Почему важно проводить аудит платформы каждые полгода

За полгода в iGaming меняется очень многое: версии ОС и браузеров, SDK платёжных провайдеров, санкционные списки, требования регуляторов, стор-политики, атаки бот-сетей, нагрузки в пиках, состав команд. Полугодовой аудит фиксирует «срез здоровья» платформы, снижает операционные и юридические риски и даёт план улучшений с прогнозируемым ROI.

1) Зачем аудит раз в полгода — пять причин

1. Безопасность: новые CVE, техника атаки на L7/боты, устаревшие шифросuites.

2. Комплаенс: обновления требований лицензий, GDPR/PCI, правила ответственной игры (RG).

3. Надёжность: дрейф SLO, рост времени до вывода, регресс TTS/FPS.

4. Экономика: облачные расходы/PSP-комиссии/фрод-убытки — всегда «ползут».

5. Командная память: пост-моремы забываются; аудит закрепляет процессы и знания.

2) Области проверки (сквозной чек-лист)

Безопасность: TLS/шифры, HSTS, CSP/SRI, секрет-менеджмент, mTLS, пиннинг в приложениях, SAST/DAST, пен-тест отчёты.

Данные и приватность: классификация PII, шифрование на диске/в поле, KMS/HSM, ретенция/DSR, WORM-журналы.

Платежи: идемпотентность денег, 3DS/SCA, токенизация, webhooks с HMAC/anti-replay, время депозита/вывода.

KYC/AML: pass-rate, liveness, санкции/PEP рескрининг, STR/SAR-процессы, точность моделей/правил.

RNG/RTP & интеграции игр: контроль версий, хэши билдов, протокол симуляций, отчёты лабораторий.

RG (ответственная игра): видимость лимитов/таймеров, самоисключение, журнал активности.

Производительность: TTS (time-to-spin), FPS, p95/p99 латентность API, стабильность live-видео и WebSocket.

Надёжность/DR: RPO/RTO, бэкапы, восстановление, актив-актив регионы, автоскейл, DDoS-готовность.

Наблюдаемость: трассировка, корреляция по trace-id, SIEM/UEBA, алёрты по кассе/KYC.

Продукт/UX/доступность: воронки регистрации/депозита/вывода, A/B-схема, контраст/экранные читалки.

Вендоры: SLA/аптайм, отчёты аудита, покрытие стран, стоимость за проверку/транзакцию.

Финансы/FinOps: затраты на облако/вычисления/CDN, кэш-политики, холод/горячие данные.

Право и сторы: тексты T&C/политик, требования App Store/Google Play/PWA, куки-баннеры.

3) Как проводить аудит: процесс за 10 шагов

1. Scope & цели: какую часть платформы и какие метрики считаем критичными.

2. Сбор артефактов: диаграммы архитектуры, матрица доступов, списки доменов, инвентарь сервисов, версии SDK.

3. Интервью: Sec/DevOps/Payments/KYC/Support/Compliance/BI.

4. Технические проверки: сканы портов/шифров, политика TLS, SAST/DAST отчёты, нагрузочные тесты.

5. Ревью логов и метрик: SIEM/Prometheus/Grafana/APM, выборочные трассы денег.

6. Сэмплинг пользовательских путей: регистрация → депозит → игра → вывод.

7. Контроль версий игр: сверка хэшей, журналы релизов, симуляции RTP.

8. Вендор-оценка: SLA, инциденты, штрафы, цены, планы DR.

9. Риск-скоринг: вероятность × влияние; карта рисков (High/Medium/Low).

10. Ремедиация: дорожная карта с приоритетами, сроками и владельцами.

4) Артефакты, которые должны быть «на столе»

Диаграмма систем (актив-актив/каналы), матрица потоков данных.

Политики: доступов (RBAC/ABAC), ключей, ретенции, IR/DR, деплоев.

Реестр сервисов/библиотек/версий, SBOM (software bill of materials).

Контракты API/Swagger/Protobuf, схемы идемпотентности денег.

Отчёты: пен-тест, лаборатории RNG/RTP, провайдеров KYC/PSP.

Пост-моремы инцидентов и перечень открытых action items.

5) Метрики, по которым видно прогресс

Security: время закрытия критичных уязвимостей (MTTR vulns), % покрытых SAST/DAST, доля ротаций ключей.

Payments: среднее время депозита/вывода, доля повторов/дублей, chargeback rate.

KYC/AML: pass-rate, среднее TTV (time-to-verify), FPR/TPR алертов.

Perf: TTS, p95 latency API кассы/игр, crash-free, FPS.

Reliability: RPO/RTO-тесты, успех DR-учений, доля автоматических откатов.

RG: доля сессий с лимитами, использование «охлаждения».

FinOps: $/1000 спинов, $/GB egress, хиты CDN, micro-cache hit.

6) Полугодовой график (пример на 2 недели)

День 1–2: Scope, чек-листы, сбор артефактов.

День 3–5: безопасность, данные, TLS/шифры, пен-тест серий.

День 6–7: платежи/KYC/AML, вебхуки, идемпотентность денег.

День 8–9: RNG/RTP/версии игр, симуляции, кэш/перф.

День 10: DR/наблюдаемость/DDoS, FinOps, вендоры.

День 11–12: сводка рисков, дорожная карта, презентация C-level.

7) Типовые находки → быстрые «вин-вин» фиксы

Mixed content и слабые шифры: включить HSTS/CSP/SRI, отрезать TLS 1.0/1.1.

Повторы webhooks: добавить HMAC/anti-replay и `Idempotency-Key`.

Долгий TTS: lazy-loading, компрессия ассетов, micro-cache 1–10 сек.

Длинные выводы: параллелить проверки, разделить очереди на KYC/AML, step-up по риску.

Нет DR-репетиции: ежеквартальные «DR-дни» + чек-лист восстановления.

Слабая видимость RG: вынести лимиты/таймеры на 1-й экран кассы.

Облачные расходы: CDN-кэш, хранение «холода», авто-скейл по реальным метрикам.

8) Частые ошибки в аудитах

Проверяют «что удобно», а не «что критично для денег и лицензии».

Отчёт без конкретных владельцев/сроков → полка.

Нет приоритизации по риску — всё «важно».

Отсутствует проверка идемпотентности денег и дублей транзакций.

Игнор вендор-рисков (KYC/PSP/SMS/email) и их DR-планов.

Не делятся выводами с саппортом/аффилиатами → повтор инцидентов.

9) Как оформить итоговый отчёт

Executive summary: 1 страница, топ-5 рисков и экономический эффект.

Risk register: таблица (риск, вероятность, влияние, контроль, владелец, срок).

Техническое приложение: выводы по разделам, логи, трассы, скриншоты, результаты тестов.

Roadmap ремедиации: квартальная сетка задач (Quick wins / Must / Should / Could).

Метрики-цели: целевые SLO/OKR до следующего аудита.

10) Мини-RACI на аудит

Owner: CTO/COO.

Security: CISO/SecEng — безопасность, данные, IR/DR.

Payments: Head of Payments — касса, PSP, webhooks.

Compliance: MLRO/Legal — KYC/AML/RG/лицензии.

Game Tech: Head of RGS — RNG/RTP/версии, симуляции.

SRE/DevOps: перф/наблюдаемость/скейл/DDoS.

BI/FinOps: метрики, стоимость, отчётность.

11) Шаблон чек-листа (сохраните)

TLS 1.3/1.2, HSTS/CSP/SRI, пиннинг, секреты в KMS/Vault
Шифрование БД/бэкапов, ретенция/DSR, WORM-логи
Идемпотентность денег, HMAC webhooks, anti-replay
Pass-rate KYC, рескрининг санкций/PEP, STR/SAR-процесс
RNG/RTP: хэши билдов, симуляции, отчёты лабораторий
RG: лимиты/таймеры/самоисключение на виду
Perf: TTS≤3 c, p95 API, FPS, WebSocket/LL-HLS стабильность
DR: бэкапы, RPO/RTO-тест, актив-актив/Anycast/CDN/WAF
SIEM/алёрты, трассировка денег, дашборды p95/p99
FinOps: $/1000 спинов, CDN hit, архив «холодных» данных
Вендоры: SLA/аптайм, отчёты, цены, DR-планы
Сторы/право: T&C/Privacy/Cookie, версии SDK, правила стора

Полугодовой аудит — это ритм устойчивости. Он выявляет технический и процедурный долг раньше, чем он превращается в инциденты, подтверждает соответствие лицензиям и снижает стоимость рисков. Делайте аудит по фиксированному процессу, с измеримыми метриками и персональной ответственностью — и каждые шесть месяцев ваша платформа будет становиться быстрее, безопаснее и предсказуемее для игроков, партнёров и регуляторов.