწყობილობაზე ანაბრების მკვეთრი ზრდა, გამკაცრება velocity წესებით, პრომო ლიმიტები, ხელით შემოწმება.
გამყიდველის უარი KYC: ჩართეთ სარეზერვო პროვაიდერი, შეამციროთ დასაშვები ლიმიტების დერეფანი, საჭიროების შემთხვევაში - დროებით აიკრძალოს სწრაფი დასკვნები.
DDoS/აფთიაქის დეგრადაცია: WAF/Rate-Limit გააქტიურება, გეო-მოწყვეტა, ტრაფიკის მარშრუტიზაცია, გამოშვებების გაყინვა.

12) მოხსენებები და კომუნიკაციები

დაშბორდები: KRIs დომენებზე, ზონების „შუქნიშანი“, რომელიც მიმდინარეობს მაღალი/კრიტიკული შემთხვევები.
კადენსი: ყოველდღიური მოხსენებები ოპერატორებისთვის, ყოველკვირეული ტენდენციის ხიდები, ყოველთვიური რისკის კომიტეტი (რეესტრის განახლება, შემცირების გეგმები).
სავალდებულო შეტყობინებები: რეგულატორი/ბანკი/გადახდის პარტნიორები AML/გაჟონვის/მასობრივი ინციდენტების დარღვევისას - ადგილობრივი მოთხოვნების შესაბამისად.
დოკის კვალი: გადაწყვეტილებების ჟურნალი, პოსტ-mortems არტეფაქტები, CAPA (Corrective and Preventive Actions) განხორციელების კონტროლი.

13) როლები და პასუხისმგებლობა (RACI, გაფართოებული)

რისკის მფლობელი (Business/Compliance): შეფასება L/I, შემცირების გეგმა, მოხსენებები.
უსაფრთხოება/FRM: დეტექტივი, ანტიფროდული წესები, SOAR ფლეიბუკი.
Data/ML: სკორინგის მოდელები, რეიდების კალიბრაცია, A/B წესები.
Ops/SRE: სტაბილურობა, SLO, ავტოკატი/ფიგურის დროშები.
Legal/PR: კომუნიკაცია მარეგულირებლებთან/ბანკებთან/საზოგადოებაში.
მხარდაჭერა/VIP: პირველადი რეაქცია მოთამაშეთა შემთხვევებზე.

14) განხორციელება (საგზაო რუკა)

1. კვირა 1-2: რისკების ინვენტარიზაცია, მასშტაბების კოორდინაცია, ბაზის 5 × 5 მატრიცის და რეესტრის გაშვება.
2. კვირა 3-4: KRIs Onboarding, ალერტების ინტეგრაცია, RACI და პოსტ-mortem- ის შაბლონები.
3. თვე 2: სარეზერვო პროვაიდერები (KUS/სანქციები), SOAR playbuks, წესების ბექტესტი.
4. თვე 3 +: სცენარის სტრესის ტესტი, ეფექტურობის აუდიტი, ბარიერების გადახედვა და რისკის მადის გაკეთება.

15) პროგრამები

• ალბათობა: {1: 1/წელი, 2: კვარტალი, 3: ყოველთვიურად, 4: ყოველკვირეულად, 5: ყოველდღიურად
• გავლენა (ფინანსები): {1: <5k, 2: 5-25k, 3:1 25-100k, 4: 100-500k, 5:>, 500k}
• გავლენა (მარეგულირებელი): {1: არა, 2: მოთხოვნა, 3: ბრძანება, 4: ჯარიმის რისკი, 5: გაწვევის/დიდი ჯარიმის მაღალი რისკი

• AML/KYC - სანქციები/RER - RG - DLP/PII/SRE/გამოშვებები/FRM.

• მასშტაბები/მატრიცა შეთანხმებულია; KRIs ითვლება ნაკადულად; დაფიქსირდა ბარიერები; SOAR playbuks ტესტირება; დაკავშირებულია სარეზერვო პროვაიდერები; ყოველთვიური რისკის კომიტეტი აქტიურია; CAPA ტრეკერი მიმდინარეობს.

მოკლე TL; DR

ერთიანი 5 × 5 მატრიცა + მკაფიო KRIs და ბარიერები - ავტომატური ალერტები და მკაფიო playbook 'და სწრაფი დონის ესკალაცია (ინფო-კრიტიკული) - რეგულარული პოსტ-mortems და რისკების გადაფასება. ეს ამცირებს ზარალს, აჩქარებს რეაქციებს და აძლიერებს შესაბამისობას iGaming- ში.