Ocena ryzyka

1) Cele i zasady

Cel: wczesne wykrywanie i ustalanie priorytetów zagrożeń dla SLO, dochodów, zgodności z przepisami i reputacji.
Zasady: spójność, wymierność, powtarzalność, powiązanie z wartością biznesową, SLO-first.
Wynik: przejrzysty portfel ryzyk ze zrozumiałymi właścicielami, środkami i terminami.

2) Warunki

Ryzyko: prawdopodobieństwo × wpływ zdarzenia niepożądanego.
Apetyt ryzyka: poziom ryzyka rezydualnego akceptowany przez organizację.
Podatność/wpływ/kontrola: słaby punkt, wyzwalacz i istniejące środki.
KRI (kluczowe wskaźniki ryzyka): wiodące wskaźniki (na przykład wzrost p99-latencji, opóźnienie konsumenckie, odrzucenie konwersji płatności).

3) Klasyfikacja ryzyka dla iGaming

Działanie: przeciążenie, awarie uwalniania, kolejki, degradacja bazy danych/pamięci podręcznej, incydenty w centrach danych/AZ/regionach.
Technologia/bezpieczeństwo: DDoS, luki, wycieki, błędy konfiguracyjne, zależność od bibliotek kluczowych.
Płatność/finanse: spadek autoryzacji, wzrost obciążeń zwrotnych, niedostępność dostawcy, niepokoje walutowe, oszustwa.
Zależności/ekosystem: awarie u dostawców gier, CDN/WAF, KYC/AML, bramki SMS/e-mail.
Zgodność/regulacja: naruszenie wymogów licencyjnych, KYC/AML, odpowiedzialna gra, przechowywanie danych.
Produkt/marketing: nieprzewidywalne szczyty ruchu (turnieje, mecze, promocje), brak segmentacji bonusowej.
Reputacja: negatywne w mediach/mediach społecznościowych z powodu incydentów lub niezgodności.

4) Proces oceny ryzyka (ramka)

1. Ustanowienie kontekstu: cele, SLO, wymogi regulacyjne, granice architektoniczne, łańcuch wartości.
2. Identyfikacja: zbiór wydarzeń kandydackich: retrospektywy incydentów, audyty zależności, sesje burzy mózgów, listy kontrolne.
3. Analiza: jakościowa (scenariusze, Bow-Tie) i ilościowa (częstotliwości/dystrybucje).
4. Ocena: porównanie z apetytem ryzyka, ranking, zatwierdzenie priorytetów.
5. Przetwarzanie: zapobieganie, redukcja, transfer (ubezpieczenia/umowy), akceptacja (świadomy).
6. Monitorowanie i przegląd: KRI, kontrole skuteczności kontroli, aktualizacje rejestrów, testy gotowości.

5) Techniki jakości

Matryca prawdopodobieństwa/uderzenia: 1-5 wagi (bardzo niska... Bardzo wysoki). Wpływ rozważa się oddzielnie wzdłuż osi: SLA/dochód/regulacja/reputacja.
Analiza Bow-Tie: przyczyny → zdarzenie → konsekwencje; dla każdej ze stron - zapobiegawcze i łagodzące kontrole.
FTA (Fault Tree Analysis): logiczne drzewa błędów dla usług krytycznych (depozyt, szybkość, wyjście).
HAZOP/What-If: What-If Systematic Survey on interfaces and procedures.

6) Techniki ilościowe

ALE (Oczekiwanie na roczną stratę): ALE = SLE × ARO (przewidywane roczne szkody).
VaR/CVaR: kapitał podwyższonego ryzyka na danym poziomie zaufania (w przypadku luk pieniężnych/dostawców płatności).
Monte-Carlo: symulacja szczytów ruchu/awarii dostawcy/konwersji płatności z przedziałami ufności.

FMEA: nasilenie (S), częstotliwość (O), wykrywalność (D) → RPN = S × O × D, priorytetyzacja plastra

Matematyka niezawodności: zagłówek, MTTF/MTTR, budżet błędów spalania, prawdopodobieństwo awarii połączenia (dostawca AZ +).

7) Apetyt i progi ryzyka

Definicja kategorii (wysoka/średnia/niska) dla strat SLA, kar, utraty przychodów na godzinę/dzień.
Ustawić progi eskalacji: gdy incydent/ryzyko przenosi się między poziomami, kto jest zobowiązany do zbierania pokój var.
Zapisz wyjątki (czasowe podejmowanie ryzyka) wraz z datą zmiany i planem zamknięcia.

8) KRI i wczesne ostrzeżenie

• Wydajność: p95/p99, wzrost czasu, głębokość kolejki, spadek pamięci podręcznej, opóźnienie replikacji.
• Płatności: Na podstawie zezwoleń w konkretnym GEO/banku, na wzrost miękkiego spadku, anomalie AOV.
• Bezpieczeństwo: 4xx/5xx kolce w krytycznych punktach końcowych, wzrost wyzwalaczy WAF, nowe CSC w zależności.
• Zgodność: przekroczenie limitów składowania, opóźnienia KYC, udział samodzielnych wyłączeń bez przetwarzania.
• Dla każdego KRI - właściciel, metryka, progi, źródła, auto-wpisy.

9) Ocena wpływu (wieloosiowa)

SLA/SLO: min/h off target, wpływ na bonusy SLA dla partnerów.
Finansowanie: straty bezpośrednie (zaległe transakcje, obciążenie zwrotne), pośrednie (kary, grzywny).
Regulacja: ryzyko sankcji/zawieszenie licencji/obowiązkowe powiadomienia.

Reputacja: NPS/CSAT, wymiar negatywnych wzmianek, wpływ na partnerów i streamerów

10) Zarządzanie ryzykiem (katalog środków)

Zapobieganie: odrzucenie ryzykownych cech/wzorów, ograniczenie promienia wybuchu (izolacja lokatora, ograniczenie tempa).
Redukcja: shading bazy danych, buforowanie, pula/kwoty, dostawca wielu płatności, wydania kanaryjskie.
Przeniesienie: ubezpieczenie od ryzyka cybernetycznego, rekompensata SLA w umowach, powiernictwo.
Akceptacja: udokumentowana decyzja o kontrolowanym ryzyku rezydualnym, z KRI i planem wyjścia.

11) Role i RACI

Odpowiedzialny: Ryzyko/Operacje/SRE/Płatności/Właściciele domeny SecOps.
Odpowiedzialność: szef działu operacyjnego/CTO/CRO.
Konsultacja: Produkt, Dane/DS, Legalność/Zgodność, Finanse.
Poinformowany: Wsparcie, Marketing, Zarządzanie partnerami.

12) Artefakty i wzory

Rejestr ryzyka: ID, opis, kategoria, przyczyny, prawdopodobieństwo, wpływ osi, istniejące kontrole, KRI, plan przetwarzania, właściciel, termin.
Heatmap ryzyka: zagregowana mapa według działu/usługi.
Mapa zależności: krytyczne zależności zewnętrzne i wewnętrzne, poziomy kopii zapasowych, dane kontaktowe.
Runbooks/Playbooks: konkretne kroki po uruchomieniu przez KRI/incydent, kill-switches, degradacja.
Kwartalny przegląd ryzyka: zestaw zmian, zamknięte/nowe zagrożenia, tendencje KRI, skuteczność kontroli.

13) Integracja z SLO/Incydent Management

Ryzyko przelicza się na cele SLO (opóźnienie, wskaźnik błędu, dostępność) i budżet błędu.
KRI → zasady ostrzegania (szybki/wolny wskaźnik spalania).
Pośmiertnie obowiązkowe jest rejestrowanie aktualizacji oceny ryzyka i korekt kontroli.

14) Narzędzia i dane

Monitorowanie/obserwowalność: mierniki, kłody, ślady; panele „widoków ryzyka”.
Katalogi i CMDB: usługi, właściciele, elementy zależne.
GRC/Tracker zadań: przechowywanie rejestru zagrożeń, statusów, działań audytowych.
Dane/ML: modele anomalii, prognoza obciążenia/awarii, symulacje Monte-Carlo.

15) Plan realizacji (8-10 tygodni)

Ned. 1-2: kontekst i ramy; wykaz krytycznych usług i zależności; określenie apetytu ryzyka.
Ned. 3-4: początkowa identyfikacja ryzyka (warsztaty, retro), wypełnienie rejestru, projekt mapy grzewczej.
Ned. 5-6: tworzenie KRI i wpisów, powiązanie z SLO; Uruchomienie Bow-Tie/FTA dla 5 najlepszych zagrożeń.

Ned. 7-8: określenie ilościowe (ALE/VaR/Monte-Carlo) dla scenariuszy istotnych pod względem finansowym; Zatwierdzenie planów przetwarzania

Ned. 9-10: testowanie gotowości (dzień gry, zakończenie awarii), korekta progu, uruchomienie przeglądów kwartalnych.

16) Przykłady ocenianych zagrożeń (iGaming)

1. Brak zezwoleń na PSP-1 w czasie początkowym

Prawdopodobieństwo: Medium; Wpływ: Wysoki (dochody, SLA).
KRI: konwersja autoryzacji banku/GEO, wzrost miękkiego spadku.
Środki: multi-provider, health & fee routing, jitter retreats, pause limits.

2. Przeciążenie bazy zakładów za dzień meczu Ligi Mistrzów

Prawdopodobieństwo: Medium; Uderzenie: wysokie (SLO).
Opóźnienie replikacji, prośby p99, wzrost wait-lock.
Środki: pamięć podręczna/CQRS, shading, pre-load linii, tryb tylko do odczytu części funkcji.

3. DDoS do publicznych API

Prawdopodobieństwo: niskie średnie; Wpływ: Wysoka (dostępność, reputacja).
KRI: spike SYN/HTTP, wyzwalacze WAF.
Środki: CDN/WAF, limit stawki, żetony, captchas, izolacja ruchu bot.

4. Niezgodność regulacji w zakresie przechowywania KYC

Prawdopodobieństwo: niskie; Wpływ: Bardzo wysoki (kara/licencja).
KRI: kontrole opóźnień> SLA, przekraczające zatrzymanie.
Środki: kod polityki, automatyczny TTL, testy danych audytowych i produkcyjnych.

17) Antypattery

Ocena oczu bez rejestru i KRI.
Matryce bez pieniędzy i SLO → nieprawidłowe priorytety.
Rzadkie opinie (rejestr nie został zaktualizowany po incydentach).
„Przetwarzanie” tylko przez dokumentację bez wdrożonych kontroli/badań.
Ignorowanie zewnętrznych zależności i umów SLA.

18) Sprawozdawczość i komunikacja

Podsumowanie Exec: Top 10 ryzyka, KRI Trends, Residual Risk vs Apetite, Plan zamknięcia.
Raporty techniczne: skuteczność kontroli, wyniki dnia gry, zmiany progowe.
Regularność: miesięczne opinie + kwartalna głęboka aktualizacja wyceny.

Razem

Ocena ryzyka nie jest dokumentem statycznym, ale cyklem życia: zidentyfikowano → obliczono → uzgodniono apetyt ryzyka → wybrane i wdrożone środki → sprawdzone za pomocą danych i ćwiczeń → zaktualizowany rejestr. Ramy te łączą decyzje operacyjne z wartością biznesową i zmniejszają częstotliwość/skalę incydentów przy jednoczesnym zachowaniu zgodności z SLO i wymogami regulacyjnymi.