Ինչպես են խաղային ստուդիաների ներքին աուդիտները

Ներածություն 'ինչու՞ է ստուդիան ներքին աուդիտ

Հիբրիդային արագությունը, բազմապատկումը և հարյուրավոր ինտեգրումները ստուդիան խոցելի են դարձնում կարգավորող, կարգավորող և հեղինակավոր ռիսկերին։ Ներքին աուդիտը (Coral Audit, IA) գործընթացների դիզայնի և դրանց կատարման ապացույցների համակարգային ցիկլ է։ Նպատակը ոչ թե «բռնելն» է, այլ ապացուցել, որ ստուդիան կարող է կայուն լինել 'արտադրել հավաստագրված տոմսեր, պաշտպանել տվյալները, ազնվորեն հաշվել գումարը և փորձել արձագանքել միջադեպերին։

1) Մրցույթներ անցկացնելու համար

Պլանավորված թաղամաս/կես տարեկան ցիկլ։

Պատրաստվել է հավաստագրման/մուտքի նոր շուկա։
Մաժորային դեպքը 'սթրիմի/ստուդիայի նվազումը, բագը մաթեմատիկայի/վճարումների մեջ։
RGS/հիմնական մոդուլների փոփոխությունը, ենթակառուցվածքի միգրացիան։
Միաձուլումները/կլանումները, նոր ստուդիայի միացումը հոլդինգին։

2) Թիմի և դերի կազմը

Mastal Audit Lead-ը մեթոդաբանության սեփականատերն է, անկախությունը production-ից։

Matter Experts-ը 'մաթեմատիկա/RNG, backend, ճակատ, DevOps/MSE, ինֆոբեզ, QA, BI, ֆինանսներ, իրավաբանական/կոմպլեքս։
Process Owners: ուղղությունների ղեկավարներ (RGS, ուլտրաձայններ, 71-ops)։
Audit Analyst 'արտեֆակտների հավաքումը, սեմպլացիան, ընտրության ձևավորումը։
Observer/Shadow: Գործընկերոջ/հրատարակչի ներկայացուցիչ (եթե NDA)։

3) Կոդավորման ծավալը (scope)

1. Ապրանքը և մաթեմատիկան ՝ GDD, կոդավորման աղյուսակները, RTP-պրոֆիլները, սիմուլյացիան, RNG տրամաբանությունը։

2. Կոդն ու հավաքումները 'ռեպոզորիա, ճյուղավորում, նախանձախնդիր, կախվածության վերահսկողություն, SBSA (բաղադրիչների ցանկը)։

3. Ենթակառուցվածքը ՝ RGS, CI/CD, գաղտնիքները, հասանելի, լոգները, դիտարկումը (metram/traces/logs)։

4. Անվտանգությունն ու տվյալները 'կոդավորումը, անձնական/վճարովի տվյալների պահպանումը, DLP-ը։

5. QA-ը և հավաստագրությունը 'թեստային պլաններ, զեկույցներ, bag-tracking, լաբորատորիաների արտեֆակտներ։

6. System-ops: Պատահականություն-կառավարում, SLO/SLA, post-մորտեմներ, հերթապահություններ։

7. Ֆինանսներ և վճարումներ 'ջեքպոտներ, մրցույթներ, rev-գնդակներ/royalti, affiliates, reconciliation։

8. Կոմպլանսը/կարգավորումը 'RTP միջանցքները, լիմիթները ֆիչ, կանոնների տեղայնացումը, RG էկրանները։

9. Մատակարարները և IP 'ասետների/տառատեսակների/աուդիո, պայմանագրեր և օգտագործման իրավունքներ։

10. Գաղտնիությունը/իրավաբանական ռիսկերը 'քաղաքականությունները, retention, օգտագործողների համաձայնությունը։

4) Արտեֆակտները, որոնք հավաքում են

Մաթեմատիկա ՝ XIV/CSV սիմուլյացիաներ, seed ֆայլեր, RTP հատկություններ, A/B զեկույցներ։

Կոդը/ռեպո: PR-պատմություն, code review, SCA/SOM/DMS, SBSA զեկույցները։
CI/CD: wwww.pline, հավաքման լույսեր, արտեֆակտների ստորագրման քաղաքականություն, տոմսերի պահպանումը։
Infra: Terraform/Ansible, ցանցերի սխեմաներ, հասանելի/դերերի ցուցակներ, բանալիներ ռոտացիայի հետ։
Դիտարկումը 'Grafana/Prometheus dashbords, alerts, միջադեպերի զեկույցներ։
QA 'chek-lists, թեստային պլանների զեկույցներ, սարքերի ձայնագրություններ, «ոսկե պարկ» սարքեր։
Ֆինանսներ 'ջեքպոտների/կիսագնդերի արտանետումը, ռև գնդակների զեկույցները, վիրահատների հետ։
Կոմպլենսը 'խմբակցությունների մատրիցա (RTP/fichi/գովազդի), լաբորատորիաների համար արտեֆակտներ, ռուսական։
Իրավաբանական 'IP/տառատեսակների/երաժշտության, chain-of-title, NDA-ի արտոնագրերը կապալառուների հետ։

5) Մեթոդաբանություն և նմուշներ

Risk-based մոտեցումը 'ավելի շատ խորություններ, որտեղ բարձր ռիսկը (վճարումները, RNG, գաղտնիքները)։

Սեմպլյացիա 'ռեպրեսենտատիվ PR/ռոտացիաներ/պատահականներ ժամանակահատվածի համար (օրինակ, 10 տոկոսը ածխաջրածիններից, 100 տոկոսը քրիթային-105-ից)։
End-to-end-end-ը 'տեխնիկական կոդի պահանջից, որը համապատասխանում է տոմսերի հավաքմանը։
Փաստերի և քաղաքականության համեմատությունը հետևյալն է. Կա՞ արդյոք տարբերություններ «ինչպես պետք է լինի» վս «, ինչպես իրականում աշխատում է»։
Կրկնությունը 'քայլ առ քայլ հավաքման և շրջակա միջավայրի վերարտադրման։

6) Փորձարկման պլանները (մոտավոր կառուցվածքը)

1. RNG/մաթեմատիկա

Seed-Express-ի և պահեստավորման վերիֆիկացումը։ կանխատեսելի փամփուշտների բացակայություն։

Սիմուլյացիա/108; RTP սահմանները։
Ձախողել բոնուսների/ջեքպոտների բանաձևը թեստային փամփուշտների վրա։

2. Կոդը/անվտանգությունը

Զեկույցների բացակայությունը։ միգրացիայի քաղաքականությունը։

SFC/SCA զեկույցները քրիթային կախվածությամբ։ քաղաքականությունը «noknown critical vulns» է։
Արտեֆակտների ստորագրությունը, ամբողջականության վերահսկումը։

3. Ինֆրա/դիտարկումը

SLO aptaima/լատենտ; լոլիկ, ռենտենշն։

DR/backup պլանը 'վերականգնման թեստ, RPO/RTO։
Շրջակա միջավայրի մեկուսացումը (dev/stage/2019), least-privilege հասանելի։

4. QA/ալյումինե

Ամբողջական թեստային պլանները, device-coverage, crash-rate նպատակները։

Հավաքման մաքրությունը (քաշը, first paint), ռեալիզացիան-ավտոմատիզացիան։
Չեկ-թուղթը և լաբորատորիաների մեկնաբանությունները։

5. System-ops/միջադեպերը

MTTA/MTTR, փոստի մորտեմների առկայությունը, items գործողությունների կատարումը։

Քայքայման/ֆեյլովերի ընթացակարգերը (խաղերի համար)։
Հերթապահության և էսկալացիայի կադենսը։

6. Ֆինանսներ/հաշվետվություններ

Ջեքպոտի/կիսագնդերի փամփուշտները, բաշխման ճկունությունը։

Ռև-գնդակներ/ռոյալտի 'բանաձևեր, փոխակերպման դասընթացներ, ուշացումներ։
Լսողական հետք (ով/երբ փոխեց եզրերը)։

7. Complaens/RG/մասնավոր

Կանոնների/տառատեսակների տեղայնացումը, հասանելիությունը, RTL-ը։

RG գործիքների տեսանելիությունը, տեքստերի ճկունությունը։
Symapping: որտեղ PII-ը, ով ունի հասանելիություն, ինչքա՞ ն են պահում։

7) Գնահատումը և «լուրջ» մասշտաբը

Critical 'փողի/տվյալների կորստի ռիսկը, օրենքի խախտումը, RNG-ի փոխզիջումը։

Major 'գործընթացի զգալի թերություն (ոչ ռեժ, ոչ ալտերտ), բայց առանց ուղղակի վնասի։
Minor: տեղական խախտումներ, ռուսական/հնացած քաղաքականություններ։
Observ.ru: Բարելավման առաջարկություններ, որոնք ռիսկի չեն դիմում։

8) Ի՞ նչ է համարվում «կանաչ գոտին» (հիմնական KPI)

Crash rate: 240,5 տոկոսը «ոսկու» սարքերում։ first paint 243-5 վայրկյան (altaile)։

RNG/մաթեմատիկա 'RTP շեղումները թույլատրության մեջ։ սիմուլյացիայի կրկնությունը։

SLO: aptaim 249.9%, միջին լատենտ SLA սահմաններում։
Անվտանգությունը '0 քրիտ խոցելիություն վաճառքում; SBSA ծածկույթը 95 տոկոսն է։ գաղտնիքների վերացումը 90 օր է։
CI/CD: 100 տոկոսը ստորագրվել է; արձագանքը 15 րոպե; «Չորս աչքեր» պարզ դոպլայի վրա։
Միջադեպերը ՝ MTTR 210, 100 տոկոսը post-մորտեմներ, որոնք կատարվել են items գործողությամբ։
Ֆինանսներ 'անհամապատասխանությունները 0,1 տոկոսն են։ Թիվ X օրերի ժամանակահատվածը։
Complaens: 0 արգելափակում են ռուսական լաբորատորիաները; ներարկումների իրական մատրիցա։

9) Տիպիկ գտածոներ և ինչպես են դրանք չինացվում

Գաղտնիքները կոդում/CI: ներկայացնում են secret-112, սկաներներ, նավարկություն և pre-commit խոզեր։

Թույլ դիտարկումը 'ավելացրեք բիզնես մետրերը, հետքերը, ալերտները' շեմերով և հերթապահությամբ։

Օրինագծերի դրեբեզը 'արձանագրում են ռելիզի կադենսը, feature-flags, «releportrain»։
SBSA-ի բացակայությունը 'ներառում է CI-ի գեներացիան, քրիթային տարբերակների արգելափակման քաղաքականությունը։
RTP/geo geo-ի տարբերությունը 'ներմուծում են գենդերային միավորներ և տարբերակների վերահսկում։
Ալգորիթմները RG/www.ru-ում 'կենտրոնացնում են տեքստերը, կատարում են լեզվաբանական աուդիտ, ավտոմատ ստուգումներ։

10) Ինչպե՞ ս են արդյունքները կազմում

Executive Summary: հիմնական ռիսկերը, միտումները, հասունության քարտեզը։

Findings Log: գտածոների ցանկը լուրջ, սեփականատերը, dedline-ը, ապացույցների հղումները։

Eurective Action Plan (CAP) 'ուղղման պլան, SLA/փուլեր, չեկ-պինտ։

Evidence Pack: արտեֆակտներ (լոգներ, ժայռեր, զեկույցներ), մուտք NDA-ի տակ։
Follow-up գրաֆիկը 'ռուսական կետերի ամսաթվերը և re-2019։

11) Փոստի աուդիտ 'փոփոխություններ կատարենք

Նրանք յուրաքանչյուր գտածոյի սեփականատերերին նշանակում են. խնդիրներ են կրում Jira/YouTrack-ում։

Նրանք կառուցում են ստուգումներ International of Done (DoD) և CI-գեյթ։
Նորարարում են քաղաքական գործիչները 'հասանելի, օրինագծեր, միջադեպեր, RG/տեղայնացում։
Նրանք ուսուցանում են թիմերը (108, compliance, 71-ops)։
30-90 օր անց 'follow-up' ստատուսների և պոչերի խառնուրդ։

12) Չեկ-թուղթը պատրաստակամության թերթիկ է ներքին խողովակաշարի համար

Ենթակառուցվածքի իրական սխեմաները և մատչելի/դերերը։
SBSA-ը և SFC/SCA/DLS զեկույցները վերջին թողարկումներում։
Օրինագծերի քաղաքականությունները/108/գաղտնիքները; դրանց օգտագործման ամսագիրը։
Մաթեմատիկական սիմուլյացիա/RTP պրոֆիլներ և QA զեկույցներ։
Կանոններ/տառատեսակներ, RG-էկրաններ, միգրացիայի մատրիցա։
DR/backup պլանը և վերականգնման փորձարկումները։
Dashbords SLO, alertas և post-mortems։
Express IP/ասետներ, կապալառուների հետ պայմանագրեր։
Փամփուշտների/կիսագնդի/ռոյալթիի ֆինանսական պայուսակները ժամանակահատվածի ընթացքում։

13) Ստուդիաների հաճախակի սխալները

Աուդիտ = տարին մեկ անգամ «վախի արձակուրդը»։ Անհրաժեշտ է անընդհատ պատրաստակամություն 'ավտոմատիզացնել արտեֆակտների հավաքումը։

Ֆոկուսը միայն տեխնոլոգիական է։ Կոմպլանսի, RG, ռուսական պայմանագրերի և պայմանագրերի անտեսումը հանգեցնում է արգելափակումների։

Կարդացեք «վագոնի համար»։ Աուդիտը համեմատում է քաղաքականության հետ, լոգարաններում և գործիքներում ամրագրումը պարտադիր է։

Չկա ուղղումների սեփականատեր։ CAP առանց վիզայի վերածվում է արխիվը։

Over-scope. Փորձել անմիջապես ստուգել ամեն ինչ 'կորցնել ռիսկի գոտիներում խորությունը։

14) Հասուն ստուդիայի օրացույցը (օրինակ)

Ամեն շաբաթ 'խոցելիության ժայռեր, SBIM-2019, ալերտների և SLO-ի ստուգում։

Ամեն ամիս, մեկ տիրույթի ընտրովի ներքին հոսքը (RNG/infra/QA)։

Եժեքվարտալ 'մետրոպոլիտենի մինի-աուդիտ և 71-ops; DR դասընթացը։
Վեց ամիս 'ամբողջական ներքին աուդիտ + արտաքին պեն թեստեր։
Ad-hoc 'եվրոպական/մեծ խմբակցություններից հետո' ֆոկուս-աուդիտ։

Ներքին աուդիտը կանխատեսելիության կարգապահությունն է։ Այն կառուցում է ապացույցներ, որ ստուդիան կառավարում է ռիսկերը 'մաթեմատիկայից և կոդից մինչև վճարումներ, վճարումներ և գործառնություններ։ Երբ աուդիտը ներկառուցված է rutina (dashbords, քաղաքական, CAP, follow-up), նվազում է հաճախորդների և ձեռքերի քանակը, ավելի արագ անցնում են արտաքին հավաստագրեր և խոսակցություններ վիրահատների/IP-սեփականատերերի հետ։ Ի վերջո, բոլորը հաղթում են 'խաղացողը ստանում է կայուն և ազնիվ ապրանք, գործընկեր ՝ թափանցիկություն, իսկ ստուդիան' կայուն ածխաջրածինների տնտեսությունը։