Ygtyýarnamalaryň möhletini uzaltmak we audit

1) Näme üçin bu möhüm?

Ygtyýarnama statiki resminama däl-de, RG/AML, howpsuzlyk, maglumatlar we hasabat standartlaryny goldamak borjy bolup durýar. Üstünlikli uzaldylmagy we audit töwekgelçilikleriň dolandyrylýandygyny, prosesleriň kämillik ýaşyna ýetendigini we masştabyň taýýardygyny tassyklaýar.

Esasy ýörelgeler: evidence-first, no-humans-in-prod, policy-as-code, traceability.

2) Uzaltmalaryň we auditleriň görnüşleri

Ygtyýarnamanyň (renewal) uzaldylmagy: senenama boýunça (adatça her ýyl/ýylda bir gezek) - gözegçilik boýunça görnüşiň, ýygymlaryň we subutnamalar bukjasynyň berilmegi.
Üýtgeşmeler/üýtgeşmeler (variation): benefisiarlaryň üýtgemegi, dik ýerleriň, hosting ýerleriniň, esasy adamlaryň goşulmagy - aýratyn ylalaşygy talap edýär.
Kadalaşdyryjy audit: syýasatyň/hasabatyň, marketingiň/affiliatlaryň, RG/AML, hadysalaryň žurnallarynyň barlagy.
Tehniki audit/barlaghanalar: RNG/RTP, SDLC/relizler, gowşaklyklar/pentest, DR/BCP, hosting we loglar.
Maliýe barlagy: GGR/salgytlar/ätiýaçlyklar, bonus hasapdan çykarmalaryň dogrulygy, tölegleriň sanawlary.
GDPR/DPA auditi: DPIA, gaýtadan işlemeleriň sanawy, subýektlere jogaplar, syzdyrmalar/habarnamalar.
PCI DSS (PAN bilen işleýän bolsaňyz): segmentasiýa, tokenizasiýa, giriş magazinesurnallary, ASV skanerleri.

3) Uzaldyş senenamasy: takmynan şkalasy

T-90...60 gün - gap-derňew, syýasaty täzelemek, barlaghanalary/auditorlary bron etmek.
T-60...30 - artefaktlary ýygnamak (loglar, SBOM, skan/pentest hasabatlary, DR-aktlar), Key Persons-iň tassyklamasy.
T-30...14 - bukjanyň finaly, subutnamalaryň içerki görnüşi (sampling), jogapkär adamlary söhbetdeşlige taýýarlamak.
T-14...0 - regulyatoryň jogaplaryna renewal-bukjany bermek, ýygymlary, SLA-penjireleri tölemek.
T + 0... + 30 - Q & A/soraglar, remediasiýa, uzaldylandygyny tassyklamak.

4) Evidence-paket: öňünden näme bişirmeli

Org/hukuk: eýeçilik gurluşy, SoF/SoW (üýtgeşmeler ýüze çykan halatynda), CV we Key Persons şahadatnamalary, tabşyryklaryň sanawy.
Syýasatlar: aktual AML/CTF, RG, mahabat/affiliates, maglumatlary goramak (DPIA), hadysalar, DR/BCP; barlaglaryň we okuwlaryň žurnaly.

• SBOM we artefaktlaryň gollary bolan neşirleriň magazineurnaly;
• SAST/SCA/DAST hasabatlary, remediasiýa meýilnamasy, işjeň kadadan çykmalar bolmazdan "critical/high" ýoklugy;
• syn etmek: SLO/SLI dashbordlary, sintetiki barlaglar "goýum/KUS/çykarmak";
• logirleme: PII/PAN, retenşn we gözleg bolmazdan gurluş loglary;
• DR/BCP: dikeldiş synaglary, RTO/RPO, gyssagly türgenleşik teswirnamalary.
• RG/AML: interwensiýalaryň we netijeleriň sanawy, self-exclusion (ýerli/milli), şübheli amallaryň hasabatlary (STR/SAR), sanksiýa/PER-log.
• Marketing/affiliates: kanallaryň ak sanawlary, appruvally döredijiligi saýlamak, düzgün bozmalar we çäreler magazineurnaly.
• Maliýe/salgytlar: GGR hasabatlary, bonuslary/jekpotlary sazlamak, PSP/banklar bilen deňeşdirmek.

5) Format we yzarlamak

Her bir syýasat, subutnamalara gözegçilik etmek üçin (skrinshotlar, düşürmeler, heş we senesi bolan hasabatlar).
"Evidence Map" bitewi görkezijisi: gözegçilik → nirede saklanylýar → jogapkär → täzelenme senesi.
Bukjany wersiýalaşdyrmak (Git/Repozitorium) + auditorlaryň artefaktlary saýlap görmegi üçin giriş gözegçiligi.

6) IT/maglumatlara bildirilýän talaplar (köplenç seredilýär)

SDLC/relizler: staging-payplayns, el/awto-geýt hil, yzyna gaýtarmak syýasaty, önümde göni üýtgeşmeleri gadagan etmek.
Supply chain: artefaktlaryň gollary, SBOM, admission barlagy, gowşaklyk syýasaty.
Syrlar we elýeterlilik: SSO/MFA/PAM, gysga ömürli bellikler, artykmaç sessiýalaryň žurnallary.
Tor: segmentasiýa, WAF/bot-dolandyryş, DDoS, mTLS/egress-gözegçilik.
Syn edilişi: OTel-treyslar, SLO dashboards, error-budget alertleri, synaglarda SRM-çek.
Maglumatlar: DPIA, minimallaşdyrma, sebitler boýunça maglumatlar (residency), PII/PAN giriş žurnallary.
DR/BCP: bellikler, teswirnamalar bilen yzygiderli restore, geçiş maşklary.

7) Auditiň geçmegi: taktika

1. Kickoff we skope: perimetri, saýlawlaryň sanawyny, subutnamalaryň görnüşini utgaşdyrmak.
2. Data room: "Evidence Map" -a gurluşly girişi taýýarlaň.
3. Dry-run söhbetdeşligi: MLRO/DPO/RG-Lead/CTO/SRE - Q&A geçişi we demonstrasiýalary.
4. Live-sessiýalar: loglary, SLO-daşbordlary, reliz artefaktlaryny, DR-skriptleri görkezýäris.
5. Remediasiýa: ileri tutulýan ugurlary we möhletleri ylalaşýarys, trekerde belleýäris.
6. Closure: audit hasabaty, sapaklar, syýasaty/gözegçiligi täzelemek, retro.

8) Remediasiýa meýilnamasy (şablon)

9) RACI (mysal: uzaltmak programmasy)

10) Çek-listler

10. 1 Definition of Ready (möhletden 60-90 gün öň)

• AML/RG/mahabat/maglumatlar/hadysalar täzelendi; okuwlar geçirildi.
• Tassyklanan Key Persons, aktual SoF/SoW (zerur bolsa).
• SAST/SCA/DAST we pentest hasabatlary ýygnaldy, möhleti geçen kadadan çykmalar bolmazdan critical/high ýapyldy.
• SBOM/gollar bilen goýberilen žurnallar elýeterlidir; admission-policy enforce ýagdaýynda.
• SLO/SLI dashbordlary we sintetiki barlaglaryň hasabatlary "depozit/KUS/çykarmak" elýeterlidir.
• SLA RTO/RPO-nyň çäginde DR/restore-synaglaryň hereketleri.
• RG/AML sanawlary: gatyşmalar, SAR/STR, öz-özüne mahsus; sanksiýalar/RER boýunça hasabatlar.
• Marketing/affiliates: kanallaryň ak sanawlary, appruvally döredijiligi saýlamak.
• GGR/salgytlaryň maliýe hasabatlylygy PSP/banklar bilen deňeşdirildi.

10. 2 Definition of Done (uzaldylandygy/audit tassyklanylandan soň)

• Hat/uzaldyş şahadatnamasy alyndy, sanawlar/sahypa/resminamalar täzelendi.
• Remediasiýa meýilnamasy ýapyldy, syýasatlar we "Evidence Map" täzelendi.
• Retro geçirildi: sapaklar, proseslerde üýtgeşmeler, senenama täzelendi.
• Üpjün edijilere/PSP habarnamalary iberildi (zerur bolsa).

11) Audit döwründe affiliatlar we mahabat bilen işlemek

Kanallaryň sanawyny, döredijileriň nusgasyny, 18 +/21 + nyşanynyň subutnamalaryny, tassyklamalaryň sanawyny taýýarlaň.
Bozujy hyzmatdaşlar üçin "stop-list" prosedurasy, RG/AML-complayens hakyndaky şertnamalardaky şertler.
Görkeziş ýygylygynyň/çäklendirmeleriniň we blok sahypalarynyň daşbordy.

12) Töwekgelçilikleri dolandyrmak (registry)

13) Kiçi şablonlar

Control,Policy Ref,Artifact,Location,Owner,Updated At,Retention
RG-Limits,RG §4.2,Dashboard URL,obs://rg/limits,RG Lead,2025-10-15,24m
SDLC-SBOM,SDLC §3.1,sbom_2025Q4.json,repo://release/sbom,Platform Lead,2025-10-30,36m
DR-Restore,BCP §5.3,restore_report_Q4.pdf,doc://dr/reports,SRE Lead,2025-10-20,36m

• Äpiş/maksatlar
• Saýlawlaryň sanawy we subutnamalaryň formaty
• Sessiýa/söhbetdeşlik senenamasy
• Rollar we aragatnaşyklar
• Q&A we SLA jogap kanaly

14) Ýygy-ýygydan soraglar

Ähli artefaktlary birbada tabşyrmalymy? Nook: maglumat bazasyny beriň we haýyş boýunça nusga alyň - ýöne hemme zady taýýar saklaň.
Sahypalaryň bir böleginiň ýoklugynyň öwezini dolup bolarmy? Diňe düşündirilýän sebäp we düzediş meýilnamasy (we möhletleri) bilen.
Düzgünleşdiriji üçin has möhüm zat - syýasat ýa-da subutnama? Syýasatyň hakykatdanam işleýändigini tassyklaýan subutnamalar.

15) 30 günlük gysga meýilnama (çaltlaşdyrylan ýol)

1-nji hepde: soňky gap-derňew, syýasatlary täzelemek, SLO/loglary ölçemek, auditorlary bron etmek.
2-nji hepde: SBOM/gollary/neşir magazinesurnallaryny ýygnamak, gowşaklyk hasabatlary/pentest, DR.
3-nji hepde: RG/AML/marketingiň jemlenmegi, jemlenen daşbordlar, dry-run söhbetdeşlikleri.
4-nji hepde: gowşuryş, Q&A, çalt remediasiýa we uzaldylandygyny tassyklamak.

Gysgaça netije

Uzaltmak we audit bir gezeklik "hasabat tabşyrmak" däl-de, prosesleriň kämillik ýaşyna ýetmeginiň yzygiderli görkezilmegi bolup durýar. Senenamany guruň, "Evidence Map" -y dolandyryň, gözegçilikleri kod hökmünde awtomatlaşdyryň, synlamagy we DR-ni gowy ýagdaýda saklaň. Şonda uzaltmak töwekgelçilikden adaty ýagdaýa, audit bolsa düzgünleşdirijiler, hyzmatdaşlar we oýunçylar tarapyndan gowulaşmagyň we ynamyň çeşmesine öwrüler.