Identifikatsiya auditi

1) Maqsad va natija

Maqsad: «Zero Trust» tamoyillariga va eng kichik imtiyozlarga kim qayerda va nima uchun kirishi mumkinligini muntazam tekshirish orqali isbotlanadigan muvofiqlikni taʼminlash.
Natija: ichki nazorat va regulyatorlar uchun dalillar bazasi bilan rasmiylashtirilgan, egalari tomonidan tasdiqlangan, «osilgan» imkoniyatlar bartaraf etilgan identifikatsiyalar va huquqlarning to’liq va dolzarb reyestri.

2) Qamrov sohasi

Ichki foydalanuvchilar: shtat, stajyorlar, rahbarlar, vaqtinchalik rollar.
Pudratchilar/hamkorlar: oʻyin studiyalari, PSP/KYC/AML-provayderlar, affiliatlar.
Service identifikatsiyalar: botlar, CI/CD, integratsiyalar, kalitlar va API tokenlari.
Imtiyozli rollar: infratuzilma ma’murlari/DB, Payments, Risk, Trading.
Oʻyinchilar (KYC kontekstida): bogʻlamaning toʻgʻriligi, hisobi, KYC-profil, RG/AML maqomi (jarayonlarni tekshirish, hujjatlar tarkibini tekshirish).

3) Atamalar va prinsiplar

Identity (identity): atributli noyob subyekt (inson/xizmat).
Entitlement (imtiyoz): resursga aniq huquq/rol.
JML: Joiner → Mover → Leaver - o’ziga xoslikning hayot sikli.
SoD: yuqori xavfli operatsiyalar uchun majburiyatlarni ajratish.
Least Privilege & Just-in-Time (JIT): cheklangan vaqtga berilgan huquqlarning minimal to’plami.
Accountability: har bir o’ziga xoslikning egasi, har bir huquqning biznes asosi va muddati bor.

4) Haqiqat manbalari va ma’lumotlar modeli

HRIS/kadrlar tizimi: xodim maqomining birlamchi manbai (hire/move/exit).
IdP/SSO: yagona autentifikatsiya nuqtasi (MFA/FIDO2), federatsiya.
IAM/IGA: rollar, siyosat va qayta sertifikatlash jarayonlari katalogi.
CMDB/Services katalogi: tizimlar va konturlarga egalik qilish.
Provayder platformalari: PSP/KYC/CDN/WAF/o’yin provayderlari - tashqi kirish portallari.
Модель: Identity → (belongs to) → Org Unit/Team → (has) → Roles → (expand via ABAC) → Entitlements → (apply) → Resources.

5) Audit tekshiradigan nazorat

1. SSO va MFA hamma joyda (lokal hisoblar va shared-akkauntlarsiz).
2. RBAC/ABAC/PBAC: huquqlar siyosatchilar tomonidan tavsiflangan (policy-as-code), rollar - namunaviy va kelishilgan.
3. SoD: nomuvofiq rollar va istisnolar rasmiylashtirilgan.
4. JIT/PAM: vaqtinchalik tiket, sessiya yozuvi va avto-sharh.
5. Sirlar/kalitlar: sirlar menejerida, rotatsiya va umr ko’rish muddatlari bilan saqlanadi.
6. Jurnallar va isbotlanuvchanlik: tamper-evident, aloqa trasi kim/nima/qaerda/qachon/nima uchun.
7. Data Access: PII niqoblash, eksport - faqat shifrlangan workflow va TTL.

6) Audit jarayoni (end-to-end)

1. Tayyorlash: tizimlar bo’yicha huquqlar tasvirini (entitlements snapshot) muzlatish; IdP/IAM/provayderlardan yuklab olish.
2. Normallashtirish: katalogga rollarni mapping, deduplikatsiya, resurslar egalari bo’yicha guruhlash.
3. Tavakkalchilikni toifalash: P1/P2 (imtiyozli va sezgir) → ustuvor tekshirish.
4. Huquqlarni qayta sertifikatlash: tizim egalari huquqlarni tasdiqlaydi/rad etadi (access review kampaniyalari).
5. SoD tekshiruvi: nomuvofiqliklar va vaqtinchalik istisnolarni aniqlash (muddati tugagan sana bilan).
6. JML taqqoslash: hire/move/exit haqiqiy huquqlar bilan solishtirish (shu jumladan tashqi portallarni).
7. Servis hisob-kitoblari: egasining mavjudligi, qisqa tokenlar, «god-scope» yo’q.
8. Dalillar bazasi: artefaktlar paketini shakllantirish (hisobotlar, yuklamalar, dalolatnomalar).
9. Remediation-reja: chaqirib olish/tuzatish uchun chiptalar, muddatlar va javobgarlik.
10. Yakuniy hisobot: tavakkalchilik holati, KPI sikl, darslar va siyosatni yaxshilash.

7) JML konturlari (chuqurroq tekshirish)

Joiner: asosiy rollarni avtomatik tayinlash, qoʻl qoʻshimchalarini katalogdan tashqarida taqiqlash.
Mover: buyruq/joyni oʻzgartirish → rollarni avtomatik almashtirish, eski imtiyozlarni qaytarib olish.
Leaver: X daqiqa/soat davomida barcha huquqlarni qaytarib olish, pochta/VPN/provayder portallarini yopish, kalitlar va tokenlarni o’chirish.

8) Tashqi qaramliklar va portallar

PSP/KYC/AML/CDN/WAF/oʻyin provayderlari: har bir hisob egasi, maqsadi, muddati, MFA, umumiy hisoblarni taqiqlaydi.
Kontrakt SoD/SLA: P1 operatsiyalari uchun dual-control mavjudligi (to’lovlar routingi, bonuslar limitlari va boshqalarning o’zgarishi).
Muntazam solishtirish: tashqi portallarning reyestri dolzarb foydalanuvchilar ro’yxati va resertifikatsiya natijalari.

9) iGaming-domenning xususiyatlari

Payments & Risk: SoD alohida shoxobchalari; limitlar/routing o’zgarishi uchun arruvlar; qo’lda tuzatishlar kiritish auditi.
Trading/koeffitsiyentlar: modellashtirish uchun qum qutilari, nashrning alohida rollari, tez qaytish; o’zgarishlar jurnali.
Responsible Gaming/KYC/PII: eksportni qattiq nazorat qilish, BI, SLAda niqoblash.
Affiliates va strimerlar: PII dan foydalanmasdan hisobot berish imkoniyati cheklangan portallar.

10) Kod sifatida siyosatlar (PaC)

Repozitoriyadagi siyosat (Rego/YAML), PR-revyu, testlar.
allow/deny yechimlaridagi dinamik kontekst: atrof-muhit (prod), vaqt, joylashuv, operatsiyaning tanqidiyligi, KRI signallari (masalan, sezgir harakatlarning ko’tarilishi).
JIT-oshirishlarda tiketa va maqsadlarga majburiy bog’lanish.

11) Jurnallar va isbotlanuvchanlik

Voqealar zanjiri: admin-konsol/IdP → API → DB → tashqi provayderlar.
Tamper-evident: WORM/immutable-saqlash, yozuvlar imzosi, qattiq TTL.
Qidirish va javobgarlik: ichki/tashqi so’rovlarga javobning SLA (audit, regulyator, bank/sherik).

12) Metrika va KPI/KRI

• Muddatida tasdiqlangan huquqlar ulushi (resertifikatsiya), muddati o’tgan kampaniyalar%
• Ishdan bo’shatishdan to’liq huquqlarni chaqirib olishgacha bo’lgan vaqt (MTTR-leaver).
• Doimiy imtiyozlarga qarshi JIT-oshirishlar ulushi.
• Sikldagi bartaraf etilgan SoD mojarolari soni.
• Qoplangan tizimlar va tashqi portallarning to’liqligi.

• Sezgir harakatlar payki (eksport PII, oʻzgarishlar PSP).
• Foydalanilmayotgan huquqlar> N kun.
• Post-auditsiz Break-glass.
• Egasiz/maqsadsiz/muddatsiz hisoblar.

13) Joriy etish yo’l xaritasi (8-12 hafta)

Ned. 1-2: identifikatsiyalar va tizimlarni (shu jumladan tashqi portallarni) xatlovdan o’tkazish, rollar katalogi va SoD matritsasi.
Ned. 3-4: SSO/MFA ulanishi hamma joyda, yagona entitlements yig’ish, birinchi snapshot hisobotlari.
Ned. 5-6: GA-qayta sertifikatlash kampaniyalarini ishga tushirish (P1/P2 ustuvorlik), Leaver bo’yicha avtomatik chaqirib olish.
Ned. 7-8: Prod-konturlar uchun JIT/PAM, sessiyalarni yozish, provayderlarda shared-akkauntlarni taqiqlash.
Ned. 9-10: PaC: asosiy siyosatlarni rasmiylashtirish (eksport PII, PSP-routing, relizlar), siyosatning unit-testlari.
Ned. 11-12: KPI/KRI dashbordlari, choraklik sikllar reglamenti, komplayens/regulyatorlar uchun hisobot.

14) Artefaktlar shablonlari

Role Catalog: roli, tavsifi, minimal imtiyozlari, egasi, qoʻllanilishi (tenant/mintaqa/atrof-muhit).
SoD Matrix: mos kelmaydigan rollar/operatsiyalar, istisnolar, muddat va istisnolar egasi.
Access Review Pack: huquqlarni tasdiqlash varaqasi, sharhlar, natija (approve/revoke/mitigate).
Service Account Register: maqsad, egasi, umr ko’rish muddati, sotib olish, sirlarni saqlash joyi, rotatsiya jadvali.
External Portals Inventory: tizim, aloqalar, foydalanuvchilar ro’yxati, MFA, oxirgi qayta sertifikatlash sanasi.
Evidence Checklist: qanday yuklamalar/loglar va audit uchun qanday formatda saqlash kerak.

15) Antipatternlar

Umumiy hisoblar va «abadiy ma’muriyat».
IdP/IGA’ni chetlab oʻtish huquqini qoʻlda berish.
Muddati tugagan SoD yoki «vaqtinchalik istisnolar» mavjud emas.
Rotatsiyasiz/egasiz servis tokenlari.
PII ni workflow va shifrlashsiz «xat orqali» eksport qilish.
Tashqi portallar auditi yoʻq (PSP/KYC/oʻyin provayderlari).

16) Auditning tez-tez topilmalari va tezkor tuzatish

Ishdan bo’shatilgan/pudratchilardan foydalanish imkoniyati: HR (Leaver) voqealari bo’yicha avto-sharh kiritilsin.
Haddan tashqari huquqli rollar: kichikroq qismlarga ajratish va ABAC atributlarini ulash.
Shared-hisoblar: shaxsiy + MFAga migratsiya, noyob vazifalar uchun vaqtinchalik rollarni berish.
Uzoq umr ko’radigan sirlar: qisqa umr ko’radigan tokenlar/sertifikatlarga o’tish va rejali rotatsiya.

17) Hodisa-menejment bog’lamasi

Kirish komponenti bilan bog’liq har qanday hodisa → xavflar reyestri va siyosatni majburiy yangilash, ta’sir ko’rsatilgan rollarni maqsadli qayta sertifikatlash, action items (va muddatlari) bilan post-mortem.

Jami

Identifikatsiya auditi - bu takrorlanadigan, avtomatlashtirilgan tsikl: identifikatsiyalar va huquqlarning to’liq reyestri → tavakkalchilikka yo’naltirilgan resertifikatsiya → qattiq JML va JIT/PAM → siyosat sifatida kod va isbotlanadigan audit → tsikl natijalariga ko’ra yaxshilanishlar. Bunday kontur suiiste’mol qilish va xatolar ehtimolini kamaytiradi, tergovlarni tezlashtiradi, talablarga muvofiqligini mustahkamlaydi va iGaming-platformaning asosiy biznes operatsiyalarini himoya qiladi.