Tavakkalchiliklarni baholash

1) Maqsad va prinsiplar

Maqsad: SLOga, tushumga, tartibga solish muvofiqligi va obro’siga ta’sir etuvchi tahdidlarni erta aniqlash va ustuvor ahamiyat berish.
Tamoyillar: tizimlilik, o’lchanuvchanlik, takrorlanuvchanlik, biznes qadriyatlariga bog’lanish, SLO-first.
Natija: tushunarli egalari, choralari va muddatlari bo’lgan xavflarning shaffof portfeli.

2) Atamalar

Tavakkalchilik: nomaqbul hodisaning ehtimolligi × ta’siri.
Tavakkalchilik-ishtaha: tashkilot uchun maqbul bo’lgan qoldiq tavakkalchilik darajasi.
Zaiflik/ta’sir/nazorat: zaif joy, trigger va mavjud choralar.
KRI (Key Risk Indicators): oldinda bo’lgan indikatorlar (masalan, p99-latentlikning o’sishi, consumer-lag, to’lovlar konversiyasining og’ishi).

3) iGaming uchun xavflarni tasniflash

Operatsion: haddan tashqari yuklash, relizlarning uzilishi, navbatlar, DB/kesshlarning degradatsiyasi, MHM/AZ/mintaqalardagi noxush hodisalar.
Texnologik/xavfsizlik: DDoS, zaifliklar, oqishlar, konfiguratsiya xatolari, asosiy kutubxonalarga qaramlik.
To’lov/moliyaviy: avtorizatsiyalarning pasayishi, chargebackning o’sishi, provayderning mavjud emasligi, FX-hayajonlar, frod.
Bog’liqlik/ekotizim: o’yin provayderlari, CDN/WAF, KYC/AML, SMS/e-mail shlyuzlaridagi nosozliklar.
Komplayens/regulyator: litsenziyalar, KYC/AML, mas’ul o’yin, ma’lumotlarni saqlash talablarini buzish.
Mahsulot/marketing: oldindan aytib bo’lmaydigan trafik cho’qqilari (turnirlar, o’yinlar, promo), bonuslar segmentatsiyasi xatolari.
Obro’si: hodisalar yoki talablarga rioya qilmaslik tufayli media/ijtimoiy tarmoqlarda salbiy.

4) Tavakkalchiliklarni baholash jarayoni (ramka)

1. Kontekstni belgilash: maqsadlar, SLO, tartibga solish talablari, arxitektura chegaralari, qadriyat zanjiri.
2. Identifikatsiya: nomzod voqealarni to’plash: hodisalarning retrospektivlari, qaramlik auditi, miya hujumlari, nazorat varaqalari.
3. Tahlil: sifat (ssenariy, Bow-Tie) va miqdor (chastota/taqsimot).
4. Baholash: tavakkalchilik ishtahasi bilan solishtirish, reytinglash, ustuvorliklarni tasdiqlash.
5. Ishlov berish: oldini olish, kamaytirish, berish (sug’urta/kontraktlar), qabul qilish (ongli ravishda).
6. Monitoring va qayta ko’rib chiqish: KRI, nazorat samaradorligini tekshirish, reyestrni yangilash, tayyorlik testlari.

5) Sifatli texnikalar

Ehtimollik/ta’sir matritsasi: 1-5 (Very Low... Very High). Ta’sir o’qlar bo’yicha alohida hisoblanadi: SLA/tushum/regulyator/obro’.
Bow-Tie Analysis: sabablar → hodisa → oqibatlar; har bir tomon uchun - oldini oluvchi va yumshatuvchi nazorat.
FTA (Fault Tree Analysis): tanqidiy xizmatlar uchun mantiqiy nosozlik daraxtlari (depozit, stavka, chiqish).
HAZOP/What-If: «Agar nima bo’lsa?» interfeyslar va protseduralar bo’yicha.

6) Miqdoriy texnikalar

ALE (Annualized Loss Expectancy): ALE = SLE × ARO (kutilayotgan yillik zarar).
VaR/CVaR: berilgan ishonch darajasidagi tavakkalchilik kapitali (kassa uzilishlari/to’lov provayderlari uchun).
Monte-Carlo: ishonchli intervallar bilan traffik/provayderlarning ishdan chiqishi/to’lovlar konversiyasini modellashtirish.
FMEA: og’irlikni (S), chastotani (O), aniqlanuvchanlikni (D) baholash → RPN = S × O × D, tuzatishlarni ustuvorlashtirish.
Reliability math: headroom, MTTF/MTTR, burn-rate budjeti xatolari, birgalikda rad etish ehtimoli (AZ + provayder).

7) Tavakkalchilik-ishtaha va chegaralar

SLA-yo’qotishlar, jarimalar, soat/kun uchun tushum yo’qotishlari uchun toifalarni (yuqori/o’rta/past) aniqlang.
Eskalatsiya chegaralarini belgilang: hodisa/xavf varrum yig’ishga majbur bo’lgan darajalar orasidan o’tib ketganda.
Istisnolarni (tavakkalchilikni vaqtincha qabul qilish) qayta ko’rib chiqish sanasi va yopish rejasi bilan yozing.

8) KRI va erta ogohlantirish

• Unumdorligi: p95/p99 ↑, taymaut o’sishi, navbat chuqurligi, cache-hit, replication lag.
• To’lovlar: avtorizatsiyalar ↓ aniq GEO/bankda, soft-decline o’sishi, AOV anomaliyalari.
• Xavfsizlik: 4xx/5xx tanqidiy endpontlar bo’yicha portlashlar, WAF ishlanmalarining o’sishi, bog’liqlikda yangi CVE.
• Komplayens: saqlash limitlaridan oshib ketish, KYCni kechiktirish, ishlov berilmagan o’z-o’zini istisno qilish ulushi.
• Har bir KRI uchun - egasi, metrikasi, ostonalari, manbalari, avto-alertlari.

9) Ta’sirni baholash (ko’p o’qli)

SLA/SLO: maqsaddan tashqari min/soat, sheriklarga SLA bonuslariga ta’siri.
Moliya: to’g «ridan to’g» ri yo’qotishlar (bajarilmagan tranzaksiyalar, chargeback), bilvosita yo’qotishlar (churn, jarimalar).
Tartibga solish: sanksiyalar/litsenziyani to’xtatib turish/majburiy bildirishnomalar xavfi.
NPS/CSAT obro’si, salbiy eslatmalar to’lqini, sheriklar va strimerlarga ta’siri.

10) Tavakkalchiliklarni qayta ishlash (chora-tadbirlar katalogi)

Oldini olish: xavfli fich/patternlardan voz kechish, blast-radius (tenant-izolyatsiya, rate-limit) ni cheklash.
Pasayish: DBni shardalash, keshlash, pul/kvotalar, to’lovlarning ko’p provayderi, kanar relizlari.
O’tkazish: kiber tavakkalchiliklarni sug’urta qilish, kontraktlardagi SLA kompensatsiyalar, escrow.
Qabul qilish: nazorat qilinadigan qoldiq tavakkalchilikda KRI va chiqish rejasi bilan hujjatlashtirilgan qaror.

11) Rollar va RACI

Responsible: Risk/Ops/SRE/Payments/SecOps domen egalari.
Accountable: Head of Ops/CTO/CRO.
Consulted: Product, Data/DS, Legal/Compliance, Finance.
Informed: Support, Marketing, Partner Management.

12) Artefaktlar va shablonlar

Risk Register (xavflar reyestri): ID, tavsifi, toifasi, sabablari, ehtimoli, o’qlar bo’yicha ta’siri, mavjud nazoratlari, KRI, qayta ishlash rejasi, egasi, muddati.
Risk Heatmap: bo’linmalar/servislar bo’yicha yig’ma xarita.
Dependency Map: tanqidiy tashqi va ichki qaramliklar, zaxiralash darajasi, aloqa ma’lumotlari.
Runbooks/Playbooks: KRI/hodisa, kill-switches, degradatsiyada aniq qadamlar.
Quarterly Risk Review: o’zgarishlar to’plami, yopiq/yangi xavflar, KRI trendlari, nazorat samaradorligi.

13) SLO/hodisa menejmenti bilan integratsiya qilish

Xavflar SLO maqsadlariga (latency, error-rate, foydalanish imkoniyati) va xatolar byudjetiga aylantiriladi.
KRI → alert siyosati (tez/sekin burn-rate).
Post-mortemda tavakkalchilikni baholash yangilanishi va nazoratlarga tuzatishlar kiritilishi shart.

14) Asboblar va ma’lumotlar

Monitoring/observability: metrika, logi, trassirovki; «tavakkalchilik turlari» panellari.
Kataloglar va CMDB: servislar, egalari, bogʻliq komponentlar.
GRC/Task-treker: xatarlar, maqomlar reyestrini, harakatlar auditini saqlash.
Data/ML: anomaliyalar modellari, yuklama/nosozliklarni prognozlash, Monte-Carlo simulyatsiyasi.

15) Joriy etish yo’l xaritasi (8-10 hafta)

Ned. 1-2: kontekst va ramka; tanqidiy servislar va qaramliklar ro’yxati; tavakkalchilik-ishtahani aniqlash.
Ned. 3-4: xavflarni birlamchi identifikatsiyalash (ustaxonalar, retro), reyestrni to’ldirish, qo’shimcha heatmap.
Ned. 5-6: KRI va alertlarni sozlash, SLOga bog’lash; eng yaxshi 5 ta xavf uchun Bow-Tie/FTAni ishga tushirish.
Ned. 7-8: moliyaviy ahamiyatga ega ssenariylar uchun miqdoriy baholash (ALE/VaR/Monte-Carlo); qayta ishlash rejalarini tasdiqlash.
Ned. 9-10: tayyorgarlikni sinovdan o’tkazish (game day, failover), chegaralarni tuzatish, choraklik sharhlarni boshlash.

16) Baholangan tavakkalchiliklar misollari (iGaming)

1. Praym-taymda PSP-1 avtorizatsiyasining muvaffaqiyatsizligi

Ehtimollik: O’rtacha; Ta’siri: Yuqori (tushum, SLA).
KRI: bank/GEO bo’yicha avtorizatsiya konvertatsiyasi, soft-decline o’sishi.
Chora-tadbirlar: ko’p provayder, health & fee bo’yicha routing, jitter bilan retralar, pauzalar limitlari.

2. Bir sutkada DB stavkalarini qayta yuklash

Ehtimollik: O’rtacha; Ta’siri: Yuqori (SLO).
KRI: lag replikatsiya, p99 soʻrovlar, lock-wait oʻsishi.
Chora-tadbirlar: kesh/CQRS, chardlash, liniyalarni oldindan yuklash, fich qismining read-only rejimi.

3. Ommaviy API uchun DDoS

Ehtimollik: Past-O’rta; Ta’siri: Yuqori (ochiqlik, obro’).
KRI: SYN/HTTP, WAF triggerlari.
Chora-tadbirlar: CDN/WAF, rate-limit, tokenlar, kapchalar, botlar trafigini izolyatsiya qilish.

4. KYC saqlash bo’yicha tartibga solish nomuvofiqligi

Ehtimollik: Past; Ta’siri: Juda yuqori (jarima/litsenziya).
KRI: tekshirish kechikishi> SLA, ortiqcha retention.
Chora-tadbirlar: policy-as-code, avtomatik TTL, audit va prod-ma’lumotlar testlari.

17) Antipatternlar

Reyestrsiz va KRIsiz ko’z bilan baholash.
Pul va SLO bilan bog’liq bo’lmagan matritsalar → noto’g’ri ustuvorliklar.
Noyob sharhlar (reyestr hodisalardan keyin yangilanmaydi).
«Ishlov berish» faqat amalga oshirilgan nazorat/testlarsiz hujjatlar bilan.
Tashqi qaramliklar va kontrakt SLA ignori.

18) Hisobot va kommunikatsiya

Exec-xulosa: top-10 ta xavf, KRI trendlari, qoldiq xavf va ishtaha, yopilish rejasi.
Texnik hisobotlar: nazorat samaradorligi, game day natijalari, chegaradagi oʻzgarishlar.
Muntazamlik: har oylik sharhlar + har choraklik chuqur qayta baholash.

Jami

Tavakkalchiliklarni baholash statik hujjat emas, balki jonli sikl: aniqlandi → hisoblandi → tavakkalchilik-ishtahaga rozi bo’ldi → tanlandi va chora ko’rildi → ma’lumotlar va mashqlar bilan tekshirildi → reyestr yangilandi. Bunday kontur operatsion yechimlarni biznes qiymati bilan bog’laydi va SLO va regulyator talablariga qat’iy rioya qilgan holda hodisalarning chastotasi/ko’lamini kamaytiradi.