Сабти ном ва методологияи арзёбӣ

1) Чаро ва чӣ ба феҳрист дохил карда шудааст

Мақсад: системаи ягонаи тавсиф, арзёбӣ, афзалият ва мониторинги хатарҳое, ки ба пул таъсир мерасонанд (GGR/CF), литсензияҳо, бозингарон, маълумот ва обрӯ.
Фарогирӣ: Маҳсулот/Муҳандисӣ (SDLC/Ҳодисаҳо), Молия ва Пардохтҳо (PSP/Бозёфтҳо), KYC/AML/Санксияҳо, Махфият (GDPR), TPRM/Фурӯшандагон, Маркетинг/SDK, Маълумот (DWH H/BI), Инфраструктура/Абрҳо/DR, Амалиёти дастгирӣ ва VIP.

2) Таксономияи хавф (мисол)

Амнияти иттилоотӣ ва махфият: ихроҷи PII/KYC, дастрасии беиҷозат, нокомии сабти ном, файлҳои DSAR.
Танзим/мувофиқат: вайронкунии шартҳои иҷозатнома, AML/KYC/санксияҳо, манъи таблиғот.
Амалиёт/технологӣ: вақти пасти PSP/KYC, камбудиҳо, таназзули дермонӣ, ҳодисаҳои DR.
Қаллобӣ/сӯиистифода: пасандозҳои қаллобӣ, сӯиистифода аз мукофотпулӣ, шакли ҳамлаи пардохт.
Молиявӣ: пардохтпазирии шарик, зарбаи пардохт, тамаркуз ба як PSP.
Занҷираи фурӯшанда/таъминот: SDK-ҳои осебпазир, зерсохторҳо бо TOM-ҳои паст.
Эътибор/фармоишгар: хӯша дар шикоятҳо, тарки NPS, вайронкунии RG.
Стратегӣ/геополитикӣ: таҳримҳо, тағироти андоз/қонун, басташавии ҳаракат.

3) Корти хатар (майдонҳои зарурӣ)

ID/Номи хатар

Категория (аз таксономия)

Тавсифи ҳодиса (чӣ рӯй дода метавонад) ва сабаб

Дороиҳо/равандҳо/қаламравҳои таҳти таъсири

Соҳиби хатар ва сарпараст

Назорати дастрас (пешгирикунанда/детективӣ/ислоҳӣ)

Эҳтимолият (P) ва Таъсир (I) пеш аз назорат (хос)

Хатари боқимонда пас аз назорат

Нақшаи табобат: кам/пешгирӣ/қабул/интиқол

Ҳадди баландшавӣ/сатҳи таҳдид (Сатҳи паст/миёна/баланд/интиқодӣ)

KRI ва триггерҳо, ченакҳо ва манбаъҳои маълумот

Вазъи баррасии навбатӣ ва санаи муқарраршудаи CAPA/чиптаҳо

Робита бо феҳристи назорат (ID-ҳои назоратӣ) ва сиёсатҳо

Шарҳҳои аудитор/кумита (Қарорҳои охирин)

4) Ҷадвали рейтинг (пешфарз 5 × 5)

4. 1 Эҳтимолият (P)

1 - Нодир (<1/5 сол)

2 - Паст (1/2-5 сол)

3 - Миёна (солона)

4 - Баланд (семоҳа)

5 - Хеле баланд (моҳ/бештар аксар вақт)

4. 2 Таъсир (I) - ҳадди аксарро аз шохаҳо интихоб кунед

Молия: 1: <€10k· 2: €10-100k· 3: €100k-1m· 4: €1-5m· 5:> €5m

Махфият/Маълумот: 1: <1k сабт·...· 5:> сабтҳои 1M/категорияҳои махсус

Танзимкунанда/Литсензияҳо: 1: Огоҳӣ· 3: Ҷазо/Шарҳи· 5: Боздошти иҷозатнома

Мавҷудият (SLO/SLA): 1: <15 min·...· 5:> 8 соат барои минтақаҳои муҳим

Холи ниҳоӣ: 'R = P × I' → сатҳҳо: 1-5 паст, 6-10 миёна, 12-16 баланд, 20-25 интиқодӣ.

(Ҳадди ниҳоиро ба ширкат мутобиқ кардан мумкин аст.)

5) Матритсаи харитаи гармӣ ва иштиҳои хавф

Иштиҳои хавф: ҳуҷҷат бо таҳаммулпазирӣ аз рӯи домен (масалан, ихроҷи PII - таҳаммулпазирии сифр; вақти корӣ P95 - ≤ X min/моҳ; меъёри пардохт - ≤ Y%).
Харитаи гармӣ: визуализатсияи R дар 5 × 5; болотар аз иштиҳо - нақша ва ҷадвали CAPA-ро талаб мекунад.
Буҷаи хавф: квотаҳо барои хавфҳои "қабулшуда" бо асос (асосноккунии иқтисодӣ).

6) Методологияи арзёбӣ

6. 1 Сифат (оғози зуд)

Арзёбии коршиносон оид ба миқёси P/I + асосноккунӣ, муқоиса бо таърихи ҳодисаҳо ва маълумоти KRI.

6. 2 миқдорӣ (афзалият барои Top-10)

Равиши FAIR (соддакардашуда): басомади ҳодисаҳо × тақсимоти эҳтимолии зарар (P10/P50/P90); барои муқоисаи имконоти коҳиш муфид аст.
Монте-Карло (1000-10к медавад): тағйирпазирии зарар ва басомад → Талафоти зиёдатӣ (эҳтимолияти талафот> X).
TRA (Таҳлили мақсадноки хатар): таҳлили нуқта барои интихоби басомадҳои мониторинг/назорат (барои PCI/фурӯшандагон мувофиқ аст).

7) KRI ва манбаъҳо

• Мавҷудият/Амалиётҳо: хатогиҳои MTTR, 5xx, таъхири P95, ҳодисаҳои P1/P2,% autoscale, қобилияти кластер.
• Амният/махфият:% фарогирии ВКХ, кӯшиши қуттиҳои эътимоднок, содироти ғайриоддӣ, DSAR SLA, парчамҳои зидди алвар.
• Пардохтҳо: меъёри аут аз ҷониби PSP, меъёри пардохт, нокомии бонк, ҳиссаи пули нақд.
• KYC/AML: TAT, сатҳи мусбати бардурӯғ, таҳримҳо, ҳиссаи афзоиш.
• Фурӯшандагон: риояи SLA, лағжиши дермонӣ, басомади ҳодисаҳо, мувофиқати шаҳодатномаҳо.

KRI-ҳо бо хатарҳо шарик мешаванд ва вақте ки онҳо аз ҳадди ниҳоӣ мегузаранд, шиддат мегиранд.

8) Давраи ҳаёти хатар (ҷараёни кор)

1. Шиносоӣ → бақайдгирии корт.

2. Харитаи назоратӣ ва боқимонда

3. Қарори табобат ва нақшаи CAPA (сана/соҳибон).
4. KRI/мониторинги ҳодисаҳо, навсозии кортҳо.
5. Кумитаи семоҳаи хавфҳо: Таҷдиди Top-N, тамғагузории иштиҳо.
6. Пӯшидан/муттаҳид кардан ё рӯйхати назоратӣ.

9) Иртибот бо назорат ва аудит

• Проактив: RBAC/ABAC, So
• Детектив: SIEM/огоҳиҳо, мусолиҳа, гузоришҳои WORM, UEBA.
• Ислоҳ: рӯйпӯшҳо, қуфлҳои пардохт, бекоркунии калидҳо, часбҳои таъҷилӣ.
• Аудити DE/OE тасдиқ мекунад, ки хавфро ба иштиҳо коҳиш медиҳад ва мӯътадил кор мекунад.

10) Кортҳои намунавӣ (YAML, пораҳо)

10. 1 ихроҷи PII тавассути фурӯшанда SDK (Сатҳи-1)

yaml id: R-PRIV-001 title: "Утечка PII через SDK маркетинга"
category: privacy/vendor assets: [pii_profiles, sdk_mobile]
owner: privacy_lead inherent:
likelihood: 3 impact: 5  # >1M записей / регуляторные штрафы controls:
preventive: [cmp_enforced, data_minimization, sdk_allowlist, tokenization]
detective: [worm_logs, export_signing, siem_anomaly_exports]
corrective: [sdk_kill_switch, key_rotation, incident_comm_plan]
residual:
likelihood: 2 impact: 4 treatment: reduce kri:
- name: "Anomalous export volume"
threshold: ">P99 baseline"
- name: "SDK version drift"
threshold: "N-1 only"
status: active next_review: 2026-01-15

10. 2 Таназзули PSP: Нокомии иҷозати пардохт

yaml id: R-PAY-007 title: "Падение конверсии авторизации у PSP#1"
category: payments/availability owner: head_of_payments inherent: {likelihood: 4, impact: 4}
controls:
preventive: [multi_psp_routing, rate_limits, timeout_policies]
detective: [auth_rate_dashboard, p95_latency_alerts]
corrective: [failover_to_psp2, traffic_shaping, incident_swar_rm]
residual: {likelihood: 2, impact: 3}
kri:
- name: "Auth rate PSP1"
threshold: "< baseline-3σ for 15m"
escalation: "Incident P1 if <X% for 30m"

11) Агрегатсия ва идоракунии портфел

Top-N (Намуди бақайдгирии хатарҳо): аз рӯи R боқимонда ва "иштиҳои боло" мураттаб карда мешаванд.
Мавзӯъҳо (Мавзӯъҳои хавф): кластерҳо (фурӯшандагон, махфият, PSP) → соҳибони мавзӯъ.
Харитаҳои вобастагӣ: riski↔kontroli↔vendory↔protsessy.
Сенарияҳо ва санҷишҳои стресс: Чӣ мешавад, агар "PSP # 1 ва KYC # 1 дар тӯли 2 соат дастрас набошанд?" - арзёбии маҷмӯӣ ва нақшаи амалиёт.
LEC (Хати барзиёдии зиён): Профили солонаи зиён барои шӯро/шӯро.

12) Ҳадди баландшавӣ ва сигналҳо

Амалиёт: вайронкунии SLO/SLA → Ҳодисаи P1/P2.
Мувофиқат/Махфият: аз ҳад зиёд нигоҳ доштан, нокомии DSAR, содирот бидуни 'мақсад' → фавран DPO/Густариши ҳуқуқӣ.
Фурӯшанда: камбудиҳои такрории SLA → CAPA дар таъминкунанда, таҷдиди шартнома.
Молиявӣ: баргардонидани барзиёд> ҳадди ниҳоии → чекҳои дастӣ, тасҳеҳи маҳдудиятҳо/мукофотпулӣ.

13) RACI (васеъшуда)

14) Метрикаҳои (KPI/KRI) системаи идоракунии хавфҳо

Фарогирӣ: 100% равандҳои муҳим хатарҳо ва соҳибони бақайдгирифташударо доранд.
Шарҳи вақт: ≥ 95% кортҳо сари вақт аз нав дида баромада мешаванд.
Болотар аз иштиҳо: ↓ QOQ, таносуби хатарҳо аз иштиҳо зиёдтар аст.
Пӯшидани CAPA (баланд/интиқодӣ): ≥ 95% сари вақт.
Ақибмонии муайянкунӣ: вақти медианӣ аз каҷшавии KRI ба шиддат (тамоюл ба ↓).
Такрори ҳодисаҳо: ҳодисаҳои такрорӣ бо як сабаб - 0.

15) Рӯйхати санҷишҳо

15. 1 Сохтани корт

• Категорияи ҳодисаҳо/Сабабҳо ва Тавсиф
• Дороиҳо/равандҳо/қаламравҳо қайд карда шудаанд
• P/I тахминӣ (хос) ва боқимонда бо асоснок
• Харитаи назорат (ID), KRI ва манбаъҳои маълумот
• Нақшаи CAPA/Санаҳо/Соҳибон
• Ҳадди афзоиш ва сатҳи таҳдид

15. 2 Кумитаи семоҳа

• Топ 10 барои иштиҳои боқимонда ва болотар
• Хатарҳои нав/пайдошуда, тағирот дар қонунҳо/фурӯшандагон
• CAPA ва вазъи қонунвайронкунӣ
• Қарорҳо: қабул/кам/интиқол/пешгирӣ; навсозии иштиҳо/ҳудудҳо

16) Харитаи роҳсозӣ (4-6 ҳафта)

Ҳафтаҳои 1-2: тасдиқи таксономия, тарозу, иштиҳо; Асбобро интихоб кунед (ҷадвал/BI/IRM). Барои равандҳои муҳим 10-15 корти ибтидоӣ эҷод кунед.
Ҳафтаҳои 3-4: хавфҳоро бо назорат ва KRI пайваст кунед; харитаи гармӣ/панелҳо созед; кумитаи хавфро оғоз кунед.
Ҳафтаҳои 5-6: иҷрои миқдор барои Top-5 (FAIR/Monte Carlo light), автоматикунонии ҷамъоварии KRI, ба расмият даровардани шиддат ва гузоришдиҳии тахта.

17) Бахшҳои марбут ба вики

Назорати дохилӣ ва аудити онҳо, ISO 27001/27701, SOC 2, PCI DSS, IGA/RBAC/Имтиёзи камтарин, TPRM ва SLA, ҳодисаҳо ва ихроҷ, DR/BCP, Сиёсати сабти ном ва WORM - барои тамоми давра "→ назорат → метрикӣ → далелҳо."

TL; ДР

Феҳристи хавфҳои корӣ = тарозуи дақиқи таксономия + миқёси стандартӣ + иштиҳо/ҳадди ниҳоии кортҳо бо соҳибон, контролҳо ва KRI → харитаи гармӣ ва кумитаҳо → ҳисобкунии афзалиятнок барои хатарҳои боло ва CAPA сари вақт. Ин хатарҳоро идорашаванда, муқоисашаванда ва барои раёсат ва танзимгарон собит мекунад.