Деректерге қатынауды бақылау
1) Неліктен iGaming
Тәуекел және реттеуіш: PII/қаржы, трансшекаралық, RG/AML-талаптар.
Жылдамдық және сенім: қолмен «таратусыз» аналитика мен ML өзіне-өзі қауіпсіз қызмет көрсету.
Аудит және жауапкершілік: «кім не және не үшін көрді», ең төменгі құқықтар қағидатының дәлелденуі.
2) Базалық қағидаттар
1. Least Privilege - тек қажетті және қажетті мерзімге.
2. Segregation of Duties (SoD) - қол жеткізуді мақұлдайтын ≠ әзірлеуші; талдаушы ≠ деректер иесі.
3. Just-in-Time (JIT) - уақытша, автоматты түрде кері қайтарылатын құқықтар.
4. Defense in Depth - көп деңгейлі қорғаныс: желі → сервис → кесте → баған → жол → ұяшық.
5. Policy-as-Code - кодтағы/репозиторийдегі қол жетімділіктер мен маскалар, PR арқылы ревю.
6. Provenance-aware - шешімдер каталогқа, желіге, жіктемеге және келісімшарттарға негізделеді.
3) Деректерді жіктеу
Сыныптар: Public/Internal/Confidential/Restricted (PII/қаржы).
Схемалар мен каталогтағы белгілер: 'pii', 'financial', 'tokenized', 'masking', 'rle' (row-level), 'cle' (column-level), 'geo = EU/TR/...', 'tenant'.
- Restricted: белгілер/маскалар барлық жерде; өтінім бойынша «таза аймақта» ғана детокенизациялау.
- Confidential: әдепкі бетперде қатынасы; маскаларды шешу - негіздеме және JIT арқылы.
- Internal/Public: домен рөлдері бойынша, PII жоқ.
4) Авторизация модельдері
RBAC (рөл-базир.) : жылдам бастау, рөлдер каталогы («Marketing-Analyst», «Risk-Ops»).
ABAC (атрибут-базир.) : ел, бренд, орта (prod/stage), жоба, өңдеу мақсаты, уақыт, тәуекел деңгейі.
ReBAC (қатынастар бойынша): «жиынтық иесі», «домен стeward», «ревьюер».
Hybrid: RBAC қаңқа ретінде, ABAC шекараларын нақтылайды.
5) Қол жеткізу гранулярлығы
Желі/ингресс: mTLS, allow-list, private links.
Сервис/кластер: IAM-рөлдер, ең аз артықшылықтары бар service account.
Қоймалар: каталогтар/схемалар/кестелер (GRANT), Row-Level Security (RLS), Column-Level Security (CLS).
Бүркемелеу/токендеу: SQL/BI динамикалық маскалар; PII орнына токендер.
Фичестор/ML: тек қана агрегаттарға/рұқсат етілген фичтерге қатынау; белгілер саясаты (allow/deny).
Файлдар/нысандар: алдын ала қол қойылған TTL сілтемелері, шифрлау және жүктеу саясаты.
6) Негізгі домендерге арналған паттерндер
KYC/AML: CLS (тек токендер ғана көрінеді), оператор елі бойынша RLS; детокенизация - JIT бойынша DPO/Legal.
Төлемдер: Restricted, FLE + токендер, JIT арқылы Risk/Payments-Ops қолжетімділігі; аудиттелетін түсіру.
Ойын оқиғалары: Internal/Confidential, бренд/өңір/тенант бойынша RLS, user_id үшін CLS.
Responsible Gaming: RG командасының агрегаттарға қолжетімділігі; жеке кейстер - өтінім бойынша.
BI/ML: PII-сыз «алтын» витриналар; ML - рұқсат етілген парақтардың тізімі, дауларға арналған ақталу журналы.
7) Қол жеткізу рәсімдері
7. 1 Сұрау → келісу → провизия
Өтінім нысаны: мақсаты, көлемі, мерзімі, рөлі, ABAC атрибуттары, жиынтық иесі.
Автопроверка: деректер класы, SoD, оқу өтті ме? мүдделер қақтығысы?
RACI: Owner (R), Steward (C), DPO/Sec (A/C), IT/IAM (R).
7. 2 JIT и break-glass
JIT: 15 мин/2 сағат/1 күн авто-пікір; ұзарту - жаңа өтінім бойынша.
Break-glass: инциденттер үшін; жекелеген рөлдер/кілттер, күшейтілген аудит, пост-мортем міндетті.
7. 3 Тұрақты жылау
Тоқсандық access review: домен иелері рөлдерді/төлсипаттарды растайды.
«Ұмытылған» қолжетімділікті автоматты түрде тоқтату (no-use 30/60 күн).
8) Техникалық тетіктер
Catalog & Contracts: иелері, сыныптары, маскалары туралы ақиқат көзі.
Policy Engine: ABAC/Row/Column саясаты үшін ОРА/баламасы.
Data Masking: динамикалық маскалар DWH/BI; формат-сейф маскасы үшін телефондар/email.
Tokenization: vault/FPE; тек «таза аймақта» детокенизациялау.
Secrets & PAM: құпия менеджер, JIT-сессиялар, әкімшілік рұқсаттар үшін экрандарды жазу.
Audit & SIEM: өзгермейтін логтар (WORM), сессиялар мен жүктеулермен қатынау оқиғаларын корреляциялау.
Geo/tenant-оқшаулағыштар: физикалық/логикалық бөліну (схемалар, каталогтар, кластерлер, шифрлау кілттері).
9) Consent & DSAR
Қолжетімділік ойыншының келісімін ескереді (marketing = off → маркетингтік атрибуттарды жасыру).
DSAR-түймешіктері: токен бойынша табу/түсіру/жою; барлық операция; Legal Hold ескеріледі.
10) Мониторинг және SLO
Access SLO: p95 JIT-қолжетімділікті беру уақыты (мысалы, ≤ 30 мин).
Zero-PII in logs: PII жоқ оқиғалардың 100%.
Anomaly rate: SELECT немесе типтік емес JOIN Restricted.
Review Coverage: ≥ 95% рөлдер уақытында тексеріледі.
Mask Hit-Rate: маска/токен жұмыс істеген сұраулар үлесі.
Detokenization MTTR: валидті өтінімді өңдеудің орташа уақыты.
11) Үлгілер
11. 1 Кіру саясаты (фрагмент)
Қағидаты: least privilege + SoD + JIT.
Рөлдер: тапсырмалар/витриналар сипатталған рөлдер каталогы.
ABAC төлсипаттары: 'country', 'brand', 'env', 'purpose', 'retention'.
Маскалар/белгілер: әдепкі түрде Confidential/Restricted бағдарламасында белсенді.
Ревью: тоқсан сайын; «ұмытылған» қолжетімділіктерді авто-кері қайтарып алу.
Бұзушылықтар: блоктау, тергеу, оқыту.
11. 2 Өтінім нысаны
Кім: ТАӘ/команда/менеджер.
Не: теру/кесте/витрина/фичи.
Неге: мақсат, күтілетін нәтиже/метрика.
Қанша уақыт: мерзім/кесте.
Деректер класы: (каталогтан автотолтырылады).
Қолтаңбалар: Owner/Steward, DPO немесе Sec (егер Restricted болса).
11. 3 Рөлдер каталогы (мысал)
Marketing-Analyst: Internal/Confidential маркетинг витриналары; детокенизациясыз; Бренд бойынша RLS.
Risk-Ops: Маскалар бар Restricted төлемдер; детокенизацияға арналған JIT; тек «ақ» үлгілер арқылы экспорттаңыз.
RG-Team: RG агрегаттары, тапсырыс бойынша кейстерге қолжетімділік.
DS/ML: фичестор (allow-list фич), PII жоқ sandbox.
12) Енгізу жол картасы
0-30 күн (MVP)
1. Схемалардағы деректер мен белгілерді жіктеу.
2. Рөлдер каталогы + негізгі ABAC-атрибуттар (ел/бренд/env).
3. Confidential/Restricted үшін әдепкі бүркемелеу/белгілеу.
4. JIT-процесс және аудит журналы; break-glass регламенті.
5. Төлемдер, KYC, ойын оқиғалары үшін RLS/CLS; Restricted үшін 'SELECT' дегенге тыйым салу.
30-90 күн
1. Policy-as-Code в CI (сұрау линтері, бұзушылықтар кезіндегі блоктар).
2. Consent/DSAR біріктіру; SLO қатынасы бойынша есептер.
3. Тоқсандық access review; авто-деактивация.
4. әкімшілік қол жеткізуге арналған PAM; сессияларды жазу; тайм-бокс.
3-6 ай
1. Geo/tenant-оқшаулау, юрисдикциялар бойынша жеке шифрлау кілттері.
2. Нақты сұрау негізінде рөлдердің авто-ұсынымдары (usage-based).
3. Қолжетімділіктің мінез-құлық талдауы (аномалияға қарсы), SOAR-плейбуктер.
4. Процестерді сертификаттау және сыртқы аудит.
13) Қарсы үлгілер
«Суперпользователь» барлығы үшін - SoD және JIT-сіз.
Деректерді бақыланатын арналардан тыс файлдар/скриншоттар арқылы ашу.
RLS/CLS тек «қағазда» - маскалар BI-де ажыратылған.
Құқықтар мен авто-пікірлер жоқ; «мәңгілік» қатынас.
Каталог/келісімшарттар жаңартылмайды - кіру ережелері ескіреді.
«Қолайлылық үшін» қосымшаларындағы детокенизация аудитсіз.
14) RACI (мысал)
Саясат/сәулет: CDO/CISO (A), DPO (C), SecOps (R), Data Platform (R).
Қолжетімділікті беру: IAM/IT (R), Owners (A/R), Stewards (C), Менеджерлер (I).
Аудит/ревью: Owners (R), DPO/Sec (A), Internal Audit (C).
Тосын оқиғалар: SecOps (R), Legal/PR (C), Домендер (R).
15) Байланысты бөлімдер
Деректерді басқару, Деректерді белгілеу, Деректердің қауіпсіздігі және шифрлау, Деректердің шығу тегі және жолы, Этика/DSAR, Құпия ML, Federated Learning.
Жиынтығы
Қолжетімділікті бақылау - бұл толық трассалануды қалдыра отырып, командаларға қажетті деректерді қажетті көлемде және уақытта беретін саясаттардың, атрибуттардың және автоматтандырудың жүйесі. iGaming-те бұл метрикаға деген сенімнің, инциденттерге төзімділіктің және шешім қабылдау жылдамдығының негізі.