Risk değerlendirmesi

1) Hedefler ve ilkeler

Amaç: SLO'yu, geliri, mevzuata uygunluğu ve itibarı etkileyen tehditlerin erken tespiti ve önceliklendirilmesi.
İlkeler: tutarlılık, ölçülebilirlik, tekrarlanabilirlik, iş değerine bağlanma, SLO-ilk.
Sonuç: Anlaşılabilir sahipler, önlemler ve son tarihler ile şeffaf bir risk portföyü.

2) Şartlar

Risk: Olumsuz bir olayın olasılığı × etkisi.
Risk iştahı: Kuruluş için kabul edilebilir kalıntı risk seviyesi.
Güvenlik açığı/etki/kontrol: zayıf nokta, tetikleyici ve mevcut önlemler.
KRI (Temel Risk Göstergeleri): öncü göstergeler (örneğin, p99 gecikmesinin büyümesi, tüketici gecikmesi, ödeme dönüşümünün reddi).

3) iGaming için Risk Sınıflandırması

Operasyonel: aşırı yükleme, serbest bırakma hataları, kuyruklar, veritabanı/önbellek bozulması, veri merkezlerinde/AZ/bölgelerde olaylar.
Teknoloji/güvenlik: DDoS, güvenlik açıkları, sızıntılar, yapılandırma hataları, önemli kütüphanelere bağımlılık.
Ödeme/finansal: yetkilerde düşüş, ters ibraz büyümesi, sağlayıcının bulunamaması, FX huzursuzluğu, dolandırıcılık.
Bağımlılıklar/ekosistem: oyun sağlayıcılarındaki başarısızlıklar, CDN/WAF, KYC/AML, SMS/e-posta ağ geçitleri.
Uyumluluk/düzenleme: lisans gereksinimlerinin ihlali, KYC/AML, sorumlu oyun, veri depolama.
Ürün/pazarlama: öngörülemeyen trafik zirveleri (turnuvalar, maçlar, promosyonlar), bonus segmentasyonu özlüyor.
İtibar: Olaylar veya uyumsuzluk nedeniyle medyada/sosyal medyada olumsuz.

4) Risk değerlendirme süreci (kutu)

1. Bağlam oluşturma: hedefler, SLO'lar, düzenleyici gereklilikler, mimari sınırlar, değer zinciri.
2. Tanımlama: Aday olayların toplanması: olay retrospektifleri, bağımlılık denetimleri, beyin fırtınası oturumları, kontrol listeleri.
3. Analiz: kalitatif (senaryolar, papyon) ve kantitatif (frekanslar/dağılımlar).
4. Değerlendirme: Risk iştahı ile karşılaştırma, sıralama, önceliklerin onaylanması.
5. İşleme: önleme, azaltma, transfer (sigorta/sözleşmeler), kabul (bilinçli).
6. İzleme ve revizyon: KRI, kontrollerin etkinlik kontrolleri, kayıt defteri güncellemeleri, hazırlık testleri.

5) Kalite teknikleri

Olasılık/darbe matrisi: 1-5 ölçekler (Çok Düşük... Çok yüksek). Etki, eksenler boyunca ayrı olarak değerlendirilir: SLA/gelir/düzenleyici/itibar.
Bow-Tie Analizi: Nedenleri - olay - sonuçları; Her taraf için - önleyici ve hafifletici kontroller.
FTA (Hata Ağacı Analizi): Kritik hizmetler için mantıksal hata ağaçları (depozito, oran, çıktı).
HAZOP/What-If: What-If: Arayüzler ve prosedürler üzerine sistematik bir araştırma.

6) Kantitatif teknikler

ALE (Annualized Loss Expectation): ALE = SLE × ARO (beklenen yıllık hasar).
VaR/CVaR: Belirli bir güven seviyesinde risk sermayesi (nakit boşlukları/ödeme sağlayıcıları için).
Monte-Carlo: Trafik zirvelerinin/sağlayıcı arızalarının/ödeme dönüşümlerinin güven aralıklarıyla simülasyonu.

FMEA: Şiddet (S), Frekans (O), Algılanabilirlik (D) - RPN = S × O × D, Yama Önceliklendirme

Güvenilirlik matematiği: boşluk, MTTF/MTTR, yanma oranı hata bütçesi, ortak başarısızlık olasılıkları (AZ + sağlayıcısı).

7) Risk iştahı ve eşikleri

SLA kayıpları, cezalar, saat/gün başına gelir kaybı için kategorileri (yüksek/orta/düşük) tanımlayın.
Tırmanma eşiklerini ayarlayın: Bir olay/risk seviyeler arasında hareket ettiğinde, var odasını kimin toplaması gerekir.
Revizyon tarihi ve kapanış planı ile istisnalar (geçici risk alma) yazın.

8) KRI ve erken uyarı

• Performans: p95/p99 ↑, zaman aşımı büyümesi, kuyruk derinliği, önbellek isabeti düşüşü, çoğaltma gecikmesi.
• Ödemeler: Belirli bir GEO/bankada ↓ yetkileri, yumuşak düşüş büyümesi, AOV anomalileri.
• Güvenlik: Kritik uç noktalarda 4xx/5xx ani artışlar, WAF tetikleyicilerinde artış, bağımlılıklarda yeni CVE'ler.
• Uyumluluk: Depolama sınırlarının aşılması, KYC gecikmeleri, işlem yapılmadan kendinden hariç tutulanların paylaşımı.
• Her KRI için - sahip, metrik, eşikler, kaynaklar, otomatik uyarılar.

9) Etki değerlendirmesi (çok eksenli)

SLA/SLO: Hedeften dakika/saat kapalı, ortaklara SLA bonusları üzerindeki etki.
Finans: doğrudan kayıplar (ödenmemiş işlemler, ters ibraz), dolaylı (kayıp, para cezaları).
Düzenleyici: yaptırım riski/lisansın askıya alınması/zorunlu bildirimler.

İtibar: NPS/CSAT, olumsuz sözlerin yayılması, ortaklar ve yayıncılar üzerindeki etkisi

10) Risk yönetimi (önlemler kataloğu)

Önleme: Riskli özelliklerin/modellerin reddi, patlama yarıçapı sınırlaması (kiracı izolasyonu, oran sınırı).
Azaltma: veritabanı sharding, önbellekleme, havuz/kotalar, çoklu ödeme sağlayıcısı, kanarya bültenleri.
Transfer: siber risk sigortası, sözleşmelerde SLA tazminatı, emanet.
Kabul: KRI ve çıkış planı ile kontrollü kalıntı risk altında belgelenmiş karar.

11) Roller ve RACI

Sorumlu: Risk/Ops/SRE/Payments/SecOps alan sahipleri.
Sorumlu: Ops/CTO/CRO Başkanı.
Danışmanlık: Ürün, Veri/DS, Yasal/Uyumluluk, Finans.
Bilgili: Destek, Pazarlama, İş Ortağı Yönetimi.

12) Eserler ve desenler

Risk Kaydı: Kimlik, açıklama, kategori, nedenler, olasılık, eksen etkisi, mevcut kontroller, KRI, işleme planı, sahip, terim.
Risk Isı Haritası: Departman/hizmete göre toplu harita.
Bağımlılık Haritası: kritik dış ve iç bağımlılıklar, yedekleme düzeyleri, iletişim bilgileri.
Runbooks/Playbooks: KRI/olay, kill-switchler, bozulma tarafından tetiklendiğinde belirli adımlar.
Üç Aylık Risk İncelemesi: değişiklikler, kapalı/yeni riskler, KRI eğilimleri, kontrollerin etkinliği.

13) SLO/Olay Yönetimi ile Entegrasyon

Riskler SLO hedeflerine (gecikme, hata oranı, kullanılabilirlik) ve hata bütçesine dönüştürülür.
KRI - uyarı politikaları (hızlı/yavaş yanma hızı).
Ölüm sonrası, risk değerlendirmesinin güncellenmesi ve kontrollerin ayarlanması zorunludur.

14) Araçlar ve veriler

İzleme/gözlemlenebilirlik: metrikler, günlükler, izler; "Risk görünümleri" panelleri.
Dizinler ve CMDB'ler: hizmetler, sahipler, bağımlı bileşenler.
GRC/Task tracker: risklerin, durumların, denetim eylemlerinin kaydının saklanması.
Veri/ML: anomali modelleri, yük/arıza tahmini, Monte-Carlo simülasyonları.

15) Uygulama Yol Haritası (8-10 hafta)

Ned. 1-2: bağlam ve çerçeve; Kritik hizmetlerin ve bağımlılıkların listesi; Risk iştahının belirlenmesi.
Ned. 3-4: ilk risk tanımlama (atölyeler, retro), kayıt defteri doldurma, taslak ısı haritası.
Ned. 5-6: SLO'ya bağlanan KRI ve uyarıları ayarlama; İlk 5 risk için Bow-Tie/FTA lansmanı.

Ned. 7-8: Finansal olarak önemli senaryolar için niceleme (ALE/VaR/Monte-Carlo); İşleme planlarının onaylanması

Ned. 9-10: hazırlık testi (oyun günü, yük devretme), eşik düzeltme, üç aylık incelemelerin başlatılması.

16) Değerlendirilen risk örnekleri (iGaming)

1. Prime time'da PSP-1 yetkilerin başarısızlığı

Olasılık: Orta; Etki: Yüksek (gelir, SLA).
KRI: banka/GEO yetkilendirme dönüşümü, yumuşak düşüş büyümesi.
Önlemler: Çoklu sağlayıcı, sağlık ve ücret yönlendirme, titreme geri çekilmeleri, duraklama sınırları.

2. Şampiyonlar Ligi maçının her günü için bahis veritabanının aşırı yüklenmesi

Olasılık: Orta; Etki: Yüksek (SLO).
KRI: çoğaltma gecikmesi, p99 istekleri, kilit bekleme büyümesi.
Önlemler: önbellek/CQRS, sharding, satır ön yükleme, özelliğin bir kısmının salt okunur modu.

3. Genel API'lere DDoS

Olasılık: Düşük-Orta; Etki: Yüksek (kullanılabilirlik, itibar).
KRI: SYN/HTTP spike, WAF tetikleyicileri.
Önlemler: CDN/WAF, oran limiti, belirteçler, captchas, bot trafik izolasyonu.

4. KYC depolama için yasal uygunsuzluk

Olasılık: Düşük; Etki: Çok yüksek (ceza/lisans).
KRI: delay checks> SLA, retention değerini aşar.
Önlemler: Kod olarak politika, otomatik TTL, denetim ve üretim veri testleri.

17) Antipatterns

Kayıt defteri ve KRI olmadan gözle değerlendirme.
Parasız matrisler ve SLO - yanlış öncelikler.
Nadir incelemeler (olaylardan sonra güncellenmeyen kayıt defteri).
Uygulanan kontroller/testler olmadan sadece belgelerle "işleme".
Dış bağımlılıkları ve sözleşme SLA'larını görmezden gelin.

18) Raporlama ve İletişim

Exec Özeti: En İyi 10 Risk, KRI Trendleri, Rezidüel Risk ve İştah, Kapanış Planı.
Teknik raporlar: kontrollerin etkinliği, oyun günü sonuçları, eşik değişiklikleri.
Düzenlilik: aylık incelemeler + üç aylık derin yeniden değerleme.

Toplam

Risk değerlendirmesi statik bir belge değil, bir yaşam döngüsüdür: belirlediler - hesapladılar - risk iştahı üzerinde anlaştılar - seçilen ve uygulanan önlemler - veri ve egzersizlerle kontrol edildi - kayıt güncellendi. Bu çerçeve, operasyonel kararları işletme değerine bağlar ve SLO'lara ve düzenleyici gerekliliklere uyumu sürdürürken olayların sıklığını/ölçeğini azaltır.