Düzgün bozmalar hakynda habarnamalar we hasabatlylygyň möhletleri

1) Maksady we sebiti

Amallaryň we Utgaşmalaryň konturlarynda hadysalar we düzgün bozmalar ýüze çykan halatynda hökmany habarnamalaryň ýeke-täk, barlanylýan we gaýtalanýan tertibini kesgitlemek: maglumatlaryň howpsuzlygy, tölegler/maliýe amallary, kadalaşdyryjy talaplar, jogapkärli oýun, hyzmatdaş integrasiýalary, abraýly töwekgelçilikler. Resminama möhletleri, adresatlary, formatlary, şeýle hem taýýarlyk we gözegçilik amallaryny kesgitleýär.

2) Esasy adalgalar

Reportable incident (habar berilýän waka): kanun/ygtyýarnama/şertnama boýunça daşarky taraplara habar berilmegi talap edilýän waka.
DPA - maglumatlary goramak edarasy (GDPR we analoglary).
FIU - maliýe aňtaw gullugy (AML/CFT; SAR/STR).
PSP/Acquirer/Card Scheme - töleg üpjün edijileri/satyn alyjylar/töleg ulgamlary.
CERT/CSIRT - kiberhowpsuzlyk hadysalaryna jogap bermek üçin milli/pudaklaýyn merkezler.
LEA - hukuk goraýjy edaralar.
Holding statement - esasy faktlary we indiki täzelenmäniň wagty bilen ilkinji gysgaça habar.

3) Habar berilýän wakalaryň synplary (kategoriýalary)

1. IB/gizlinlik: PII/maliýe maglumatlarynyň syzmagy, hasaby bozmak.
2. Humarly oýunlaryň düzgünleşdirijisi: oýnuň elýeterliligine/dogruçyllyga/balanslara täsir edýän şowsuzlyklar; ygtyýarnamanyň/mahabatyň/RG şertleriniň bozulmagy.
3. AML/CFT: FIU-da şübheli amallar/patternler → SAR/STR.
4. Tölegler: PSP-iň köpçülikleýin elýeterli bolmazlygy, ýokary gyşarmalar, töleýjiniň maglumatlarynyň eglişigi.
5. Sarp ediji/oýunçy: täsir eden adamlara bildirişler (data breach, pul amallary, komp. çäreler).
6. Hyzmatdaşlar/affiliatlar/üpjün edijiler: trekinge, hasabatlylyga, maliýe hasaplaşyklaryna täsiri.
7. CERT/LEA: jemgyýetçilik ähmiýetli kiber hadysalary, markany balyklamak/klonlamak.
8. Audit/ygtyýarnamanyň eýeleri: SLA hasabatlylygynyň berjaý edilmegi, ýok edilendigini tassyklamak.

4) Möhletleriň matrisasy (görkezmeleri)

5) RACI we rollary

IC (Incident Commander) - "time line" we "war room" -yň eýesi. (A)

Legal/Compliance Lead - "reportable" kwalifikasiýasy, adresleri we möhletleri saýlamak, soňky belgi. (R/A)

Security Lead - IB faktlary, eglişik/PII mukdary, CERT/LEA bilen özara gatnaşygy. (R)

Payments Lead - PSP/bank/shemalar, PCI-soraglar, yzyna gaýtarmalar/chargebacks. (R)

Comms Lead - tekst we iberiş kanaly, status-sahypa, CS makroslary. (R)

Data/Analytics - täsir eden subýektleriň/amallaryň sanawy, täsirine baha bermek. (R)

CS/CRM Lead - oýunçylara habar bermek, öwezini dolmak. (R)

Exec Sponsor/CEO - köpçülige bildiriş S1. (C/I)

6) Geçiş prosesi (tapylmakdan ýapylmaga çenli)

• tapmak → hukuk kär (legal) → çözgüt "reportable? kime? möhletleri? ».

• faktlary/artefaktlary ýygnamak → çynlakaýlygyň klassifikasiýasy → şablonlary saýlamak → utgaşdyrmak (Legal/Comms/IC).

• kanallar arkaly eltip bermek (düzgünleşdirijiniň portallary, goralýan poçta, API, kagyz görnüşleri) → ibermegiň we almagyň wagtyny kesgitlemek.

• meýilnama/tapgyrlar boýunça → tekst wersiýalaryny dolandyrmak → status-sahypa bilen sinhronlamak.

• jemleýji hasabat → CAPA-plan → ýapylyş we retro (≤ 7 gün).

7) Habarnamanyň iň az düzümi (skelet)

1. Wakanyň şahsyýeti, senesi/wagty (UTC we lokal).
2. Wakanyň we täsir radiusynyň gysgaça beýany.
3. Täsir eden maglumatlaryň/müşderileriň/amallaryň kategoriýalary.
4. Görülýän çäreler (konteýner/dikeldiş).
5. Töwekgelçilik-baha bermek we häzirki ýagdaýy.
6. Indiki ädimleriň meýilnamasy we indiki täzelenişiň ETA-sy.
7. Habarlaşmak üçin habarlaşýan adam/kanal.
8. Ygtyýarnamanyň/kompaniýanyň kanuny rekwizitleri (talap edilse).
9. Programmalar: taýmline, tehniki artefaktlar, subýektleriň sanawlary.

8) Şablonlar (çalt goşmalar)

8. 1 DPA (maglumatlaryň syzmagy, ilkinji habar):

Tapylan waka/senesi

Maglumat kategoriýalary/göwrümi/geografiýasy

Zyýany azaltmak boýunça çäreler (bellikleri taşlamak, MFA, gözegçilik)

Subýektler üçin töwekgelçiliklere baha bermek

Subýektlere habar bermek meýilnamasy we möhletleri

DPO/Legal aragatnaşyk

8. 2 Oýunçylara (data breach):

Mowzuk: Hasabyňyzyň howpsuzlygy barada möhüm maglumatlar

Beden: näme boldy (tehniki däl). jikme-jiklikler we PII-siz), haýsy çäreler görüldi, oýunçy indi näme etmeli (paroly üýtgetmek, MFA-ny açmak), täzelenmeleri nireden yzarlamaly, kömek/kompensasiýa nädip almaly.

8. 3 Humarly oýunlaryň düzgünleşdirijisi (elýeterliligiň/dogruçyllygyň şowsuzlygy):

Näme: hyzmat/oýunlar/gapjyk, wagt aralygy, zolaklar

Täsir: göterim/stawkalaryň/balanslaryň sany

Çäreler: yzyna gaýtarmak, ätiýaçlyk, gapjygyň safe-mode

Garaşylýan dikeldiş ETA, dogruçyllyga/balanslara gözegçilik

Gutarnykly barlagyň we hasabatlylygyň meýilnamasy

8. 4 FIU (SAR/STR, gysgaça):

Şübhe faktlary we esaslary ("müşderä duýduryş bermezden")

Jemi/baglanyşykly hasaplar/özüni alyp barş modelleri

Programmalar (amallar/baglanyşyk grafalary)

AML üçin jogapkär adamyň aragatnaşygy

8. 5 PSP/Acquirer/Card Scheme:

Näme boldy (shemalar/usullar täsir etdi), PCI töwekgelçilik bellikleri

Iş täsiri (auth-rate, ret/latency)

Kabul edilen çäreler/bypaslar, bilelikdäki diagnostika barada haýyş

Müşderileriň öwezini dolmak/yzyna gaýtaryp bermek meýilnamasy

8. 6 CERT/CSIRT:

Eglişik görkezijileri (IoC), TTP, wektorlar

Kabul edilen çäreler we galan töwekgelçilikler

Telemetriýany utgaşdyrmak/gözlemek haýyşy

9) Çek-listler

Ilkinji habarnamany ibermezden ozal

• Faktlar tassyklandy; / PII syrlary aýrylýar.
• Legal/Compliance bilen ylalaşyldy; adresat/kanal saýlandy.
• Aşakdaky täzelenme görkezildi (senesi/wagty/kanaly).
• Skrinshotlar/ARTEFACTS we programmalaryň hash-summalary hasaba alyndy.
• Lokalizasiýa/dil barlandy (zerur bolsa).

Iberilenden soň

• Kabul edilendigini tassyklamak/bilet belgisi/reýestr şahsyýeti alyndy.
• Täzelenmeler meýilnamasy we eýeleri döredildi.
• Status-sahypadaky/SSS/CS-makrosdaky tekstler sinhronlaşdyryldy.

Ýapmak

• Jemleýji hasabat iberildi we tassyklandy.
• CAPA möhletleri we netijelilik metrikleri bilen hasaba alyndy.
• Retro 7 gün ≤ geçirildi.

10) Möhletleriň we adresatlaryň sanawy (maglumatlaryň gurluşy)

11) Artefaktlar we retensiýa

Timline (minutlyk takyklyk), ähli habarnamalaryň wersiýasy, kabul edilendigini tassyklamak.
Tech. artefaktlar: loglar, damplar, metrikleriň eksporty, IoC, konfigurasiýa suratlary.
Habar bermek/öwezini dolmak üçin ulanylýan subýektleriň/geleşikleriň sanawlary.
Retensiýa: ygtyýarnamalaryň/kanunlaryň talaplaryna laýyklykda saklamak (adatça 1-7 ýyl, ýurisdiksiýa boýunça kesgitlenýär).

12) Laýyklyk ölçegleri

Timeliness: wagtynda iberilen habarnamalaryň% -i (kategoriýalar boýunça).
Completeness: ilkinji gezek kabul edilen habarnamalaryň paýy (düzedişler soralmazdan).
Acknowledgement SLA: tassyklamanyň ortaça wagty.
Update Discipline: täzelenme aralyklarynyň berjaý edilmegi.
CAPA Efficacy: wagtynda ýapyk CAPA paýy.

13) Gurallar we awtomatlaşdyryş

Waka-bot: '/notify <kategoriýa> ', möhletleri/kanallary awtomatiki çalyşmak, möhletleri ýatlatmak.
Şablonlaşdyryjy: hadysanyň parametrlerinden habarnamalary ýygnamak; wersiýalary/lokalizasiýasy.
Status-sahypa: daşarky täzelenmeler bilen sinhron; TTS gözegçiligi (time-to-statement).
SOAR/SIEM: DPA/CERT üçin artefaktlary awtomatiki ýygnamak.
DWH/CRM: täsir eden subýektleriň segmentleri, eltip bermek we açyş yzarlamalary.

14) Üýtgeşmeleri dolandyrmak (governance)

Bölüm eýesi: Head of Compliance (ätiýaçlyk - Legal Counsel).
Reýestre barlagy (§ 10): her çärýekde we her S1/S2 soň.
Maşklar: DPA/Regulator/AML boýunça table-top - çärýekde; live-drill IB - her alty aýda bir gezek.
Audit: habarnamalaryň möhletlerine we dolulygyna laýyklygynyň her ýyl garaşsyz barlagy.

15) Çalt başlamak (30 günüň içinde ornaşdyrmak)

1. Ähli ygtyýarnamalar/bazarlar boýunça hökmany adresatlaryň sanawyny düzmek we reýestre girizmek (§ 10).
2. Habarnamalaryň şablonlaryny tassyklamak (§ 8) we olary waka-bota birikdirmek.
3. SLA-metrikleri (§ 12) we "Regulatory Reporting" dashborduny sazlaň.
4. Maşk geçirmek: data breach → DPA + oýunçylar, töleg krizisi → PSP, AML-SAR → FIU.
5. Möhletler we awtogenerasiýa barada ýatlatmalary öz içine al holding statements.
6. Ilkinji maşkyň netijeleri boýunça retro başlamak, pleýbuklary täzelemek.

• Krizis dolandyryş we aragatnaşyk
• Waka pleýbuklary we ssenariler
• Iş dowamlylygy meýilnamasy (BCP)
• Disaster Recovery Plan (DRP)
• Eskalasiýa matrisi
• Habarnamalar we alertler ulgamy
• Oýunçylaryň jogapkär oýny we goragy