Huquq va siyosatni meros qilib olish

1) Nega ekotizim meros bo’lishi kerak

• Kattalashtirish tezligi: yangi uzellar/mahsulotlar qutidan standartlashtirilgan siyosatni oladi.
• Moslik va komplayens: yuqori darajali guardrails avtomatik ravishda shoʻba manbalarga taʼsir qiladi.
• Shaffoflik va audit: qo’llashning bashorat qilinadigan tartibi, istisnolarni minimallashtirish.

2) Foydalanishning bazaviy ontologiyasi

2. 1 Ierarxik darajalar

1. Tashkilot/Ekotizim → global xavfsizlik/ma’lumotlar siyosati/RG.
2. Tenant/Partner → kvotalar, yurisdiksiyalar, ma’lumotlar chegaralari, SLO cheklovlari.
3. Domen (kontent, toʻlovlar, KYC, affiliates, analitika, voqealar) → kirish profili va tarmoq perimetri.
4. Xizmat/Ilova → API/topiklar/omborlar.
5. Resurs → jadval/topik/endpoint/sir/oqim.

2. 2 Avtorizatsiya modellari

RBAC (rollar): tez, shaffof, yaxshi meros (rollar → ruxsatnomalar to’plami).
ABAC (atributlar): moslashuvchanlik (geo, yurisdiksiya, xavf-tezlik, vaqt).
ReBAC (munosabatlar): «Mening mavjudliklarim bilan bog’liq resurslardan foydalanish» (operator, kampaniya, ma’lumotlar).
Amaliyot: RBAC + ABAC, ReBAC gibrid - egalik/kampaniya graflari uchun.

3) Siyosat, sotib olish va ustuvorliklar

3. 1 Siyosatchilarning turlari

Allow/Deny: aniq ruxsat/taqiq.
Guardrails: majburiy cheklovlar (PII out-of-scope, eksport limitlari, time-based).
Quotas/Rate: tenant/kanal/mintaqa bo’yicha rps/txn/stream/event limitlari.
Contextual: geo/ASN/qurilma/vaqt/verifikatsiya/risk-skoring shartlari.
Delegation: cheklangan huquqlar/TTL bilan huquqlarning bir qismini topshirish.

3. 2. Meros va qo’llash tartibi

Deny-first: taqiqlash ruxsatdan kuchliroq.
Precedence: `Guardrails (root) > Deny (parent) > Allow (parent) > Deny (child) > Allow (child)`.
Shadowing: Allow filiali ota-ona Guardrail/Deny ni bekor qilmaydi.
Override istisnolar bo’yicha: faqat yozma ravishda rasmiylashtirilgan «justified exceptions» bilan TTL va avtotransport.

3. 3 Tovonlar

Org/Tenant: global qoidalar va kvotalar.
Environment: prod/stage/sandbox - prodga nisbatan qattiqlik ortadi.
Jurisdiction: maʼlumotlarni mahalliylashtirish, RG cheklovlari.
Data Class: `Public/Internal/Confidential/PII-Sensitive/Financial`.
Operation: read/write/admin/export/impersonate.

4) Siyosatchi daraxtlari (Policy Trees)

4. 1. Tuzilmasi

/org
/tenants/{tenantId}
/domains/{payments    kyc    content    affiliates    analytics    events}
/services/{api    broker    db    storage    sfu}
/resources/{endpoint    topic    table    bucket    secret}

Har bir uzelda: siyosatlar roʻyxati (allow/deny/guardrail/quota/context). Meros yuqoridan pastga, mahalliy siyosatchilar cheklovlar qo’shadi, ammo global taqiqlarni olib tashlamaydi.

4. 2 Misollar

Guardrail org-level: «PIIni vebxuklarga olib kirish mumkin emas».
Tenant-level: "X mamlakatlaridan KYC operatorlari taqiqlangan; hisobotlarni faqat agregatlar eksport qiladi".
Domain payments: «Write faqat mTLS va ≤ 24 soat kalitli xizmat hisobi orqali».
Service api: «POST/deposits faqat’Idempotency-Key’».
Resource topic: "’kyc _ status’ni faqat’KYC’rolidagi xizmatlarga oʻqish. moderation` и ABAC `verified=true`».

5) Vakolat berish va vaqtinchalik huquqlar

Just-in-Time (JIT) Access: bajarish vaqti uchun berish (TTL, single-use).
Break-Glass: darhol audit o’tkazish va keyinchalik tahlil qilish bilan shoshilinch kirish.
Scoped Tokens: minimal’scopes’(read: topic/kyc; write:api/deposit) + audience/issuer.
Chain-of-Trust :/ASN/kichik tarmog’iga bog’langan xizmat tokenlari.
Impersonation: faqat jurnal va limitlar bilan proksi-servis orqali.

6) Domenlarda meros

6. 1 To’lovlar (PSP/APM)

Ota-ona guardrail: "barcha qo’ng’iroqlar - mTLS + JWS, taymaut ≤ N, jitter bilan retray orqali; chorjbek-xuk majburiy".
Shoʻba xizmat ARM/mintaqaga kvota/kapslar qoʻshishi mumkin. Deny orkestrni chetlab o’tib to’g’ridan-to’g’ri qo’ng’iroqlarga.

6. 2 KYC/AML

Ota-ona Deny: «Xom hujjatni tahlilga yozib bo’lmaydi».
Sho’ba Allow: «faqat hash/hukm/tavakkalchilik toifalarini berish».

6. 3 Kontent/striming

Org guardrail: «minimal bitreyt va latency-SLO».
Tenant-override: «romingda sifatning pasayishi, lekin SLO dan past bo’lmagan».
Resource: ma’lum bir jonli dasturdan foydalanish faqat RG-OK segmentlaridan iborat.

6. 4 Voqealar/EDA

Root: biznes ma’nosi bo’yicha in-registry, exactly-once sxemalari/versiyalari.
Domain: partiya kalitlari, dedup siyosat.
Service: kim topik yozishi/o’qishi mumkin; quotas/lag-budget.

7) Maxfiylik va Zero Trust

PII-minimallashtirish va doimo tokenlashtirish, «seyf-zonadan tashqarida de-tokenlash mumkin emas» siyosati.
Tarmoqlar segmentatsiyasi: vendor-VPC, egress-allow-list, qopqoqning zonalararo siyosati.
S2S va vebxuklar uchun mTLS/JWS/HMAC, qisqa yashaydigan kalitlar (JWKS/rotation).
SoD (Segregation of Duties): oʻqish roli ≠ boshqaruvchilik roli ≠ kalitlarni chiqarish roli.
Yurisdiksiyalar: meros qilib qoldiriladigan mahalliylashtirish qoidalari, DPA/DPIAsiz PDlarning transchegaraviy eksportini taqiqlash.

8) Kuzatuv va meros auditi

Policy Evaluation Trace:’sTraceId’ning «qaysi siyosat qayerda ishlagan» jurnali.
Diff-log: siyosatchi daraxtini kim/qachon o’zgartirdi; WORM saqlash.
Conformance-testlar: ulanish stsenariylarining muntazam progonlari (allow/deny; export; impersonation).
Alertlar: deny/guardrail ishga tushirilishi, kvotalarning oshib ketishi, aylanib o’tishga urinishlar.

9) Nizolar va ularni hal etish

Sinfni aniqlash: Allow/Deny to’qnashuvi, gardrail buzilishi, ABAC shartlarini kesib o’tish.
Precedence tartibini qo’llash (§ 3 ga qarang. 2).
Istisno tasniflansin: vaqtinchalik (TTL), doimiy (qoida), xato (rollback).
Artefaktlarni kiritish: RFC/CR-ariza, tavakkalchilik bahosiga havola, avtoproveralar CI.

10) Anti-patternlar

TTLsiz qo’lda berilgan huquqlar («abadiy»).
Allow - andoza va «jim» istisnolar.
Ko’rinmas guardrails bo’lmagan meros - sho’ba filiallar xavfsiz qoidalarni to’sib qo’yadi.
Rollarni aralashtirish (admin = tahlilchi = operator) - SoD yo’q.
Xom PDlarni uchinchi tomon xizmatlariga, «vaqtinchalik» vebxuklarga imzosiz eksport qilish.
Break-glass’da oʻchirilgan audit.
Sxemalarning suzuvchi versiyalari: analitika/EDA tarqalmoqda, deny yangi maydonlarda ishlamayapti.

11) Siyosatchi daraxtini loyihalashtirish chek-varaqasi

1. Maʼlumotlarni (Public/Internal/Confidential/PII/Financial) tasniflang.
2. Ierarxiya va tugun egalari (RACI) darajalarini aniqlang.
3. Gardrailsni tubdan belgilang (Zero Trust, PII, RG, yurisdiksiyalar).
4. RBAC rollari va ABAC atributlarini shakllantiring; SoD.
5. (org/tenant/env/jurisdiction/data class/operation).
6. Delegatsiyani/TTL va auditoriya shleyfli break-glass’ni yoqing.
7. Precedence va konfliktologiyani (deny-first, override-jarayon) yozing.
8. Kuzatish qobiliyatini aniqlang: evaluation-trace, diff-log, alertlar.
9. conformance toʻplamini ishga tushiring va muntazam istisnolarni yigʻing.
10. Hujjatlashtiring: siyosatchilar portali, misollar, qum qutilari, simulyatorlar.

12) Etuklik metrikasi

Coverage: meros qoldiriladigan siyosat va konformans-testlar bilan qoplangan resurslar ulushi.
Drift: lokal istisnolar soni/100 resurs; o’rtacha TTL istisnolari.
SoD Score: vazifalar taqsimlangan foydalanuvchilar ulushi.
PII Exposure: seyf-zonadan tashqariga eksport soni (maqsadli = 0).
Auditability:% evaluation-trace soʻrovlari; Kirish mojarolari boʻyicha MTTR.
Change Velocity: merosxo’rlikni hisobga olgan holda CR siyosati vaqti.

13) Shablon namunalari (sxematik)

• Deny: `export:PII` if `destination. country ∉ whitelist`
• Require: `mTLS && JWS` for `webhook:`
• Quota: `read:event: ≤ X rps per tenant`

• Allow: `write:api/deposit` if `verified && risk_score < T && geo ∈ allowed`
• Deny: `direct:psp/`

• Allow: `read` for role `KYC. moderation` where `jurisdiction == resource. jurisdiction`
• Deny: `write` except service `kyc-orchestrator`

14) Evolyutsiyaning yo’l xaritasi

v1 (Foundation): siyosatchi daraxti, ildizdagi guardrails, RBAC, deny-first, oʻzgarishlar auditi.
v2 (Integration): ABAC, delegatsiya/TTL, conformance-to’plam, evaluation-trace.
v3 (Automation): yurisdiksiya/ma’lumotlar bo’yicha avto-skoping, policy-as-code, CI/CD avtoproveralar, qoidabuzarliklar avtokarantini.
v4 (Networked Governance): sheriklararo siyosatchilar federatsiyasi, kross-tenant kripto imzosi bilan topshirish, huquqlarni berish uchun oldindan aytib beruvchi maslahatlar (tavakkalchilik).

Qisqacha xulosa

Huquq va siyosatni meros qilib olish - bu xavfsiz va tezkor ekotizimning asosidir. Gardrails bilan policy-tree quring, deny-first va precedence qo’llang, RBAC + ABAC + ReBAC qo’shing, TTL bilan delegatsiyadan va qat’iy auditdan foydalaning. Tekshirish va boshqaruvni avtomatlashtiring - va siz butun ishtirokchilar tarmog’i uchun kengaytiriladigan, to’ldiriladigan va oldindan aytib bo’ladigan kirish modeliga ega bo’lasiz.