Evaluarea riscurilor

1) Obiective și principii

Obiectiv: detectarea timpurie și prioritizarea amenințărilor care afectează SLO, veniturile, conformitatea cu reglementările și reputația.
Principii: coerență, măsurabilitate, repetabilitate, legare la valoarea afacerii, SLO-first.
Rezultat: un portofoliu transparent de riscuri cu proprietari de înțeles, măsuri și termene limită.

2) Termeni

Risc: probabilitatea × impactul unui eveniment advers.
Apetitul de risc: nivelul riscului rezidual acceptabil pentru organizație.
Vulnerabilitate/impact/control: puncte slabe, măsuri de declanșare și măsuri existente.
IRC (Indicatori cheie de risc): indicatori de vârf (de exemplu, creșterea latenței p99, întârzierea consumatorilor, respingerea conversiei plăților).

3) Clasificarea riscurilor pentru iGaming

Operațional: suprasarcină, eșecuri de lansare, cozi, degradarea bazei de date/memoriei cache, incidente în centrele de date/AZ/regiuni.
Tehnologie/securitate: DDoS, vulnerabilități, scurgeri, erori de configurare, dependență de biblioteci cheie.
Plata/financiar: scăderea autorizațiilor, creșterea chargeback-ului, indisponibilitatea furnizorului, tulburările FX, frauda.
Dependențe/ecosistem: eșecuri la furnizorii de jocuri, gateway-uri CDN/WAF, KYC/AML, SMS/e-mail.
Conformitate/reglementare: încălcarea cerințelor de licență, KYC/AML, joc responsabil, stocarea datelor.
Produs/marketing: vârfuri imprevizibile de trafic (turnee, meciuri, promo-uri), ratări de segmentare bonus.
Reputație: negativă în mass-media/social media din cauza incidentelor sau neconformității.

4) Procesul de evaluare a riscurilor (caseta)

1. Stabilirea contextului: obiective, SLO, cerințe de reglementare, limite arhitecturale, lanț valoric.
2. Identificare: colectarea evenimentelor candidate: retrospective incidente, audituri de dependență, sesiuni de brainstorming, liste de verificare.
3. Analiză: calitativă (scenarii, Bow-Tie) și cantitativă (frecvențe/distribuții).
4. Evaluare: comparație cu apetitul de risc, clasament, aprobarea priorităților.
5. Prelucrare: prevenire, reducere, transfer (asigurare/contracte), acceptare (constienta).
6. Monitorizare și revizuire: RCI, verificări ale eficacității controalelor, actualizări ale registrului, teste de pregătire.

5) Tehnici de calitate

Probabilitate/matrice de impact: 1-5 scale... Foarte mare). Impactul este considerat separat de-a lungul axelor: SLA/venituri/reglementare/reputație.
Analiza Bow-Tie: cauze → evenimente → consecințe; pentru fiecare parte - controale preventive și atenuante.
ALS (Fault Tree Analysis): arbori de defecte logice pentru servicii critice (depozit, rata, ieșire).
HAZOP/What-If: Ce-dacă sondaj sistematic pe interfețe și proceduri.

6) Tehnici cantitative

ALE (Anualized Loss Expectation): ALE = SLE × ARO (daune anuale preconizate).
VaR/CVaR: capital de risc la un anumit nivel de încredere (pentru lacunele în numerar/prestatorii de plăți).
Monte-Carlo: simularea vârfurilor de trafic/eșecuri ale furnizorilor/conversii de plăți cu intervale de încredere.

FMEA: Severitate (S), Frecvență (O), Detectabilitate (D) → RPN = S × O × D, Prioritizare patch-uri

Matematică de fiabilitate: headroom, MTTF/MTTR, buget de eroare cu rată de ardere, probabilități comune de eșec (furnizor AZ +).

7) Riscul apetitului și pragurilor

Definirea categoriilor (high/medium/low) pentru pierderi SLA, penalități, pierderi de venituri pe oră/zi.
Setați praguri de escaladare: atunci când un incident/risc se deplasează între niveluri, care este necesar pentru a colecta camera var.
Scrieți excepții (asumarea temporară a riscurilor) cu data revizuirii și planul de închidere.

8) RCI și avertizare timpurie

• Performanţă: ↑ p95/p99, creştere temporală, adâncime de coadă, cădere cache-hit, decalaj replicare.
• Plăți: ↓ autorizații într-o anumită OUG/bancă, creștere soft-declin, anomalii AOV.
• Siguranță: vârfuri 4xx/5xx în obiective critice, creșterea declanșatoarelor WAF, noi CVE-uri în dependențe.
• Conformitate: depășirea limitelor de stocare, întârzieri KYC, cota de auto-excluderi fără prelucrare.
• Pentru fiecare KRI - proprietar, metric, praguri, surse, auto-alerte.

9) Evaluarea impactului (multi-axă)

SLA/SLO: min/ore off țintă, impactul asupra SLA bonusuri pentru parteneri.
Finanțe: pierderi directe (tranzacții restante, chargeback), indirecte (chun, amenzi).
Reglementare: risc de sancțiuni/suspendare a licenței/notificări obligatorii.

Reputație: NPS/CSAT, val de mențiuni negative, impact asupra partenerilor și fanioane

10) Manipularea riscurilor (catalog de măsuri)

Prevenire: respingerea caracteristicilor/modelelor riscante, limitarea razei explozive (izolarea chiriașilor, limita ratei).
Reducere: împărțirea bazelor de date, caching, piscină/cote, furnizor de plăți multiple, versiuni canare.
Transfer: asigurare de risc cibernetic, compensare SLA în contracte, escrow.
Acceptare: decizie documentată cu risc rezidual controlat, cu RCI și plan de ieșire.

11) Roluri și RACI

Responsabil: Risk/Ops/SRE/Payments/SecOps proprietarii de domenii.
Responsabil: șeful Ops/CTO/CRO.
Consultat: Produs, Date/DS, Juridic/Conformitate, Finanțe.
Informat: Suport, Marketing, Partner Management.

12) Artefacte și modele

Registru de risc: ID, descriere, categorie, motive, probabilitate, impact axă, controale existente, KRI, plan de procesare, proprietar, termen.
Risk Heatmap: hartă agregată după departament/serviciu.
Harta dependenței: dependențe externe și interne critice, niveluri de rezervă, informații de contact.
Runbooks/Playbooks: pași specifici atunci când sunt declanșați de KRI/incident, kill-switch-uri, degradare.
Evaluarea trimestrială a riscurilor: set de modificări, riscuri închise/noi, tendințe RCI, eficacitatea controalelor.

13) Integrarea cu SLO/Managementul incidentelor

Riscurile sunt convertite în obiective SLO (latență, rata de eroare, disponibilitate) și buget de eroare.
RCI → politici de alertă (rapid/lent burn-rate).
În post-mortem, este obligatorie înregistrarea actualizării evaluării riscurilor și a ajustărilor controalelor.

14) Instrumente și date

Monitorizare/observabilitate: valori, busteni, urme; panourile "risk views'.
Directoare și CMDB-uri: servicii, proprietari, componente dependente.
GRC/Task tracker: stocarea registrului de riscuri, stări, acțiuni de audit.
Date/ML: modele de anomalii, predicție sarcină/eșec, simulări Monte-Carlo.

15) Foaie de parcurs de implementare (8-10 săptămâni)

Ned. 1-2: context și cadru; lista serviciilor și dependențelor critice; determinarea apetitului de risc.
Ned. 3-4: identificarea inițială a riscurilor (ateliere, retro), umplere registru, proiect de heatmap.
Ned. 5-6: configurarea KRI și alerte, conectarea la SLO; Bow-Tie/ALS lansare pentru top 5 riscuri.

Ned. 7-8: cuantificarea (ALE/VaR/Monte-Carlo) pentru scenarii semnificative din punct de vedere financiar; Aprobarea planurilor de prelucrare

Ned. 9-10: testarea pregătirii (ziua jocului, failover), corectarea pragului, lansarea revizuirilor trimestriale.

16) Exemple de riscuri evaluate (iGaming)

1. Eșecul autorizațiilor de PSP-1 în prime time

Probabilitate: Mediu; Impact: ridicat (venituri, SLA).
KRI: conversie autorizare bancară/GEO, creștere soft-declin.
Măsuri: multi-furnizor, rutare de sănătate și taxe, retrageri jitter, limite de pauză.

2. Supraîncărcarea bazei de date de pariuri pe zi a meciului din Liga Campionilor

Probabilitate: Mediu; Impact: ridicat (SLO).
KRI: decalaj de replicare, cereri p99, creștere de blocare-așteptare.
Măsuri: cache/CQRS, sharding, linie de preîncărcare, doar modul de citire a unei părți a caracteristicii.

3. DDoS la API-uri publice

Probabilitate: Low-Mediu; Impact: ridicat (disponibilitate, reputație).
KRI: SYN/HTTP spike, declanșatoare WAF.
Măsuri: CDN/WAF, rate-limit, token-uri, captchas, izolarea traficului bot.

4. Neconformitate de reglementare pentru stocarea KYC

Probabilitate: scăzut; Impact: Foarte ridicat (penalizare/licență).
KRI: verificări de întârziere> SLA, peste retenție.
Măsuri: politici-as-code, TTL automată, audit și teste de date de producție.

17) Antipattern

Evaluarea prin ochi fără registru și IRK.
Matricele fără bani și SLO → priorități incorecte.
Recenzii rare (registrul nu a fost actualizat după incidente).
„Procesare” numai prin documentație fără controale/teste implementate.
Ignorați dependențele externe și contractați SLA.

18) Raportarea și comunicarea

Rezumat: Top 10 riscuri, tendințe KRI, risc rezidual vs apetit, plan de închidere.
Rapoarte tehnice: eficacitatea controalelor, rezultatele zilei jocului, modificările pragului.
Regularitate: recenzii lunare + reevaluare trimestrială profundă.

Total

Evaluarea riscurilor nu este un document static, ci un ciclu de viață: au identificat → au calculat → au convenit asupra apetitului de risc → au selectat și au implementat măsuri → au verificat datele și exercițiile → au actualizat registrul. Acest cadru leagă deciziile operaționale de valoarea întreprinderilor și reduce frecvența/amploarea incidentelor, menținând în același timp conformitatea cu SLO și cerințele de reglementare.