Маалымат коопсуздугу жана шифрлөө

1) Эмне үчүн iGaming маанилүү

iGaming платформасы PII, каржылык реквизиттер, оюн сессиялары, жүрүм-турум белгилери, антифрод сигналдары жана ML моделдери менен иштейт. Бул маалыматтардын ачыкка чыгышы же алмаштырылышы айып пулдарга, рыноктордун бөгөттөлүшүнө, аброюна зыян келтирүүгө жана метриктердин регрессиясына (GGR, кармап калуу) алып келет.

• Купуялуулук (PII/каржыга минималдуу жеткиликтүүлүк).
• Бүтүндүк (алмаштыруудан жана "кир" маалыматтардан коргоо).
• Жеткиликтүүлүк (окуу/жазуу үчүн SLO, DR пландары).
• Байкоо (ким көргөн/өзгөрткөн жана качан).

2) коркунуч модели (кыскача)

Тышкы: компромисс API/интеграция, MITM, ransomware, жөнөтүүчүлөр (supply chain).
Ички: ашыкча укуктар, "көмүскө" жүктөр, уулуу логдор, конфигурация каталары.
Маалыматтар жана ML: окуя/сүрөт алмаштыруу, модель инверсия, membership inference.
Юрисдикциялар: чек ара чектөөлөрү, жергиликтүү сактоо жана алып салуу талаптары.

3) Транзитте шифрлөө (In Transit)

TLS 1. 2+/1. 3 гана, алсыз shifrosuites өчүрүү; TLS артыкчылык 1. 3.
mTLS үчүн (ядро dataleyk, каталог fichestor, провайдерлер).
PFS (ECDHE) - милдеттүү.
Certificate pinning мобилдик/desktop-кардарлар жана маанилүү бириктирүү боюнча.
API-кол суроо-провайдерлер/PSP (HMAC-SHA-256) жана убакыт контролдоо/кайталоо (nonce, idempotency keys).

4) сактоо боюнча шифрлөө (At Rest)

• Булуттагы томдорду/объектилерди/K8s шифрлөө (ачык-айкын, бирок бузулган кызмат менен "мыйзамдуу" окуудан коргобойт).

• TDE (Transparent Data Encryption) - негизги катмар.
• FLE/Column-деңгээл "ысык" талаалар үчүн AEAD (электрондук почта, тел, PAN-белгилер): AES-256-GCM же ChaCha20-Poly1305.
• Row-level өзгөчө сезимтал жазуулар үчүн ачкычтар (VIP, төлөмдөр).

• Envelope encryption (KMS-башкарылуучу DEK, айлануу), ачкычтарга кирүүнү көзөмөлдөө.
• Кол манифесттер жана бүтүндүктү көзөмөлдөө (hash/checksum, пакеттер үчүн Merkle дарактар).

5) крипто шайлоо (практика)

Симметриялуу шифрлөө: уникалдуу nonce/IV менен AES-GCM/ChaCha20-Poly1305 (AEAD); сактоо 'ciphertext + auth tag'.
Хэш: бүтүндүгү үчүн SHA-256/512; сырсөздөр үчүн - параметрлөө жана туз менен Argon2id (же bcrypt/scrypt).
Кол тамга: артефакттар/пакеттер үчүн Ed25519/ECDSA P-256; HMAC-SHA-256 кол коюу үчүн.
Негизги келишимдер: ECDH (P-256/Curve25519).

6) Ачкычтарды башкаруу (KMS/HSM)

KMS + HSM башкы ачкычтарды түзүү/сактоо үчүн; envelope encryption для DEK.
Ротация: үзгүлтүксүз (календардык) жана окуя боюнча (окуя). Миграция мезгилине кош окууга колдоо көрсөтүү.
Милдеттерди бөлүштүрүү (SoD), "break-glass" үчүн M-of-N, бардык операцияларды каттоо.
Өзгөчө маанилүү сырлар үчүн Split-key/Shamir (мисалы, кол тамгасы).
Geo-scoping ачкычтар: региондор/бренддер үчүн ар кандай ачкычтар.

7) Жашыруун башкаруу

Борборлоштурулган Secrets Manager (репозиторий чөйрөсүндөгү өзгөрмөлүү эмес).
JIT-сырлар (кыска жашоо), авто-айлануу жана кайра карап чыгуу.
Sidecar/CSI үчүн сырларды жеткирүү K8s.
Жашыруун логиге/соодага тыюу салуу; CI агып детекторлор.

8) Маалыматтардын бүтүндүгү жана ишеними

Иш-чараларга/пакеттерге кол коюу (продюсер) жана текшерүү (консультант).
Event-idempotentity жана анти-replay үчүн уникалдуу ачкычтар.
Схемаларды көзөмөлдөө (Schema Registry, шайкештиги), Data Contracts катары "ишеним чеги".
маанилүү журналдар жана отчеттуулук үчүн WORM-сактоо.

9) Токенизация, маскировка жана DLP

PII/финансы (vault/FPE/DET) токенизациясы - логдордо, витриналарда, фичтерде токендерди колдонуу.
UI жана разгрузка жашыруу; билеттердин/чаттардын тексттериндеги PII редакциясы (NLP-санитайзинг).
DLP саясаты: тыюу салынган үлгүлөрү (PAN, IBAN, паспорт), блок, почта текшерүү/FTP/S3.

10) Кирүү жана аудит

RBAC/ABAC: ролу + атрибуттар (өлкө, бренд, айлана-чөйрө); эң аз укуктар.
JIT-жетүү менен auto-сын; N күндө бир жолу - укугумдун ыры.
mTLS + IP allowlist башкаруу панелдер жана критикалык end-пункттары үчүн.
Аудит-Логи өзгөрүлбөс (WORM/append-only), SIEM менен байланыш.
Break-glass: жеке ролдору/ачкычтары, милдеттүү пост-мортем.

11) Камдык жана DR

3-2-1: 3 көчүрмөлөрү, 2 ар кандай медиа/ХСД, 1 offline/обочолонгон (air-gapped).
Backaps өз ачкычтары менен шифрлөө (провайдер эмес), график боюнча калыбына келтирүү сынагы.
домендер үчүн RPO/RTO (төлөмдөр <X мин., оюн окуялар <Y мин.).
Регионалдык репликация менен крипто изоляция ачкычтар жана тармактар.

12) Купуялык жана комплаенс

Маалыматтарды классификациялоо (Public/Internal/Confidential/Restricted).
минималдаштыруу жана максаттуу байланыш (KYC, AML, RG, отчеттуулук).
Сактоо жана алып салуу саясаты: Graphics, Legal Hold, DSAR; крипто-өчүрүү.
Трансграничность: геозонирование и случаи локального хранения.

13) Маалыматтардын коопсуздугу

Zero-PII (каптоо метрикасы), DLP иштеп жатканда алерта.
Негизги ден соолук: айлануу, шифрдик операциялардын бузулушу, KMS/HSM аномалиялары.
Integrity SLI: кол коюлган топтомдор/окуялар жана текшерилген signature-текшерүү үлүшү.
Latency SLO: p95 токенизациялоо/детокенизациялоо, шифрлөө/шифрлөө.
Access SLO: максаттуу убакытта иштелип JIT арыздар үлүшү.

14) Аспаптар жана технологиялык катмарлар (категориялар)

KMS/HSM: мастер ачкычтар, envelope, кол.
Secrets Manager: JIT-сырлар, айлануу.
TLS-Терминация/mTLS-mesh: ingress/service mesh.
DLP/Masking: текшерүү, санитардык.
Schema Registry/Contracts: шайкештиги, PII тыюу.
SIEM/SOAR: аудит-логтордун байланыш, автоматтык жооп.
Backup/DR: backup топтоо, калыбына келтирүү сыноо.

15) Үлгүлөр (колдонууга даяр)

15. 1 Шифрлөө саясаты (фрагмент)

Алгоритмдер: AES-256-GCM/ChaCha20-Poly1305; Ed25519 кол тамгасы; хэш SHA-256.
Keys: HSM генерациялоо; 90 күн же окуя учурунда айлануу; geo-scoped.
Кирүү: mTLS аркылуу гана тейлөө эсептери; JIT токендер.
Журналдар: WORM режими; сактоо ≥ N ай.
Өзгөчөлүктөр: CISO/DPO чечими боюнча, негиздемени жазуу менен.

15. 2 Корголгон маалыматтар топтомунун паспорту

Домен/стол: payments. transactions

Класс: Restricted (каржы)

Шифрлөө: FLE (AES-GCM) 'card _ token', 'iban', 'payer _ id'

ачкычтар: DEK per-field (envelope KMS)

Токенизациялоо: PAN/Phone/Email үчүн Vault токендери

Кирүү: ABAC (өлкө, ролу "Payments-Ops"), JIT

Журналдар: кол топтомдор, WORM, retenshn 2 жыл

15. 3 Маалымат чыгаруу чек тизмеси

• Келишим "боз" аймактарда PII тыюу салат, талаалар белгиленет 'pii/tokenized'
• TLS 1. 3 жана mTLS S2S киргизилген
• FLE/TDE орнотулган, KMS/HSM ачкычтары, айлануу активдүү
• DLP эрежелери жана блогдорду жашыруу сыноолордон өтүүдө
• Backaps шифрленген, сыналган калыбына келтирүү сыноо
• SIEM аудит логин алат; "таза зонадан" тышкары детокенизациялоо аракети

16) Ишке ашыруунун жол картасы

0-30 күн (MVP)

1. Маалыматтарды классификациялоо жана агым картасы (PII/Finance/ML).
2. TLS 1 кирет. 3/mTLS үчүн S2S; алсыз шифросьюттарга тыюу салуу.
3. KMS/HSM жогорулатуу; envelope схемасына ачкычтарды которуу.
4. 3 критикалык домендер (Payments/KYC/RG) үчүн TDE жана FLE кирет.
5. Блог жана негизги DLP эрежелерди жашыруу; Zero-PII аттестациясы.

30-90 күн

1. Токенизациялоо PII/каржы (vault/FPE); JIT жетүү жана детокенизация аудит.
2. Иш-чаралардын жана integrity-чектердин кол коюу ingestion/ETL.
3. Үзгүлтүксүз ачкычтарды айлантуу, VIP төлөмдөр үчүн split-key.
4. Backaps: 3-2-1, оффлайн көчүрмөсү, ай сайын калыбына келтирүү күнү.
5. Dashbord SLO (Zero-PII, Integrity, Key-Health, Latency).

3-6 ай

1. Geo-scoped ачкычтар/юрисдикциялар боюнча маалыматтар; чек ара саясатчылары.
2. Аудит/отчеттуулук үчүн WORM-сактоо; SOAR playbook.
3. Аналитика/ML токендери менен толук жабуу; терезелерде PII тыюу салуу.
4. Чейректик машыгуулар: инциденттик симуляциялар (ransomware, key leak, data poisoning).
5. Жыл сайын кайра текшерүү жана тышкы аудит.

17) RACI (мисал)

Саясат жана көзөмөл: CISO/CDO (A), DPO (C), SecOps (R), Domain Owners (C).
Ключи/KMS/HSM: Security/Platform (R), CTO (A), Audit (C).
Токенизация/DLP: Data Platform (R), DPO (A), Domains (C).
Backaps/DR: SRE (R), CIO (A).
Мониторинг/окуялар: SecOps (R), SOAR (R), Юридикалык/PR (C).

18) Метрика жана SLO маалымат коопсуздугу

Zero-PII логдордо: ≥ 99. 99% окуялар.
Integrity-pass: ≥ 99. Кол коюлган пакеттердин 9% ийгиликтүү текшерилди.
Key-hygiene: 100% өз убагында айлануу, 0 мөөнөтү өтүп кеткен ачкычтар.
SLO Detokenization: p95 ≤ X мин., гана негиздемеси менен өтүнмөлөр боюнча.
Backup калыбына келтирүү: ийгиликтүү сыноо калыбына келтирүү ≥ 99%.
Access review: жабык ≥ 95% чейректик аудит боюнча кошумча укуктар.
Incident MTTR: ≤ түрлөрү үчүн максаттуу босого P1/P2.

19) Анти-үлгүлөрү

TDE "көрүү үчүн" FLE жана сезгич талааларды токенизациялоо жок.
Сырларды курчап турган чөйрөдө/репозиторийлерде сактоо.
Бардык домендер/региондор үчүн жалпы ачкычтар/pepper.
PII/сырлар менен Логи; шифрлөөсүз прод-базалардын дампалары.
Пайплайндарда кол тамгалардын/бүтүндүгүн текшерүүнүн жоктугу.
"Бирдиктүү админ" бардык KMS/HSM; SoD жана M-of-N жок.

20) Playbook окуя (кыскача)

1. Detect: SIEM/DLP/аудит журналы/даттануу.
2. Турукташтыруу: сегментти изоляциялоо, ачкычтарды/сырларды чакыртып алуу, көйгөйлүү агымдарды токтотуу.
3. Баа: агып/бурмаланган, масштабы, юрисдикция, жабыр тарткан.
4. Байланыш: Мыйзамдуу/PR/жөнгө салуучу (талап кылынган), өнөктөштөр/оюнчулар.
5. Митигация: ротация, ретро токенизация/шифрлөө, backfill/бүтүндүгүн текшерүү.
6. Post-мортем: себептери, сабактар, саясат/босоголор/тесттер жаңыртуу.

21) Байланыштуу бөлүмдөр

Маалыматтарды токендештирүү, Келип чыгышы жана маалымат жолу, Этика жана купуялык, Privacy ML, Federated Learning, Бир жактуулукту азайтуу, DSAR/Legal Hold, Маалыматтарды байкоо.

Жыйынтык

Ишенимдүү маалыматтарды коргоо - бул көп баскычтуу архитектура + процесстердин тартиби: заманбап криптография, катуу KMS/HSM, токенизация, кол коюлган бүтүндүк, таза логиндер, башкарылуучу кирүү жана текшерилүүчү backaps. iGaming маалыматтар демейки корголгон аянтчаларды утуп, өзгөртүүлөр - ачык-айкын, ойнотулат жана талаптарга жооп берет.