Сертификаты комплаенса и аудита

1) Введение: зачем нужны сертификаты

Для iGaming-платформ сертификация — это не только «галочка» для B2B/B2G-договоров и платежных партнеров, но и системный способ снизить инциденты, ускорить продажи и упростить выход на новые юрисдикции. Важно понимать разницу между сертификацией (официальный сертификат после аудита), аттестацией/аудиторским отчетом (например, SOC 2), самодекларациями и тестовыми отчетами лабораторий (GLI, iTech Labs, eCOGRA).

2) Карта основных стандартов (что, зачем и когда)

3) Что реально «сертифицируется», а что — нет

Сертификаты третьей стороны: ISO 27001, 27701, 22301, 37301, 42001, PCI DSS (QSA/ASV), CSA STAR Level 2.
Отчеты аудитора: SOC 2 Type I/II, SOC 1 Type I/II (ISAE 3402/SSAE 18).
Тесты/сертификаты лабораторий: GLI, eCOGRA, iTech Labs (игры, RNG, интеграции).
Соответствие без «единого сертификата»: GDPR/UK GDPR, ePrivacy — подтверждается набором артефактов (реестр обработок, DPIA, политики, DPA, пентесты, ISO 27701, внешние оценки).

4) Матрица соответствий (упрощенная мапа контролей)

(Для детальной мапы заведите собственный «Control Matrix.xlsx» с владельцами и доказательствами.)

5) Дорожная карта на 12 месяцев (для платформы iGaming)

Q1 — Фундамент

1. Gap-анализ против ISO 27001 + SOC 2 (выбор Trust Services Criteria).
2. Назначение ISMS-Lead, DPO, BCM-Owner, PCI-Lead.
3. Риск-реестр, классификация данных, карта систем (CMDB), границы аудита (scope).
4. Базовые политики: ISMS, Access, SDLC, Change, Incident, Vendor, Crypto/Key Mgmt, Privacy, Sanctions/AML (если применимо).

Q2 — Практики и техконтроли

5. IAM (RBAC/ABAC), MFA везде, парольная/секрет-ротации, PAM для админов.
6. Логирование/EDR/SIEM, алерты инцидентов P0/P1, «chain of custody».
7. Secure SDLC: SAST/DAST/SCAs, pull-request правила, прод-доступы через change-board.
8. DR/BCP: RTO/RPO, резервирование, репетиция восстановления (table-top + тех.тест).

Q3 — Доказательная база и «наблюдательный период»

9. Пентест внешнего периметра и ключевых сервисов (включая игры и платежи).
10. Вендор-риск: DPA, SLA, право аудита, отчеты SOC/ISO партнеров, санкционный скрининг.
11. Evidence factory: тикеты, журналы изменений, тренинги, протоколы учений, DPIA.
12. Пред-аудит (internal audit) и корректирующие меры (CAPA).

Q4 — Внешние оценки

13. ISO 27001 Stage 1/2 → сертификат (при готовности).
14. SOC 2 Type II (наблюдательный период ≥ 3–6 мес.).
15. PCI DSS 4.0 (QSA или SAQ, если токенизация/аутсорсинг сокращают scope).
16. GLI/eCOGRA/iTech Labs — по дорожной карте релизов и рынков.

6) «Фабрика доказательств» (что покажете аудитору)

Техконтроли: SSO/MFA-журналы, конфиги IAM, политики паролей, бэкапы/ресторы, шифрование (KMS/HSM), hardening чек-листы, результаты SAST/DAST/SCA, отчеты EDR/SIEM, пентест-отчеты и remediation.
Процессы: Risk Register, SoA (Statement of Applicability), Change tickets, Incident reports (P0-P2), Пост-мортемы, BC/DR протоколы, Vendor due diligence (опросники, DPA, SOC/ISO партнеров), Тренинги (фишинг-симуляции, security awareness).
Приватность: Реестр обработок, DPIA/PIA, DSR-процедуры (access/erase/export), Privacy by Design в фичах, Cookie/Consent логи.
iGaming/лабы: Политика RNG/Provably Fair, результаты тестов/сертификаций, описания математических моделей, RTP-отчеты, контроль изменений билда.

7) PCI DSS 4.0: как уменьшить зону аудита

Максимально токенизируйте и выносите хранение PAN к проверенному PSP.
Сегментируйте сеть (CDE изолирован), запретите «обходные» интеграции.
Утвердите Cardholder Data Flow (диаграммы) и список компонентов в scope.
Настройте ASV-сканы и пентесты; обучите поддержку работе с инцидентами карт.
Рассмотрите SAQ A/A-EP/D в зависимости от архитектуры.

8) SOC 2 Type II: практические советы

Выберите релевантные Trust Services Criteria: Security (обяз.), плюс Availability/Confidentiality/Processing Integrity/Privacy по бизнес-кейсу.
Обеспечьте «наблюдательный период» с непрерывной фиксацией артефактов (как минимум 3–6 месяцев).
Введите Controls Owner на каждый контроль и ежемесячный self-assessment.
Используйте «evidence automation» (скриншоты/экспорты журналов) в тикет-системе.

9) ISO 27701 и GDPR: связка

Стройте PIMS как надстройку к ISMS: роли контролера/процессора, правовые основания обработки, цели хранения, DPIA.
Пропишите DSR-процессы (запросы субъекта) и SLA на их исполнение.
Мапьте 27701 на GDPR-статьи в вашей Матрице контролей для прозрачности аудита.

10) GLI/eCOGRA/iTech Labs: как вписать в SDLC

Версионируйте игровую математику и RTP, храните инварианты; контроль изменений — через релизный регламент.
Поддерживайте «provably fair» описания (commit-reveal/VRF), публичные сиды, инструкции проверки.
Планируйте лабораторные тесты заранее под релизы и рынки; держите общую «Evidence-папку» с темплейтами.

11) Непрерывный комплаенс (continuous compliance)

Дашборд соответствия: контроли × владельцы × статус × артефакты × дедлайны.
Ежеквартальные internal audits и management review.
Автоматизация: инвентаризация активов, IAM-дрейф, конфиг-дрифт, уязвимости, журналирование изменений.
Политики «живые»: PR-мердж-процессы, версионирование, ченджлог.

12) Роли и RACI

13) Чек-лист готовности к внешнему аудиту

1. Определенный scope + границы систем/процессов.
2. Полный набор политик и процедур (актуальные версии).
3. Риск-реестр и SoA, выполненные CAPA по прошлым находкам.
4. Протоколы инцидентов и пост-мортемы за период.
5. Пентесты/сканы + устранение критических/высоких уязвимостей.
6. Тренинги и подтверждения прохождения.
7. Договоры/SLAs/DPA с ключевыми поставщиками + отчеты их SOC/ISO/PCI.
8. Доказательства BCP/DR-тестов.
9. Подтверждения IAM-контролей (ревизии доступов, offboarding).
10. Подготовленные интервью-скрипты для команд и расписание сессий.

14) Частые ошибки и как их избежать

«Политики на бумаге» без внедрения → интегрируйте с Jira/ITSM и метриками.
Недооценка vendor risk → требуйте отчеты и права аудита, ведите реестр.
Нет «evidence trail» → автоматизируйте сбор артефактов.
Scope creep в PCI → токенизация и строгая сегментация.
Откладывание BCP/DR → делайте учения хотя бы раз в год.
Игнор приватности при фичах → Privacy by Design и DPIA в Definition of Done.

15) Шаблоны артефактов (рекомендуется держать в репозитории)

Control Matrix.xlsx (мапа ISO/SOC/PCI/27701/22301).
Statement of Applicability (SoA).
Risk Register + методика оценки.
ISMS Policies (Access, Crypto, SDLC, Incident, Vendor, Logging, BYOD, Remote Work и др.).
Privacy Pack (RoPA/реестр обработок, DPIA, DSR playbook, Cookie/Consent).
BCP/DR Runbooks и протоколы учений.
Pentest Reports + Remediation Plan.
Vendor Due Diligence Kit (опросники, DPA, SLA).
Audit Readiness Checklist (из раздела 13).

Вывод

Сертификация — это проект по построению управляемых процессов, а не разовая проверка. Соберите «скелет» из ISO 27001 и дополните его SOC 2 Type II (для требовательных B2B), PCI DSS 4.0 (если есть карты), ISO 27701 (приватность), ISO 22301 (устойчивость), ISO 37301 (общий комплаенс) и GLI/eCOGRA/iTech Labs (игровая специфика). Поддерживайте «фабрику доказательств», автоматизируйте сбор артефактов и проводите регулярные внутренние аудиты — так внешний аудит станет предсказуемым и пройдет без сюрпризов.