Litsenziyalarni uzaytirish va audit

1) Nima uchun bu muhim?

Litsenziya statik hujjat emas, balki RG/AML, xavfsizlik, ma’lumotlar va hisobot standartlarini qo’llab-quvvatlash majburiyati. Muvaffaqiyatli uzaytirish va audit xatarlarning boshqarilishi, jarayonlarning yetukligi va masshtabga tayyorligini tasdiqlaydi.

Asosiy tamoyillar: evidence-first, no-humans-in-prod, policy-as-code, traceability.

2) Uzaytirish va audit turlari

Litsenziyani uzaytirish (renewal): taqvim bo’yicha (odatda har yili/yilda bir marta) - nazorat bo’yicha dalillar shakli, yig’imlar va paketni taqdim etish.
Variatsiyalar/o’zgarishlar (variation): benefitsiarlarni almashtirish, vertikal, xosting joylashuvi, asosiy shaxslarni qo’shish - alohida kelishishni talab qiladi.
Tartibga soluvchi audit: siyosat/hisobot, marketing/affiliatlarni, RG/AML, hodisalar jurnallarini tekshirish.
Texnik audit/laboratoriyalar: RNG/RTP, SDLC/relizlar, zaifliklar/pentest, DR/BCP, hosting va loglar.
Moliyaviy audit: GGR/soliqlar/zaxiralar, bonus hisobdan chiqarishlarning to’g "riligi, to’lovlar reyestrlari.
GDPR/DPA auditi: DPIA, qayta ishlash reyestri, subyektlarga javoblar, sizib chiqish/bildirishnomalar.
PCI DSS (agar PAN bilan ishlasangiz): segmentatsiya, tokenizatsiya, kirish jurnallari, ASV skanerlari.

3) Uzaytirish taqvimi: taxminiy shkala

T-90...60 kun - gap-tahlil, siyosatni yangilash, laboratoriya/auditorlarni bron qilish.
T-60...30 - artefaktlarni to’plash (loglar, SBOM, skanlar/pentestlar hisobotlari, DR-aktlar), Key Persons tasdig’i.
T-30...14 - paket yakuni, dalillarni ichki tanlash (sampling), mas’ullarni suhbatga tayyorlash.
T-14...0 - regulyatorga renewal-paketni berish, yig’imlarni, SLA-oynani to’lash.
T + 0... + 30 - Q & A/so’rovlar, remediatsiyalar, uzaytirishni tasdiqlash.

💡 Tanqidiy yo’l: Key Persons → siyosat/tartib-taomillar → texnik dalillar (SDLC/logi/DR) → laboratoriyalar/auditorlar → Q&A.

4) Evidence-paket: oldindan nima pishirish kerak

Org/huquq: egalik tuzilmasi, SoF/SoW (o’zgarishlarda), CV va Key Persons ma’lumotnomalari, vakolatxonalar reyestri.
Siyosat: dolzarb AML/CTF, RG, reklama/affiliatlar, ma’lumotlarni himoya qilish (DPIA), hodisalar, DR/BCP; taftishlar va treninglar jurnali.

IT va relizlar:

SBOM va artefaktlar imzolari bilan relizlar jurnali;
SAST/SCA/DAST hisobotlari, remediatsiya rejasi, faol istisnosiz «critical/high» ning yo’qligi;
kuzatilganlik: SLO/SLI dashbordlari, sintetik tekshiruvlar «depozit/KTS/chiqish»;
loglash: PII/PAN, retenshn va qidiruvsiz strukturalangan loglar;
DR/BCP: restore-test dalolatnomalari, RTO/RPO, avariya mashqlari protokollari.
RG/AML: intervensiyalar va natijalar reyestri, self-exclusion (mahalliy/milliy), shubhali operatsiyalar hisobotlari (STR/SAR), sanksiya/PER-log.
Marketing/affiliates: kanallarning oq ro’yxati, appruvalli kreativlarni tanlash, qoidabuzarliklar va choralar jurnali.
Moliya/soliqlar: GGRning vertikal hisobotlari, bonuslar/jekpotlarga tuzatishlar kiritish, PSP/banklar bilan solishtirish.

5) Format va izlanuvchanlik

Har bir siyosat, dalillarni nazorat qilish (skrinshotlar, yuklamalar, xesh va sana bilan hisobotlar).
Yagona «Evidence Map» indeksi: nazorat → qayerda saqlanadi → mas’uliyatli → yangilanish sanasi.
Auditorlar artefaktlarni tanlab koʻrishlari uchun paket versiyasi (Git/repozitoriya) + kirish nazorati.

6) IT/ma’lumotlarga qo’yiladigan talablar (ko’pincha ko’rib chiqiladi)

SDLC/relizlar: staging-payplaynlar, qo’lda/avto-geytlar sifati, qaytarish siyosati, to’g «ridan to’g» ri o’zgarishlarni taqiqlash.
Supply chain: artefaktlar imzosi, SBOM, admission tekshiruvi, zaiflik siyosati.
Sirlar va kirish: SSO/MFA/PAM, qisqa yashaydigan tokenlar, imtiyozli sessiyalar jurnallari.
Tarmoq: segmentatsiya, WAF/bot-menejment, DDoS, mTLS/egress-nazorat.
Kuzatish darajasi: OTel-treyslar, SLO dashboards, error-budget alertlari, tajribalarda SRM-chek.
Ma’lumotlar: DPIA, minimallashtirish, hududlar bo’yicha ma’lumotlar (residency), PII/PAN kirish jurnallari.
DR/BCP: orqa telefonlar, protokollar bilan muntazam restore, almashtirish mashqlari.

7) Auditdan o’tish: taktika

1. Kickoff va scope: perimetri, tanlov roʻyxati, dalil formati.
2. Data room: Evidence Map dasturidan foydalanishga tayyorlang.
3. Dry-run intervyu: MLRO/DPO/RG-Lead/CTO/SRE - Q&A progoni va namoyishlar.
4. Live-sessiyalar: loglar, SLO-dashbordlar, reliz artefaktlari, DR-skriptlar.
5. Remediatsiya: ustuvorlik va muddatlarni kelishib olamiz, trekerda qayd etamiz.
6. Closure: audit hisoboti, darslar, siyosatni/nazoratni yangilash, retro.

8) Remediatsiya rejasi (shablon)

ID	Joylashgan joyi	Tavakkalchilik	Amallar	Egasi	Muddat	Maqom
SEC-01	2 ta servisda rasm imzosi mavjud emas	High	Imzolar va admission policy qoʻshish	Platform Lead	15 kun	Ishda
RG-02	Intervensiyalarning to’liq bo’lmagan telemetriyasi	Medium	Tadbir/dashbordni kengaytirish, trening o’tkazish	RG Lead	10 kun	Reja
AML-03	Zaifliklar bo’yicha 2 ta istisno muddati o’tgan	High	SIEM hisobotini yopish/yangilash	Security Lead	7 kun	Tayyor

9) RACI (misol: uzaytirish dasturi)

Viloyat	Responsible	Accountable	Consulted	Informed
Evidence Map va data-rum	Compliance PM	Head of Compliance	Security, Platform, Data	Exec
Siyosat va treninglar	Compliance Lead	COO	Legal, HR	All
SDLC/relizlar/SBOM	Platform/SRE Lead	CTO	Security	Compliance
Pentest/zaifliklar	Security Lead	CTO	Vendors	Compliance
RG/AML hisoboti	RG Lead / MLRO	COO	Support, Data	Exec
Marketing/affiliatlar	Marketing Ops	CMO	Legal, Compliance	Finance
Moliya/GGR/soliqlar	Finance Lead	CFO	PSP, Content	Exec

10) Chek-varaqlar

10. 1 Definition of Ready (muddatdan 60-90 kun oldin)

AML/RG/reklama/ma’lumotlar/hodisalar siyosati yangilandi; treninglar o’tkazildi.
Tasdiqlangan Key Persons, dolzarbdir SoF/SoW (agar kerak boʻlsa).
SAST/SCA/DAST va pentest hisobotlari to’plangan, muddati o’tgan istisnosiz critical/high yopiq.
SBOM/imzolari bo’lgan reliz jurnallari mavjud; enforce holatida admission-policy.
SLO/SLI dashbordlari va sintetik tekshirish hisobotlari mavjud.
SLA RTO/RPO doirasida DR/restore-testlar dalolatnomalari.
RG/AML reyestrlari: intervensiyalar, SAR/STR, self-exclusion; sanksiyalar/YaH bo’yicha hisobotlar.
Marketing/affiliates: oq kanallar ro’yxati, appruvalli kreativlarni tanlash.
GGR/soliqlar moliyaviy hisoboti PSP/banklar bilan solishtirilgan.

10. 2 Definition of Done (uzaytirish/audit tasdiqlangandan keyin)

Xat/uzaytirish sertifikati olindi, reyestrlar/sayt/hujjatlar yangilandi.
Remediatsiya rejasi yopildi, siyosatchilar va Evidence Map yangilandi.
Retro: darslar, jarayonlardagi oʻzgarishlar, taqvim yangilandi.
Xabar provayderlarga/PSPga yuborildi (agar kerak boʻlsa).

11) Audit davrida affiliatlar va reklama bilan ishlash

Kanallar reyestrini, kreativlar tanlovini, 18 +/21 + target dalillarini, kelishuv jurnalini tayyorlang.
Buzuvchi sheriklar uchun "stop-list" tartib-taomillari, RG/AML-komplayens to’g "risidagi shartnomalardagi shartlar.
Ko’rsatish/cheklash chastotasi va blok-varaqlar dashbordi.

12) Xatarlarni boshqarish (registry)

Tavakkalchilik	Ehtimollik/Impakt	Belgi	Nazorat	Egasi
Muhim zaifliklarni kechiktirish	M/H	Findings> 14 kun	«no critical/high» siyosati, avtotreking	Security
To’liq bo’lmagan RG-jurnallar	M/M	Hodisalardagi boʻshliqlar	Hodisa katalogi, Data QA	RG Lead
SDLCning yetarli darajada isbotlanmasligi	M/H	Relizlar uchun savollar	SBOM/imzolar, o’zgartirish jurnali	Platform
Beqaror DR protseduralari	L/H	RTO/RPO ga erishilmagan	Har choraklik restore-testlar	SRE
Reklama/affiliatlarning buzilishi	M/M	Shikoyatlar, jarimalar	Oq ro’yxatlar, kreativlar auditi	Marketing

13) Mini-shablonlar

Evidence Map (CSV) shlyapa:


Control,Policy Ref,Artifact,Location,Owner,Updated At,Retention
RG-Limits,RG §4.2,Dashboard URL,obs://rg/limits,RG Lead,2025-10-15,24m
SDLC-SBOM,SDLC §3.1,sbom_2025Q4.json,repo://release/sbom,Platform Lead,2025-10-30,36m
DR-Restore,BCP §5.3,restore_report_Q4.pdf,doc://dr/reports,SRE Lead,2025-10-20,36m

Audit rejasi (1-sahifa):

Scope/maqsadlar
Tanlash roʻyxati va dalillar formati
Sessiya/intervyu taqvimi
Rollar va aloqalar
Q&A va SLA javob kanali

14) Tez-tez so’raladigan masalalar

Barcha artefaktlarni birdaniga topshirish kerakmi? Yo’q: ma’lumotlar bazasini taqdim eting va so’rov bo’yicha namunalar bering - lekin hamma narsani tayyor tuting.
Loglarning bir qismi yoʻqligini qoplash mumkinmi? Faqat tushunarli sabab va tuzatish rejasi (va muddatlari) bilan.
Regulyator uchun nima muhimroq - siyosat yoki dalillar? Siyosat haqiqatan ham ishlayotganiga doimo dalillar bor.

15) 30 kunlik qisqacha reja (tezlashtirilgan trek)

1-hafta: yakuniy gap-tahlil, siyosatni yangilash, SLO/loglarni o’lchash, auditorlarni bron qilish.
2-hafta: SBOM/imzolar/reliz jurnallarini to’plash, zaiflik hisobotlari/pentest, DR dalolatnomalari.
3-hafta: RG/AML/marketingni birlashtirish, yig’ma dashbordlar, dry-run intervyular.
4-hafta: topshirish, Q&A, tezkor remediatsiyalar va uzaytirishni tasdiqlash.

Qisqacha xulosa

Uzaytirish va audit - bu bir martalik «hisobot topshirish» emas, balki jarayonlarning yetukligini muntazam namoyish etish. Kalendarni tuzing, Evidence Map’ni yuriting, nazoratni kod sifatida avtomatlashtiring, kuzatishni va DRni yaxshi holatda saqlang. Shunda uzaytirish xatardan odatiy holga, audit esa tartibga soluvchilar, sheriklar va oʻyinchilar tomonidan yaxshilanish va ishonch manbaiga aylanadi.

Litsenziyalarni uzaytirish va audit

Qisqacha xulosa

Biz bilan bog‘laning

Tez aloqa

Video tez orada yangilanadi

Hozir loyihalar bilan juda bandmiz