Деректер қауіпсіздігі және шифрлау

1) Неге iGaming сыни болып табылады

iGaming платформасы PII, қаржылық деректемелермен, ойын сессияларымен, мінез-құлық белгілерімен, антифрод сигналдарымен және ML модельдерімен жұмыс істейді. Бұл деректердің жылыстауы немесе алмастырылуы айыппұлдарға, нарықтарды бұғаттауға, бедел шығынына және метриктердің регресіне (GGR, ұстап қалу) әкеледі.

• Құпиялылық (PII/қаржыға ең аз қол жеткізу).
• Тұтастық (ауыстырудан және «лас» деректерден қорғау).
• Қолжетімділік (оқуға/жазуға арналған SLO, DR-жоспарлар).
• Қадағалану (кім не қараған/өзгерткен және қашан).

2) Қатерлер моделі (қысқаша)

Сыртқы: API/интеграция, MITM, ransomware, жеткізушілер (supply chain).
Ішкі: артық құқықтар, «көлеңкелі» жүктемелер, уытты логтар, конфигурация қателері.
Деректер және ML: оқиғаларды/оқиғаларды ауыстыру, модельдік инверсия, membership inference.
Юрисдикциялар: трансшекаралық шектеулер, сақтау мен алып тастаудың жергілікті талаптары.

3) Транзиттегі шифрлау (In Transit)

TLS 1. 2+/1. 3 ғана, әлсіз шифросuites өшіру; TLS 1 артықшылығы. 3.
mTLS үшін S2S (ядро, дата, каталог, фичестор, провайдерлер).
PFS (ECDHE) - міндетті.
Certificate pinning мобильді/десктоп-клиенттерде және сыни интеграцияларда.
Провайдерлерге/PSP (HMAC-SHA-256) сұраулардың API-қолтаңбасы және уақытты/қайталауларды бақылау (nonce, idempotency keys).

4) Сақтаудағы шифрлау (At Rest)

• Бұлттағы томдарды/нысандарды/K8s шифрлау (мөлдір, бірақ сындырылған сервистің «заңды» оқуынан қорғамайды).

• TDE (Transparent Data Encryption) - негізгі қабат.
• FLE/Column-level AEAD «ыстық» өрістерге арналған (email, телефон, PAN-токендер): AES-256-GCM немесе ChaCha20-Poly1305.
• Row-level аса сезімтал жазбаларға арналған кілттер (VIP, төлемдер).

• Envelope encryption (KMS-managed DEK, ротация), кілттерге кіруді бақылау.
• Манифесттердің қолы және тұтастығын бақылау (hash/checksum, Merkle-пакеттер үшін ағаштар).

5) Криптографиялық сайлау (практика)

Симметриялық шифрлау: бірегей nonce/IV бар AES-GCM/ChaCha20-Poly1305 (AEAD); сақтау 'ciphertext + auth tag'.
Хэштеу: тұтастық үшін SHA-256/512; паролі үшін - параметрлері мен тұзы бар Argon2id (немесе bcrypt/scrypt).
Қолы: артефактілер/пакеттер үшін Ed25519/ECDSA P-256; API қолтаңбасы үшін HMAC-SHA-256.
Негізгі уағдаластықтар: ECDH (P-256/Curve25519).

6) Кілттерді басқару (KMS/HSM)

KMS + HSM мастер кілттерді генерациялау/сақтау үшін; envelope encryption для DEK.
Ротация: тұрақты (күнтізбелік) және оқиға бойынша (инцидент). Көші-қон кезеңінде dual-read қолдауы.
Міндеттерді бөлу (SoD), «break-glass» үшін M-of-N, барлық операцияларды журналдау.
Ерекше сындарлы құпиялар үшін Split-key/Shamir (мысалы, пей-ауттардың қолы).
Geo-scoping кілттері: өңірлер/брендтер үшін әртүрлі кілттер.

7) Құпия-менеджмент

Орталықтандырылған Secrets Manager (репозиторийдің айналасындағы айнымалыларда емес).
JIT-құпиялар (қысқа мерзімдік), авто-ротация және кері қайтарып алу.
Sidecar/CSI K8s пондарына құпияларды жеткізу үшін.
Құпиялары бар логиге/трейдерге тыйым салу; CI ағу детекторлары.

8) Деректердің тұтастығы мен сенімділігі

Оқиғаларға/пакеттерге қол қою (продюсермен) және верификациялау (консюмермен).
Эвент-теңсіздік және anti-replay үшін бірегей кілттер.
Схемаларды бақылау (Schema Registry, сыйысымдылық), Data Contracts «сенім шегі» ретінде.
Сыни журналдар мен есептілік үшін WORM-сақтау орны.

9) Токенизация, бүркемелеу және DLP

PII/қаржыны токендеу (vault/FPE/DET) - логтарда, витриналарда, фичтерде токендерді пайдалану.
UI және түсірулерде бүркемелеу; тикеттер/чаттар мәтіндеріндегі PII редакциясы (NLP-санитайзинг).
DLP саясаты: тыйым салынған үлгілер (PAN, IBAN, паспорт), жүктеу блогы, пошта инспекциясы/FTP/S3.

10) Қол жеткізу және аудит

RBAC/ABAC: рөлі + атрибуттары (ел, бренд, орта); ең аз құқықтар.
Авто-пікірлері бар JIT-қолжетімділіктер; N бір рет - құқықтарды қорғау.
mTLS + IP allowlist әкімшілік панельдер мен критикалық end-points үшін.
Өзгермейтін аудит-логтар (WORM/append-only), SIEM-мен корреляция.
Break-glass: жеке рөлдер/кілттер, міндетті пост-мортем.

11) Резервтік көшіру және DR

3-2-1: 3 көшірме, 2 әртүрлі тасымалдаушы/ХСД, 1 офлайн/оқшауланған (air-gapped).
Бэкаптарды жеке кілттермен шифрлау (провайдер емес), кесте бойынша қалпына келтіру тесті.
Домендер үшін RPO/RTO (төлемдер <X мин., ойын оқиғалары <Y мин.).
Кілттер мен желілерді крипто оқшаулаумен өңірлік репликациялау.

12) Құпиялылық және комплаенс

Деректерді жіктеу (Public/Internal/Confidential/Restricted).
Барынша азайту және мақсатты байланыстыру (KYC, AML, RG, есептілік).
Сақтау және жою саясаты: графика, Legal Hold, DSAR; крипто-өшіру.
Трансшекаралық: геозондау және жергілікті сақтау кейстері.

13) Деректер қауіпсіздігінің бақылануы

Zero-PII (жабын метрикасы), DLP іске қосылған кездегі алерта.
Key health: ротациялар, шифр операцияларының істен шығуы, KMS/HSM ауытқулары.
Integrity SLI: қол қойылған пакеттер/оқиғалар және тексерілген signature-checks үлесі.
Latency SLO: p95 токенизациялау/детокенизациялау, шифрлау/дешифрлеу.
Access SLO: мақсатты уақытта өңделген JIT-өтінімдердің үлесі.

14) Құралдар және технологиялық қабаттар (санаттар)

KMS/HSM: мастер кілттер, envelope, қолтаңба.
Secrets Manager: JIT-құпиялар, ротация.
TLS-терминация/mTLS-mesh: ingress/service mesh.
DLP/Masking: инспекция, санитайзинг.
Schema Registry/Contracts: сыйысымдылық, PII тыйым салу.
SIEM/SOAR: аудит-логтардың корреляциясы, автоматты реакциялар.
Backup/DR: бэкап оркестрі, қалпына келтіру тесті.

15) Үлгілер (пайдалануға дайын)

15. 1 Шифрлау саясаты (фрагмент)

Алгоритмдер: AES-256-GCM/ChaCha20-Poly1305; Ed25519 қолы; хэш SHA-256.
Кілттер: HSM генерациясы; 90 күндік ротация немесе инцидент кезінде; geo-scoped.
Қатынау: mTLS арқылы тек сервистік есептер; JIT-токендер.
Журналдар: WORM режимі; ≥ N ай сақтау.
Ерекшеліктер: негіздемесі жазылған CISO/DPO шешімі бойынша.

15. 2 Қорғалатын деректер жиынтығының паспорты

Domain/кесте: payments. transactions

Сынып: Restricted (қаржы)

Шифрлау: 'card _ token', 'iban', 'payer _ id' өрістері бойынша FLE (AES-GCM)

Кілттер: DEK per-field (envelope KMS)

Токенизация: PAN/phone/email үшін vault токендері

Қолжетімділік: ABAC (ел, «Payments-Ops» рөлі), JIT

Журналдар: пакеттердің қолы, WORM, ретеншн 2 жыл

15. 3 Деректер релизінің чек-парағы

• Келісімшарт «сұр» аймақтарда PII тыйым салады, өрістер 'pii/tokenized' деп белгіленген
• TLS 1. 3 және mTLS S2S қосылған
• FLE/TDE конфигурацияланған, KMS/HSM кілттері белсенді
• DLP ережелері және логтарды бүркемелеу тестілеуден өтеді
• Бэкаптар шифрланады, қалпына келтіру тесті тексерілді
• SIEM аудит-логтар алады; «таза аймақтан» тыс детокенизациялау әрекетіне арналған алерталар

16) Енгізу жол картасы

0-30 күн (MVP)

1. Деректерді жіктеу және ағындар картасы (PII/қаржы/ML).
2. TLS 1 дегенді қосу. 3/mTLS арналған S2S; әлсіз шифр ресурстарына тыйым салу.
3. KMS/HSM көтеру; кілттерді envelope схемасына ауыстыру.
4. 3 критикалық домен үшін TDE және FLE қосыңыз (Payments/KYC/RG).
5. Логтарды бүркемелеу және базалық DLP-ережелер; Zero-PII аттестациясы.

30-90 күн

1. PII/қаржыны токендеу (vault/FPE); JIT-қол жеткізу және детокенизациялау аудиті.
2. ingestion/ETL ішіндегі оқиғалар мен integrity-чектердің қолтаңбасы.
3. Кілттерді тұрақты ротациялау, VIP-төлемдер үшін split-key.
4. Бэкаптар: 3-2-1, офлайн көшірмесі, ай сайынғы restore-күні.
5. SLO (Zero-PII, Integrity, Key-Health, Latency) дашбордтары.

3-6 ай

1. Geo-scoped кілттері/юрисдикциялар бойынша деректер; трансшекаралық саясат.
2. аудит/есептілікке арналған WORM-сақтау орны; SOAR-плейбуктер.
3. Аналитика/ML белгілерімен толық жабу; витриналарда PII тыйым салу.
4. Тоқсан сайынғы оқу-жаттығулар: инцидент-симуляциялар (ransomware, key leak, data poisoning).
5. Жыл сайынғы қайта сертификаттау және сыртқы аудит.

17) RACI (мысал)

Саясат және бақылау: CISO/CDO (A), DPO (C), SecOps (R), Domain Owners (C).
Ключи/KMS/HSM: Security/Platform (R), CTO (A), Audit (C).
Токенизация/DLP: Data Platform (R), DPO (A), Domains (C).
Бэкаптар/DR: SRE (R), CIO (A).
Мониторинг/инциденттер: SecOps (R), SOAR (R), Legal/PR (C).

18) Деректер қауіпсіздігі өлшемдері мен SLO

Zero-PII: 99 ≥. Оқиғалардың 99%.
Integrity-pass: ≥ 99. Қол қойылған топтамалардың 9% сәтті тексерілді.
Key-hygiene: 100% уақытылы ротация, 0 мерзімі өткен кілттер.
Detokenization SLO: p95 ≤ X мин, негіздемесі бар өтінімдер бойынша ғана.
Backup restore-rate: сәтті қалпына келтіру ≥ 99%.
Access review: тоқсандық аудит бойынша артық құқықтардың 95% ≥ жабылды.
Incident MTTR: ≤ түрлеріне арналған мақсатты шекті P1/P2.

19) Қарсы үлгілер

FLE және сезімтал өрістерді токенизациялаусыз TDE «белгі үшін».
Ауыспалы орта/репозиторийлерде құпияларды сақтау.
Барлық домендер/аймақтар үшін жалпы кілттер/pepper.
PII/құпиялары бар логтар; шифрлаусыз прод-база дампалары.
Пайплайндарда қолтаңбалардың/бүтіндігін тексерудің болмауы.
«Бірыңғай админ» барлық KMS/HSM; SoD және M-of-N жоқ.

20) Инцидент-плейбук (қысқаша)

1. Детект: SIEM/DLP/аудит-лог/шағым.
2. Тұрақтандыру: сегментті оқшаулау, кілттерді/құпияларды қайтарып алу, проблемалық ағындардың тоқтауы.
3. Бағалау: не ағып кетті/бұрмаланған, масштабы, юрисдикциясы, зардап шеккендер.
4. Коммуникациялар: Legal/PR/реттеуші (қажет болған жерде), серіктестер/ойыншылар.
5. Митигация: ротация, ретро-токенизация/шифрлау, backfill/тұтастығын тексеру.
6. Пост-мортем: себептер, сабақтар, саясаттарды/шектерді/тестілерді жаңарту.

21) Байланысты бөлімдер

Деректерді токенизациялау, Деректердің шығу тегі және жолы, Этика және құпиялылық, Құпия ML, Федералды оқыту, Бейімділікті төмендету, DSAR/Legal Hold, Деректерді бақылау.

Жиынтық

Деректерді сенімді қорғау - бұл көп деңгейлі архитектура + процестердің тәртібі: қазіргі заманғы криптография, қатаң KMS/HSM, токенизация, қол қойылған тұтастық, таза логтар, басқарылатын қолжетімділік және тексерілетін бэкаптар. iGaming-те деректер әдепкі бойынша қорғалған платформалар ұтады, ал өзгерістер мөлдір, ойнатылатын және талаптарға сәйкес келеді.