Kross-departament tekshiruvlari

1) Kross-departament tekshiruvlari nima

Kross-departament tekshiruvi - bu bir nechta funksiyalar orqali o’tadigan jarayonlar va nazoratlarni birgalikda tekshirish (masalan, Product → Engineering → SecOps → Legal/DPO → Payments → Support → Marketing). Maqsad - tezkor stsenariy to’g "ri bajarilayotganini, siyosatchilar talablariga rioya qilinganini, audit-ready dalillarini tasdiqlashdir.

• «bog’lanish» xavflari va SoD-mojarolarni aniqlash;
• talablarni yagona talqin qilish va javobgarlikning «kulrang zonalari» ni bartaraf etish;
• CAPAni tezlashtirish va takrorlanishlarning oldini olish.

2) Qachon ishga tushirish (triggerlar)

Yangi/o’zgartirilgan tartibga solish talablari yoki yurisdiksiyalar.
Muhim relizlar/migratsiyalar (arxitektura, to’lovlar, ma’lumotlar).
Hodisalar (XB/maxfiylik/to’lovlar) va post-mortemalar.
Tashqi auditga/sertifikatlashtirishga tayyorgarlik.
High-risk domenlari bo’yicha muntazam taqvim (chorak/yarim yillik).

3) Ssenariylar (end-to-end) - nimani tekshirish

• Maxfiylik/DSAR: subʼektning soʻrovi → eksport/olib tashlash → xabarnoma → jurnallashtirish.
• Foydalanishni boshqarish: huquq soʻrovi → aprov → provijining → maʼmuriy harakatlar jurnali → re-cert.
• To’lov/chargeback: trigger → dalillarni yig’ish → provayderga javob → CAPA.
• Reklama kampaniyasi: materiallarni kelishish → targeting → rad etish/rozilik trekingi → dalillar arxivi.
• Xavfsizlik hodisasi: deteksiya → izolyatsiya → Legal Hold → bildirishnomalar → post-mortem → CAPA.
• Retensiya/ma’lumotlarni o’chirish: TTL ishga tushirish → subproessorlarda yo’q qilinganligini tasdiqlash → hisobot.

4) Rollar va RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

• Walkthrough: «siyosatdan tortib loglargacha».
• ToD (Test of Design): nazorat bayonotlari, rollar, tartib-taomillar, metriklarning mavjudligi va sifatini tekshirish.
• ToE (Test of Operating Effectiveness): davrda nazorat barqarorligini tekshirish (30-90 kun ichida tanlash).
• Reperform: operatsiyaning mustaqil takrorlanishi (masalan, DSAR-eksport, kirishni chaqirib olish, toʻlov applari).
• Negative testing: nazoratni chetlab o’tishga urinish (SoD, limitlar, sir-skan).

6) Tanlash va stratifikatsiya

Risk-based: tanqidiy yurisdiksiyalar/rollar/to’lov usullari uchun n dan ortiq.
Stratifikatsiya: hududlar, mijozlar turlari, kanallar (web/app), sutka/yuk vaqti bo’yicha.
Kombinatsiyalar: tasodifiy + maqsadli (chegara chegaralari, edge-keyslar).

• Critical: n ≥ 25 domenga + asosiy qadamlar islohotlariga.
• High: n ≥ 15; Medium: n ≥ 8; Low: n ≥ 5.

7) Qaramliklarni boshqarish va SoD

Bogʻliqlik matritsasi: servislar, vendorlar, kalitlar, maʼlumotlar, rollar.
Majburiyatlarni ajratish qoidasi (SoD): bir shaxsda bir-birini birlashtirish va tanqidiy harakatlarni bajarishni taqiqlash.
Tanqidiy konturlar bo’yicha sinovlar paytida Change freeze yoki aniq versiyalash.

8) Dalillar va o’zgarmasligi

Barcha artefaktlar (tushirishlar, konfiglar, skrinkastlar, hisobotlar) xesh-kvitansiyalar bilan birga WORM/Object Lock-da saqlanadi.
Chain of Custody: kim/qachon/nima uchun to’plagan/o’qigan evidence.
Taym-sinxronizatsiya va trassirovka identifikatorlari (trace_id, request_id).
Har bir qadamni Control Statement va metrikaga bogʻlash.

9) CAPA va re-audit bilan integratsiya

Har bir finding uchun - CAPA (Corrective/Preventive, muddatlar, owner, kompensatsiya choralari).
Tanqidiy holatlar bo’yicha 30-90 kundan keyin majburiy re-audit.
Policy-/assurance-as-code: CCM qoidalari, CI/CD geytalari, metrik chegaralarni yangilash.

10) Metrika va KRI

Coverage Rate: Chorak davomida tekshirilgan asosiy skriptlar%.
First-Pass Close: tanqidiy findingsiz tekshiruvlar ulushi.
On-time CAPA: chora-tadbirlarni oʻz vaqtida bajarish% (severity boʻyicha).
Repeat Findings (12 oy): domen/yurisdiksiyalar bo’yicha takrorlash trendi.
Controls Pass Rate: stsenariy bilan bogʻliq boʻlgan «yashil» CCM qoidalari ulushi.
Evidence Completeness: paketlarning to’liqligi (Critical/High uchun maqsad 100%).
SoD Violations: aniqlangan/bartaraf etilgan majburiyatlar to’qnashuvi.
Vendor Mirror SLA: tanqidiy provayderlarning ko’zgu choralarini tasdiqlash.

11) Dashbordlar (minimal)

Scenario Pipeline: Planned → In Progress → Findings → CAPA → Re-audit.
Cross-Domain Heatmap: funksiyalar bo’yicha xatarlar/topilmalar (IAM, Privacy, Payments, Marketing, Support).
Dependency Map: uzellar/vendorlar/nazoratchilar, «qizil» zonalar.
Evidence Readiness: WORM/xesh/skrinkastlarning mavjudligi.
CAPA & Drift: choralar maqomi, driftni kuzatish 30-90 kun.

12) SOP (standart tartib-taomillar)

SOP-1: Rejalashtirish

Mavzuning yuqori xavfini aniqlash → choraklik uchun 2-4 ta uzluksiz stsenariylarni tanlash → egalarini tayinlash → taqvim va freeze-oynalarni kelishish.

SOP-2: O’tkazish

Kick-off → walkthrough → ToD/ToE → reperform → negative testing → evidence yig’ish → kundalik sync-apdeytlar.

SOP-3: Hisobot va qarorlar

Tuzilishi «mezon → fakt → ta’sir → tavsiya» → Qo’mita (Close/Extend/Escalate) → hisobot va metrikalarni e’lon qilish.

SOP-4: CAPA va ijrosini nazorat qilish

CAPAni GRCga kiritish → kompensatsiya choralari (agar kerak bo’lsa) → muddatlar va RACI → bajarish dashbordi.

SOP-5: Re-audit va kuzatuv

30-90 kundan keyin - qayta tanlash va sanity-check → SSM/siyosat qoidalarini yangilash → tsiklni yopish.

13) Artefaktlar shablonlari

13. 1 Tekshirish rejasi (one-pager)

Ssenariy, maqsadlar, yurisdiksiyalar

Tekshirish sohasidagi nazorat/siyosat

Namunalar va metodikalar

Tavakkalchilik/qaramlik/SoD

Taymline, rollar, kommunikatsiya kanallari

13. 2 Finding kartochkasi

Mezon (policy/control) → Fakt → Ta’sir → Tavsiya

Severity, qoldiq xavf

Dalillar (havolalar/xeshlar)

CAPA: chora-tadbirlar, owner, due, KPI, kompensatsiya nazorati

13. 3 Evidence pack (sarlavha)

1. Siyosat/standartlar/SOP (versiyalar, difflar)

2. Log/konfiguratsiyalarni tanlash (CSV/JSON, xesh-kvitansiyalar)

3. Taymshtampli skrinkastlar/skrinshotlar

4. SSM/metrik va testlar hisobotlari

5. Yakuniy hisobot va Qo’mita qarorlari

14) Kommunikatsiyalar va madaniyat

So’rovlar raqamlangan yagona kanal (portal/GRC) va javoblar uchun SLA.
Tashqi sessiyalarda/auditlarda «One voice», murakkab savollar skriptlari.
Ayblovlarsiz: jarayonlarga va takrorlanishlarning oldini olishga e’tibor qarating.
Eng yaxshi amaliyot va patternlarni shering qilish, ichki keyslar kutubxonasi.

15) Antipatternlar

«Departament ichida» ni izsiz tekshirish.
«Qog’oz» dalillar/xeshlar/WORM.
control statements/metriklarga bogʻlash yoʻq (oʻlchamsizlik).
SoD va bir kishiga qaramlikni eʼtiborsiz qoldirish.
CAPA Preventive/kompensatsiya choralarisiz, re-auditsiz.
Kalendarsiz va tavakkalchilik bo’yicha ustuvorliksiz bir martalik tekshiruvlar.

16) Etuklik modeli (M0-M4)

M0 Ad-hoc: epizodik tekshiruvlar, metodika/metriklar mavjud emas.
M1 Rejali: choraklik taqvim, asosiy namunalar va rollar.
M2 Boshqariladigan: risk-based namunalar, WORM-evidence, dashbordlar, CAPA-linkovka.
M3 Integratsiyalashgan: policy-/assurance-as-code, CI/CD-geytlar, avtomatik hisobotlar.
M4 Continuous Assurance: bashorat qilingan KRI, tavsiya stsenariylari, uzluksiz sanity-checks va dreyf monitoringi.

17) wiki bilan bog’liq moddalar

Takroriy auditlar va bajarilishini nazorat qilish

Qoidabuzarliklarni bartaraf etish rejalari (CAPA)

Muvofiqlikning uzluksiz monitoringi (CCM)

Siyosat va normativlar ombori

Yuridik yangilanishlarni kuzatish/Tartibga solish o’zgarishlari alertlari

Jurnallar va Audit Trail

Tashqi auditorlar tomonidan tashqi tekshiruvlar

Hamkorlar uchun komplayens qo’llanmasi

Jami

Kross-departament tekshiruvlari funksiyalar o’rtasidagi «bog’lanishlarni» xavf zonasidan nazorat zonasiga aylantiradi: o’lchanadigan stsenariylar, o’lchanadigan nazoratlar, o’zgarmas dalillar va yopiq CAPA → re-audit tsikli. Bunday yondashuv muvofiqlikni bashorat qilishga imkon beradi, tashqi auditlarni tezlashtiradi va takroriy qoidabuzarliklar ehtimolini kamaytiradi.