Саясатчылардын жана нормативдердин репозиторийи

1) Максаты жана принциптери

• бардык командалар үчүн материалдардын шайкештиги жана актуалдуулугу;
• жол "талап → контролдоо → далилдер → аудит";
• "аудит-ready" даярдыгы жана юрисдикция боюнча тез локалдаштыруу;
• талаптардын машина жөндөмдүүлүгү (policy-as-code).

Принциптер: версиялоо, минималдуу жетиштүү маалыматтар, "бир чындык", текшерилгендик, кайталануучулук, кирүү коопсуздугу.

2) Таксономия жана түзүлүшү

• Policy (саясат, компаниянын деңгээлинин милдеттүү принциптери).
• Standard (стандарт: өлчөнүүчү талаптар жана босоголор).
• Procedure/SOP (кадам нускамалар).
• Guideline/Playbook (сунуштар жана шаблондор).
• Control Statement (контролдук бекитүү, контролдук каражаттар менен байланыш).
• Mapping жөнгө салуу (ченемдик карта: GDPR/ISO/SOC/PCI/AML ж.б.).
• Localization Addendum (өлкөлөр/бизнес линиялары үчүн жергиликтүү толуктоолор).
• Records & Evidence Links (далил жана аудит пакеттерине шилтемелер).

Каталоги: `01-Governance`, `02-Security`, `03-Privacy`, `04-Risk`, `05-Operations`, `06-Data & AI`, `07-Vendors/VRM`, `08-Finance/AML`, `99-Archive`.

3) Документтин метамодели (минималдуу талаалар)

ID (адам-окулуучу жана туруктуу ачкыч).
Title/Name and Purpose/Максат.
Scope (системалар, юрисдикциялар, процесстер).
Owner (A), Author, Approvers, Stakeholders.
Effective Date, Review Date, Version, Change Log.
Regulatory References (макалалар, бөлүмдөр).
Control Statements (өлчөнүүчү талаптар).
Mappings: ченем, контролдоо, метрика, evidence.
Localization (аддендумдардын жана өзгөчөлүктөрдүн тизмеси).
Related Docs (байланыштуу стандарттар/SOP/playbook).
Tags (издөө: privacy, KYC, logging, ж.б.).

4) нускасын башкаруу жана жол

Бардык экспонаттар - VCS (Git) pull-request жараяны менен.
SemVer: Major (саясий өзгөрүүлөр), Minor (тактоолор), Patch (каталар/стили).
CHANGELOG жана шилтемелерди автоматтык генерациялоо.
Контролдук билдирүүлөр жана карталар менен жарыктандыруу менен Diff-көрүү.

5) Ролдору жана RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

6) Жашоо цикли (Policy Lifecycle)

1. Демилгелөө (жөнгө салуучу/тобокелдик/бизнес талабы).
2. Драфт жана макулдашуу (PR, комментарийлер, түзөтүүлөр).
3. таасир аналитика (таасир assessment: системалар, контролдоо, окутуу).
4. Апрув (комитет/демөөрчү).
5. Жарыялоо (портал/вики, билдирүүлөр, "read & attest").
6. Ишке ашыруу (SOP жаңыртуу, контролдоо, CCM эрежелери).
7. Окутуу жана аттестациялоо (LMS курстары, тесттер).
8. Мониторинг жана метрика (CCM, KPI/KRI, окуялар).
9. Мезгил-мезгили менен карап чыгуу (annual/triggered) жана retroctive.
10. Архив (алмаштыруучу документке шилтемелер менен EOL).

7) Саясат-as-Code жана контролдук билдирүүлөр

yaml id: CTRL-LOG-001 statement: "All admin actions must be logged with a ticket reference"
metric: "pct_admin_actions_with_ticket_link"
threshold: ">= 99. 5%"
evidence_query: "sql:select pct from metrics where id='pct_admin_actions_with_ticket_link'"
ccm_rule: "rego: deny if admin_action and not has_ticket_link"
jurisdiction: ["EEA","UK"]
effective: "2025-01-01"

Артыкчылыктары: Automatic шайкештик контролдоо, метрика жана evidence жүктөө, CI/CD-жылы гейтс бөгөттөө.

8) Локалдаштыруу жана юрисдикция

Жеке Localization Addendum базалык саясатка так мазмуну менен.
Метаданалардагы 'jurisdiction/country' белгилери.
Эреже: катуу талаптарга (иш жүзүндө - max (strictness) ченемдерин кесип).
Документтерге байланыштуу субпроцессорлордун/маалымат жайгашууларынын регистрлери.

9) Кирүү жана коопсуздук

RBAC/ABAC: баары үчүн ачык окуу, жазуу - PR аркылуу гана.
Сезгич бөлүмдөр (мисалы, Law-Privilege memo) - жеке менчик репозиторийлер.
Read & Attest: ролдор үчүн окуу тастыктоо механикасы (HR/LMS менен бириктирүү).
Жеке файлдарга кирүү журналдары, Policy Owner vs Approver үчүн SoD.

10) Интеграция

GRC: ченемдер реестри, mapping талаптар контролдоо CAPA тобокелдиктер.
CCM: policy-as-code контролдоо тесттерин автоматтык түрдө ишке киргизүү.
LMS: Major-өзгөрүүлөрдө курстардын/квиздердин автогенерациясы.
ITSM/Jira: ишке ашыруу жана CAPA милдеттери.
CI/CD: критикалык контролдорду сактабаганда блок-гейтс.
Evidence Storage (WORM): документтерди чыгаруунун хеш-квитанцияларын жарыялоо.

11) Байланыш жана кабыл алуу (adoption)

Негизги өзгөрүүлөр жана "командалар эмне кылышы керек" менен One-pager.
FAQ жана сөздүк саясатка жакын.
Read-receipt жана таасир ролдору үчүн окутуу контролдоо.
Office Hours/кабарчы суроолордун каналы.

12) Метрика жана KPI

Policy Coverage: жарактуу документтер менен капталган процесстердин/юрисдикциялардын%.
On-time Review: Review датасына чейин кайра каралган документтердин%.
Adoption Rate: жаңы саясатчылар боюнча read-attest менен кызматкерлердин/ролдордун үлүшү.
Control Mapping Completeness: метриктер жана evidence-суроолор менен% контролдук ырастоолор.
CCM Pass Rate: саясат менен байланышкан "жашыл" эрежелердин үлүшү.
Time-to-Publish: Медиана долбоордон жарыялоого чейин (өзгөрүүлөрдүн түрлөрү боюнча).
Localization Lag: негизги версия менен жергиликтүү аддендумдардын ортосундагы кечигүү.
Audit-Ready Time: чогултуу үчүн саат "policy-pack" (максаты ≤ 4-8 саат).

13) Дашборд

Саясат Inventory: документтердин тизмеси, версиялары, Review/EOL таймерлери.
Change Pipeline: Draft → Review → Approved → Published → Implemented.
Jurisdiction Heatmap: локализацияларды жана кечиктирүүлөрдү жабуу.
Controls Linkage: көзөмөлдүн пайызы учурдагы саясатка байланыштуу.
Training & Attestations: курстар, үйрөтүлбөгөн ролдору.
Evidence & Hashes: чыгаруу үчүн WORM-дүмүрчөктөр, аудит үчүн пакеттер.

14) SOP (стандарттык жол-жоболор)

SOP-1: Түзүү/өзгөртүү саясаты

Демилгечи → Драфт жана мэппинг менен PR → Revew Legal/DPO/CISO → impact-анализ → апрув комитети → жарыялоо → байланыш жана LMS.

SOP-2: Мезгил-мезгили менен карап чыгуу

60 күн мурун Autoscription билети Review → стандарттарды/шилтемелерди актуалдаштыруу → кайталап ревю → узартуу/алмаштыруу/архив.

SOP-3: Локализация

Негизги саясатка жергиликтүү лидердин суроо-талабы → Мыйзам-ревю → аддендум жарыялоо → таасир эткен ролдорду билдирүү.

SOP-4: Окуя-триггер тактоо

Post-Mortem → аныкталган Гапс → PR саясатына/стандартына → тездетилген апрув → CCM эрежелерин жаңыртуу.

SOP-5: Audit Pack

"Policy-pack" пакетин түзүү: жарактуу версиялары, мэппингдер, өзгөртүү журналдары, read-attest отчеттору, релиздердин хеш-квитанциялары.

15) Үлгүлөр жана форматтар

Саясат үлгүсү (Markdown)

[ID] Title
Purpose:
Scope:
Definitions:
Policy Statements:
Exceptions & Waivers:
Roles & Responsibilities:
Mappings (Regulation ↔ Controls):
Evidence & Metrics:
Review Cycle / Effective Date:
Change Log:
Related Documents:

Control Statement (YAML) үлгүсү - караңыз § 7.

Localization Addendum үлгүсү

Base Policy: <ID/Version>
Jurisdiction: <Country/Region>
Diff Summary:
Added/Stricter:
Relaxed (with legal justification):
Effective/Review:
Approvals:

16) Өзгөчө башкаруу (waivers)

Мөөнөтү бүткөн, ээси жана компенсациялык контролдору бар жазуулар катары таризделет.
Dashboard Policy → өзгөчөлүктөр көрүнүп турат; 14/7/1 күн.
Комитетте кайра кароо; "түбөлүк" өзгөчөлүктөргө тыюу салуу.

17) Тобокелдиктер, аудиттер жана далилдер менен интеграция

Байланыш "Саясат → Тобокелдик" (кандай тобокелдиктерди жабат/азайтат).
Audit-ready: ар бир контролдук бекитүү метрика жана evidence өтүнүчү бар.
Major-өзгөрүүлөрдөн кийин Re-аудит: колдонулган контролдордун натыйжалуулугун текшерүү.
Chain-of-Custody (хеш-дүмүрчөктөр, WORM-Archive).

18) Антипаттерндер

Өлчөнүүчү контролдук ырастоолору жок саясат.
Документтер "шайкештик үчүн" процесстерге/контролдорго ишке ашыруусуз.
Версиялоо жана Change Log жок.
Локализациялар "сырттагы файлдарда" - рассинхрон жана тобокелдиктер.
Мөөнөтү аяктабастан жана компенсациясыз өзгөчөлүктөр.
LMS/GRC/CCM менен эч кандай байланыш жок - сокур зоналар жана кайталанган бузуулар.
Ар кандай кампаларда кайталануучу/карама-каршылыктуу документтер.

19) Жетилүү модели (M0-M4)

M0 Ad-hoc: чачыранды файлдар, бирдиктүү таксономия жок.
M1 Каталог: борборлоштурулган тизме, негизги метадеректер жана жылына бир жолу ревю.
M2 Башкарылуучу: Git-репозиторий, PR-процесс, негизги контролдоо үчүн саясат-as-code, LMS/GRC менен интеграция.
M3 Integrated: толук ченемдик Mapping, Auto текшерүү (CCM), баскычы боюнча "саясат-пакети", шаблон боюнча локалдаштыруу.
M4 Туруктуу Жардам: KRI/инциденттер боюнча сунуш кылынган жаңылануулар, курстардын автогенерациясы, CI/CD блок-гейттери, болжолдуу каптоо метриктери.

20) Байланыштуу макалалар wiki

Саясаттардын жана процедуралардын жашоо цикли

Комплаенс саясатындагы өзгөрүүлөрдү башкаруу

Үзгүлтүксүз шайкештик мониторинг (CCM)

KPI жана комплаенс метрикасы

Жөнгө салуучулар жана аудиторлор менен өз ара аракеттенүү

Далилдерди жана документтерди сактоо

Журнал жүргүзүү жана Audit Trail

Командаларда комплаенс-чечимдер менен байланыш

Жыйынтык

Саясатчылардын жана ченемдердин репозиторийи - бул "документтер менен папка" эмес, тирүү башкарылуучу продукт: катуу метамодель, версиялоо, policy-as-code, контролдоо жана окутуу менен байламта, тунук метриктер жана "баскычта" даярдык. Мындай система шайкештикти ар кандай рынокторго жана юрисдикцияларга кайталануучу, өлчөнүүчү жана масштабдуу кылат.