Тобокелдиктерди баалоо

1) Максаттары жана принциптери

Максаты: SLO, кирешеге, жөнгө салуучу шайкештикке жана репутацияга таасир этүүчү коркунучтарды эрте аныктоо жана артыкчылык берүү.
Принциптер: системалуулук, өлчөө жөндөмдүүлүгү, кайталануу, бизнес баалуулугу, SLO-биринчи.
Натыйжасы: түшүнүктүү ээлери, чаралары жана мөөнөтү менен ачык-айкын тобокелдик портфели.

2) Терминдер

Тобокелдик: каалабаган окуянын ыктымалдыгы × таасири.
Тобокелдик-табити: уюмга алгылыктуу калдык тобокелдик деңгээли.
алсыздык/таасир/контролдоо: алсыз, триггер жана учурдагы чаралар.
KRI (Key Risk Indicators): алдыңкы көрсөткүчтөр (мисалы, p99-латенттүүлүктүн өсүшү, керектөөчү-лагдар, төлөмдөрдү которуунун четтеши).

3) iGaming үчүн тобокелдиктерди классификациялоо

Операциялык бөлмөлөр: ашыкча жүктөө, релиздердин бузулушу, кезек күтүүлөр, DD/кэш деградациясы, DPC/AZ/региондордогу окуялар.
Технологиялык/коопсуздук: DDoS, алсыздыктар, агып чыгуулар, конфигурация каталары, негизги китепканаларга көз карандылык.
Төлөм/каржылык: authorization кулашы, chargeback өсүшү, провайдердин жеткиликсиздиги, FX-толкундануу, frod.
Көз карандылык/экосистема: оюн провайдерлеринин, CDN/WAF, KYC/AML, SMS/электрондук почта шлюздарынын бузулушу.
Комплаенс/жөнгө салуу: лицензия талаптарын бузуу, KYC/AML, жоопкерчиликтүү оюн, маалыматтарды сактоо.
Продукт/маркетинг: трафиктин күтүүсүз чокулары (турнирлер, матчтар, промо), бонустарды сегменттөө каталары.
Абройлуу: медиа/коомдук тармактарда терс, анткени окуялар же талаптарды аткарбагандыгы.

4) Тобокелдиктерди баалоо процесси (алкак)

1. Контекстти орнотуу: максаттар, SLO, жөнгө салуучу талаптар, архитектуралык чек аралар, баалуулук чынжырчасы.
2. Идентификация: талапкер окуяларды чогултуу: инциденттердин ретроспективалары, көз карандылык аудити, мээ чабуулдары, контролдук баракчалар.
3. Анализ: сапаттык (скрипт, Bow-Tie) жана сандык (жыштык/бөлүштүрүү).
4. Баалоо: тобокелдик-аппетит менен салыштыруу, ранжирлөө, артыкчылыктарды бекитүү.
5. Иштетүү: алдын алуу, азайтуу, өткөрүп берүү (камсыздандыруу/контракттар), кабыл алуу (аң-сезимдүү).
6. Мониторинг жана кайра карап чыгуу: KRI, контролдун натыйжалуулугун текшерүү, реестрин жаңыртуу, даярдык тесттери.

5) Сапаттуу техника

Ыктымалдык/таасир матрицасы: 1-5 шкаласы (Very Low... Very High). Таасир огу боюнча өзүнчө эсептелет: SLA/киреше/жөнгө салуучу/аброю.
Bow-Tie Analysis: себептери → окуя → кесепеттери; ар бир тарап үчүн - алдын алуу жана жумшартуу көзөмөлү.
FTA (Fault Tree Analysis): маанилүү кызматтар үчүн логикалык дарактар (депозиттик, коюм, чыгаруу).
HAZOP/What-If: системалуу сурамжылоо "эмне болсо?" интерфейстер жана жол-жоболор боюнча.

6) Сандык техника

ALE (Annualized Loss Expectancy): ALE = SLE × ARO (күтүлгөн жылдык зыян).
VaR/CVaR: берилген ишеним деңгээлиндеги тобокелдик-капитал (кассалык ажырымдар/төлөм провайдерлери үчүн).
Monte-Carlo: Traffic чокуларын моделдөө/провайдерлердин бузулушу/ишенимдүү интервалдар менен төлөмдөрдү которуу.
FMEA: оордук баа (S), жыштык (O), аныктоо (D) → RPN = S × O × D, оңдоо артыкчылыктуу.
Reliability math: headroom, MTTF/MTTR, бурн-rate бюджет каталар, биргелешкен ийгиликсиз ыктымалдыгы (AZ + провайдер).

7) Тобокелдик-табити жана босоголор

SLA жоготуулар үчүн категорияларды (жогорку/орто/төмөн) аныктоо, айып, саат/күн үчүн киреше жоготуу.
Эскалациянын босогосун белгилеңиз: окуя/тобокелдик варрум чогултууга милдеттүү болгон деңгээлдердин ортосунда өткөндө.
Кайра кароо күнү жана жабуу планы менен өзгөчөлүктөрдү (тобокелдикти убактылуу кабыл алууну) жазыңыз.

8) KRI жана эрте эскертүү

• Аткаруу: p95/p99 ↑, убакыт өсүшү, кезек тереңдик, күзүндө cache-hit, replication lag.
• Төлөмдөр: авторизациялар ↓ Белгилүү бир GEO/банкта, soft-decline өсүшү, AOV аномалиялары.
• Коопсуздук: 4xx/5xx критикалык пункттарында, WAF өсүшү, көз каранды жаңы CVE.
• Комплаенс: сактоо чегинен ашуу, KYC кечигүү, иштетилбестен өзүн-өзү четтетүү үлүшү.
• Ар бир KRI үчүн - ээси, метрика, босоголор, булактар, авто-алерталар.

9) таасир баалоо (көп огу)

SLA/SLO: максаттан тышкары мин/саат, өнөктөштөр үчүн SLA бонустарды таасир.
Каржы: түздөн-түз жоготуулар (аткарылбаган бүтүмдөр, chargeback), кыйыр (churn, айып).
Жөнгө салуучу: санкциялар/лицензияны токтотуу/милдеттүү билдирүүлөр тобокелдиги.
Аброю: NPS/CSAT, терс сөз толкуну, өнөктөштөр жана агымдардын таасири.

10) Тобокелдиктерди иштетүү (чаралардын каталогу)

Алдын алуу: тобокелдик fich/үлгүлөрдөн баш тартуу, blast-radius чектөө (тенант-обочолонуу, rate-limit).
Кыскартуу: DD, кэш, пул/квота, көп төлөм провайдери, канарейка релиздери.
Берүү: кибер-тобокелдиктерди камсыздандыруу, келишимдерде SLA-ордун толтуруу, escrow.
Кабыл алуу: KRI жана чыгуу планы менен контролдонуучу калдык тобокелдикте документтештирилген чечим.

11) Ролдору жана RACI

Responsible: Risk/Ops/SRE/Payments/SecOps домен ээлери.
Accountable: Head of Ops/CTO/CRO.
Consulted: Product, Data/DS, Legal/Compliance, Finance.
Informed: Support, Marketing, Partner Management.

12) Артефакттар жана үлгүлөр

Risk Register (тобокелдик реестри): ID, сүрөттөлүшү, категориясы, себептери, ыктымалдыгы, огу таасири, учурдагы контролдоо, KRI, иштеп чыгуу планы, ээси, мөөнөтү.
Risk Heatmap: бирдиктер/кызматтар боюнча бириктирилген карта.
Dependency Map: маанилүү тышкы жана ички көз карандылык, камдык деңгээл, байланыш маалыматтары.
Runbooks/Playbooks: KRI/окуя, kill-switches, деградация учурунда конкреттүү кадамдар.
Quarterly Risk Review: өзгөртүүлөр топтому, жабык/жаңы тобокелдиктер, KRI тренддери, контролдоо натыйжалуулугу.

13) SLO/инцидент-менеджмент менен интеграция

Тобокелдиктер SLO-максаттарга (latency, error-rate, жеткиликтүүлүк) жана каталардын бюджетине айланат.
KRI → alert-саясат (тез/жай burn-rate).
Post-mortem тобокелдиктерди баалоо жана жөнгө салуу тактоо үчүн милдеттүү болуп саналат.

14) Инструменттер жана маалыматтар

Мониторинг/обсервация: метрика, логи, трассировка; "тобокелдик түрлөрү" панелдери.
Каталогдор жана CMDB: кызматтар, ээлери, көз каранды компоненттер.
GRC/Task-tracker: тобокелдик реестрин сактоо, статустар, иш-аракеттерди текшерүү.
Data/ML: аномалиялардын моделдери, жүктү/мүчүлүштүктөрдү болжолдоо, Монте-Карло симуляциясы.

15) Жол картасы киргизүү (8-10 жума)

Нед. 1-2: контекст жана кадр; маанилүү кызматтардын жана көз карандылыктын тизмеси; тобокелдик-табитти аныктоо.
Нед. 3-4: тобокелдиктерди баштапкы аныктоо (workshops, ретро), реестрин толтуруу, чийме жылытуу.
Нед. 5-6: KRI жана Алерт орнотуу, SLO байлап; Top 5 тобокелдиктер үчүн Bow-Tie/FTA баштоо.
Нед. 7-8: сандык баа (ALE/VaR/Монте-Карло) каржылык маанилүү жагдайлар үчүн; иштетүү пландарын бекитүү.
Нед. 9-10: даяр тестирлөө (оюн күнү, failover), босоголорду оңдоо, чейректик сын-пикирлерди баштоо.

16) Баа берилген тобокелдиктердин мисалдары (iGaming)

1. Прайм-таймда PSP-1 авторизациясынын ийгиликсиздиги

Ыктымалдуулук: Орточо; Таасири: Жогорку (киреше, SLA).
KRI: банк/GEO боюнча авторизациялардын конверсиясы, soft-decline өсүшү.
Чаралар: көп-провайдер, ден соолук жана fee боюнча роутинг, джиттер менен ретрациялар, тыныгуу лимиттери.

2. Чемпиондор Лигасынын матчында күнүнө BD чендерди жүктөө

Ыктымалдуулук: Орточо; Таасири: Жогорку (SLO).
KRI: lag репликация, p99 суроолор, lock-wait өсүшү.
Чаралар: Cache/CQRS, Sharding, линияларын алдын-ала жүктөө, read-only режими бөлүгү fich.

3. Коомдук API боюнча DDoS

Ыктымалдуулук: Төмөн-Орто; Таасири: Жогорку (жеткиликтүүлүгү, аброю).
KRI: SYN/HTTP, WAF триггерлери.
Иш-чаралар: CDN/WAF, rate-limit, токендер, капчыктар, бут кыймылын изоляциялоо.

4. KYC сактоо боюнча жөнгө салуу туура эмес

Ыктымалдуулук: Төмөн; Таасири: абдан жогору (айып/лицензия).
KRI: текшерүү кечигүү> SLA, ашыкча retention.
Чаралар: policy-as-code, автоматтык TTL, аудит жана прод-маалыматтар боюнча тесттер.

17) Антипаттерндер

реестрин жана KRI жок "көзгө" баалоо.
акча жана SLO → туура эмес артыкчылыктары менен байланышкан жок Matrix.
Сейрек сын-пикирлер (реестр окуядан кийин жаңыланбайт).
"Иштетүү" гана ишке ашырылган контролдоо/тесттер жок документтер.
Ignor тышкы көз карандылык жана келишим SLA.

18) Отчеттуулук жана коммуникация

Exec-кыскача: жогорку 10 тобокелдик, KRI тренддери, калдык тобокелдик vs табити, жабуу планы.
Техникалык отчеттор: контролдоо натыйжалуулугу, game day натыйжалары, босого өзгөрүүлөр.
Үзгүлтүксүз: ай сайын сын-пикирлер + чейрек сайын терең кайра баалоо.

Жыйынтык

Тобокелдиктерди баалоо статикалык документ эмес, жандуу цикл: аныкталган → эсептелген → тобокелдик табити макулдашылган → тандалган жана киргизилген чаралар → текшерилген маалыматтар жана көнүгүүлөр → жаңыланган реестр. Мындай контур бизнес баалуулугу менен иш чечимдерин байланыштырат жана SLO жана жөнгө салуучу талаптардын туруктуу сакталышы менен инциденттердин жыштыгын/масштабын азайтат.