Оцінка ризиків та рівні загроз

1) Цілі та область застосування

Мета: забезпечити єдиний, відтворюваний і перевіряється підхід до ідентифікації, вимірювання та управління ризиками iGaming-операцій, відповідності регуляторним вимогам і зниження сукупної вразливості бізнесу.
Охоплення: AML/KYC/KYB, санкційний і PEP-скринінг, платіжні та поведінкові шахрайські схеми, витоки даних і кіберзагрози, доступність платформи (SLA/SLO), регуляторні зміни, партнерські/постачальницькі ризики, відповідальна гра (RG).

2) Базові поняття і шкали

Ризик = ймовірність події × величина збитку (фінанси, юридичні наслідки, SLA/досвід гравця, репутація).
Загроза - джерело події (зовнішній/внутрішній актор, процес, уразливість).

• Informational (Info) - сигнал без негайного впливу, моніторинг.
• Low - локальні інциденти, усунення в рамках зміни.
• Medium - вплив на один регіон/процес, потрібна ескалація протягом 4 год.
• High - крос-сервісний вплив/зростання збитків, обов'язкова ескалація ≤ 1 год.
• Critical - істотний збиток/регуляторні ризики/масова недоступність; негайний інцидент-бридж, повідомлення керівництва та юристів.

• 1 - вкрай рідко; 2 - рідко; 3 - можливо; 4 - ймовірно; 5 - майже напевно.

• 1 - незначно; 2 - низьке; 3 - середнє; 4 - висока; 5 - критичне.

3) 5 × 5-матриця і пороги ескалацій

Ризик-оцінка = L × I (1-25).

• 1-5 Зелена (прийнятно): моніторинг, профілактика.
• 6-10 Жовта (вимагає плану): дедлайни і відповідальні.
• 11-15 Помаранчева (прискорене зниження): завдання в спринт, частий контроль.
• 16-25 Червона (неприйнятно): негайна ескалація, тимчасові «перекриття» і захисні заходи.

• Жовта: до 24 год → власнику ризику.
• Помаранчева: до 4 год → керівнику напрямку.
• Червона: ≤ 15 хв → інцидент-міст, C-level/юрслужба/PR/комплаєнс.

4) Категорії ризиків для iGaming

1. AML/Санкції/PEP: помилкові/позитивні спрацьовування, обхід обмежень, «мулінг», змішування коштів.
2. KYC/KYB: підроблені документи, синтетичні особистості, фрод партнерів/афіліатів.
3. Платіжний фрод: чарджбеки, бонус-абуз, «відмивши через кеш-аути», мультиаккаунтинг.
4. Кібербезпека/Дані: фішинг, ATO (злом акаунтів), витоки PII, DDoS, уразливості API.
5. Операційна стійкість: деградації SLA, інциденти релізів, збої в ланцюжках виплат.
6. Регуляторика та штрафи: недотримання локальних правил, звітність, реклама.
7. Відповідальна гра (RG): ескалації по залежності, самовиключення, ліміти.
8. Третій контур/Вендори: падіння постачальника, порушення в обробці даних, санкційні ризики.

5) Методологія оцінки (наскрізний цикл)

1. Ідентифікація:

джерела: логи антифроду, SIEM/SOAR, кейс-менеджмент, звіти регуляторів, скарги гравців, моніторинг партнерів, пентест-звіти.

2. Аналіз причин і сценаріїв:

«що якщо» по каналах: реєстрація → верифікація → депозити → бонуси → висновки → саппорт.

3. Квантифікація:

SLE/ALE: одноразовий та річний очікуваний збиток;

Діапазони: P10/P50/P90 (в т. ч. сезонність);

Стрес-тести: сплеск трафіку/кампаній/спортподій.
4. Оцінка контролю: превентивні, детективні, коригувальні заходи; ефективність (частка блокувань, FPR/FNR).
5. План обробки: прийняти/знизити/передати (страхування/аутсорс )/усунути (зміна процесу).
6. Моніторинг та звітність: KRI/KPI, дашборди, пост-інцидентні ретроспективи.

6) Ключові індикатори ризику (KRI) і KPI

• Частка алертів санкцій/РЕР на 1k реєстрацій; час ручної перевірки,% хибнопозитивних.

• Chargeback Rate; Net Fraud Loss% від GGR;% бонус-абуза; конверсія фрод-сигналу в блокування.

• ATO rate на 1k логінів; час до детекції (MTTD) і до відновлення (MTTR); кількість критичних вразливостей.

• SLO аптайм; частота інцидентів на реліз; успішність автоката (rollback success).

• % самовиключень; частка гравців з перевищенням лімітів; час реакції саппорта.

7) Рівні загроз і прив'язка до дій

8) Пороги (приблизні орієнтири - адаптувати під юрисдикції)

Санкції/РЕР: Hit-rate > 1. 5% реєстрацій (Medium), 3% (High).
KYC FPR: > 8% (Medium), 12% (High).
Chargeback Rate: > 0. 8% (Medium), 1. 2% (High), 1. 5% (Critical).
ATO: > 0. 3 на 1k логінів (Medium), 0. 6 (High).
SLA платіжних провайдерів: аптайм <99. 5% тиждень (Medium), 99. 0% (High).
RG ескалації: скарги на залежності> базової лінії на 50% (High).

9) Контрольні заходи та архітектурні патерни

Превентивні: санкційний/РЕР-скринінг на on-boarding і перед виплатою; поведінкова біометрія; device-fingerprinting; ліміти депозитів/висновків; 2FA/WebAuthn; сегментація мереж; шифрування PII; «двох-очей» у верифікаціях.
Детективні: real-time антифрод-правила; SIEM кореляції; алерти аномалій по KRIs; honeypot-акаунти.
Коригувальні: часові блоки функцій (bonuses/payouts), підвищені рівні AML-перевірок, кат-сценарії релізів, ротація ключів/секретів, хот-фікси.
Процеси: RACI для інцидентів, обов'язкові пост-мортеми (з 5 Whys), контроль змін (CAB), регулярні tabletop-навчання.

10) Реєстр ризиків (шаблон полів)

ID, Категорія, Сценарій, Причини/уразливості, Власники (бізнес/тех), L, I, Бал, Зона, Контролі (нинішні/план), Поріг KRIs, Статус, Дедлайни, Дата перегляду.

Приклад запису

11) Сценарний аналіз і стрес-тести

Бонус-абуз під час великого турніру: сплеск новачків, різке зростання депозитів по одній картці/пристрою → посилити velocity-правила, ліміти на промо, ручні перевірки.
Відмова вендора KYC: включити резервного провайдера, звузити коридор допустимих лімітів, при необхідності - тимчасово заборонити швидкі висновки.
DDoS/деградація аптайма: активація WAF/Rate-Limit, гео-відсічка, маршрутизація трафіку, заморожування релізів.

12) Звітність та комунікації

Дашборди: KRIs по доменах, «світлофор» зон, поточні High/Critical кейси.
Каденс: щоденні звіти операторам, щотижневі мости по трендах, щомісячний ризик-комітет (оновлення реєстру, плани зниження).
Обов'язкові повідомлення: регулятор/банк/платіжні партнери при порушеннях AML/витоках/масових інцидентах - за локальними вимогами.
Док-слід: журнал рішень, артефакти пост-мортемів, контроль виконання CAPA (Corrective and Preventive Actions).

13) Ролі та відповідальності (RACI, укрупнено)

Власник ризику (Business/Compliance): оцінка L/I, план зниження, звітність.
Security/FRM: детекція, правила антифроду, SOAR-плейбуки.
Data/ML: моделі скорингу, калібрування порогів, A/B правил.
Ops/SRE: стійкість, SLO, автокат/фіча-прапори.
Legal/PR: комунікації з регуляторами/банками/пабліком.
Support/VIP: первинна реакція на кейси гравців.

14) Імплементація (дорожня карта)

1. Тиждень 1-2: інвентаризація ризиків, узгодження шкал, запуск базової 5 × 5-матриці та реєстру.
2. Тиждень 3-4: онбординг KRIs, інтеграція алертів, RACI і шаблони пост-мортемів.
3. Місяць 2: резервні провайдери (КУС/санкції), SOAR-плейбуки, бектест правил.
4. Місяць 3 +: сценарний стрес-тест, аудит ефективності, перегляд порогів і апетиту до ризику.

15) Додатки

• Ймовірність: {1: ≤1/god, 2: щоквартал, 3: щомісяця, 4: щотижня, 5: щодня}
• Вплив (фінанси): {1: < €5k, 2: €5–25k, 3: €25–100k, 4: €100–500k, 5: > €500k}
• Вплив (регуляторика): {1: ні, 2: запит, 3: припис, 4: ризик штрафу, 5: високий ризик відкликання/великого штрафу}

• AML/KYC ↔ санкції/РЕР ↔ RG ↔ DLP/PII ↔ SRE/релізи ↔ Платежі/FRM.

• Шкали/матриця узгоджені; KRIs потоково рахуються; пороги зафіксовані; SOAR-плейбуки протестовані; резервні провайдери підключені; щомісячний ризик-комітет активний; CAPA-трекер ведеться.

Короткий TL; DR

Єдина 5 × 5-матриця + ясні KRIs і пороги → автоматичні алерти і чіткі playbook'і → швидкі ескалації за рівнями (Info→Critical) → регулярні пост-мортеми і переоцінка ризиків. Це знижує збитки, прискорює реакції і зміцнює комплаєнс-позицію в iGaming.