Crypto Casino
Torrent Dişli
ISO 27001 neden önemlidir?
ISO/IEC 27001 bir kağıt kabuğu değil, verileri ve süreçleri öngörülebilir bir şekilde korumaya yardımcı olan bir bilgi güvenliği yönetim sistemidir (ISMS). IGaming için bu özellikle önemlidir: PII/KYC medyası, ödeme olayları, oyun bütünlüğü günlükleri, sağlayıcılar ve bağlı kuruluşlarla entegrasyon. 27001'e uygunluk, olay olasılığını azaltır, düzenleyicilerle diyalogları basitleştirir ve büyük B2B sözleşmelerine kapı açar.
1) ISO 27001'i iGaming işine tam olarak ne veriyor?
Risk tabanlı yönetim: Tehditler ve güvenlik açıkları, sahipler ve son tarihler ile bir risk kaydı haline gelir.
Artan güven: PSP, içerik stüdyoları, pazarlama ağlarından durum tespiti yapmak daha kolay.
Yasal destek: regülatörü kontrol ederken ihtiyaç duyulan süreçler ve günlükler.
TCO güvenliğinin azaltılması:'her şeyi düzeltmek "yerine öncelikli risklere odaklanın.
Rekabet avantajı: Bir dizi pazarda RFP/ihalelerde zorunlu filtre.
2) ISMS'nin 27001'e kadar temel unsurları
Kapsam: Hangi tüzel kişilik, siteler, hizmetler, veriler ISMS'yi kapsar.
Politikalar ve roller: bilgi güvenliği politikası, RACI, yönetim sorumluluğu, bilgi güvenliği komitesi.
Varlık tanımlama: Sınıflandırma ile veri/hizmet/entegrasyonların kaydı (PII, KYC, ödemeler, oyun kayıtları).
Risk değerlendirmesi: metodoloji, kriterler, olasılık × etki matrisi, işleme planı.
SoA (Uygulanabilirlik Bildirimi): uygulanan Ek A kontrollerinin listesi ve istisnaların gerekçelendirilmesi.
Dokümantasyon ve eğitim: yönetilen sürümler, onboarding, düzenli eğitim.
İyileştirme döngüsü (PDCA): iç denetimler, düzeltici eylemler, metrikler.
3) Ek A (revizyon 2022): Konuya göre gruplandırılmış 93 kontrol
Organizasyonel (37): bilgi güvenliği politikası, roller, çalışan taraması, veri sınıflandırması, tedarikçi yönetimi, güvenli geliştirme, kayıt ve izleme, DLP.
Kişiler (8): bilgi güvenliği eğitimi, disiplin tedbirleri, çalışanların erişim yönetimi, istihdam ilişkilerinin sonlandırılması.
Fiziksel (14): çevre, DC/ofislere erişim, ekipman koruması, işyerleri.
Teknolojik (34): IAM, kriptografi ve KMS, ağ filtreleri, artıklık ve DR, web uygulaması ve API koruması, güvenlik açıkları, anti-malware.
4) ISO 27001'in diğer gerekliliklerle nasıl örtüştüğü
GDPR: yasal dayanaklar, veri minimizasyonu, konu hakları (DSR), erişim günlüğü - veri yönetimi ve rolleri üzerindeki kontrollerle örtüşür.
PCI DSS: Ödeme döngüsünün tokenizasyonu/segmentasyonu, güvenlik açığı ve günlük yönetimi ISMS'de aynı ilkelerdir, ancak PCI ayrı bir standart olarak kalır.
Lisanslar ve Sorumlu Oyun: RG araçlarının kullanılabilirliği, değişmeyen günlükler - günlüğe kaydetme, saklama ve değişiklik yönetimi gereksinimlerine bağlıdır.
5) Sertifikasyona giden yol: aşamalar
1. Boşluk analizi: 27001:2022'den itibaren mevcut uygulamaların karşılaştırılması, boşluk haritası.
2. Kapsam ve Varlık/Risk Kaydı tanımlayın.
3. SoA'da kontrollerin seçimi ve gerekçelendirilmesi, risk elleçleme planı.
4. Süreçlerin uygulanması: politikalar, prosedürler, kayıt, eğitim, IR/DR planı, tedarikçi yönetimi.
5. İç denetim ve yönetimden gelen analiz (Yönetim İncelemesi).
6. Sertifikasyon denetimi:- Aşama 1 - hazırlık ve belgelerin kontrol edilmesi.
- Aşama 2 - "eylemde" süreçlerin çalışmalarını kontrol etmek.
- 7. Sertifika desteği: yıllık denetim denetimleri, her 3 yılda bir yeniden sertifikalandırma, sürekli iyileştirmeler.
6) Kapsam iGaming şirketlerine giren şey (örnek)
Platform (PAM), oyun sunucusu (RGS), kasa ve PSP entegrasyonu, KYC/AML devresi, CRM/BI, web/mobil istemciler, DevOps ortamları, RNG/RTP günlükleri, KYC medya depolama, DWH/analitik, ofis BT hizmetleri, yükleniciler (Saa S/CDN/WAF)
Veriler: PII, ödeme belirteçleri, operasyonel işlemler, oyun günlükleri, servis anahtarları/sertifikaları.
7) "Uygulamaya çevrilmiş" kontrol önlemleri örnekleri
Erişim kontrolü: RBAC/ABAC, MFA, yöneticiler için JIT hakları, düzenli erişim incelemeleri.
Kriptografi: TLS 1. 3, AES-GCM/ChaCha20, KMS/HSM, anahtar rotasyonu, yedekleme şifrelemesi.
Dergiler ve izleme: değiştirilemez para günlükleri ve RNG, SIEM/UEBA, nakit uyarıları/yazarkasalar.
DevSecOps: SAST/DAST, gizli tarama, kod olarak altyapı, değişiklik kontrolü, oyun oluşturma imzaları, sürüm karmaları.
Güvenlik açığı yönetimi: Yamalar için SLA (kritik ≤ 7 gün, yüksek ≤ 30), düzenli kalem testleri.
Süreklilik: RPO/RTO, DR alıştırmaları, varlık bölgeleri, DDoS hazırlığı.
Satıcı yönetimi: veri işleme sözleşmeleri, tedarikçi SLA/DR değerlendirmesi, girdi ve periyodik denetimler.
8) "Canlı" ISO 27001'i gösteren metrikler
Kritik güvenlik açıklarını ortadan kaldırma zamanı (MTTR), kapalı düzeltici faaliyetlerin payı.
Denetlenen hizmetlerin paylaşımı (günlüğe kaydetme, izleme, uyarılar).
Bilgi güvenliği eğitimlerini tamamlamış çalışanların yüzdesi ve kimlik avı simülasyonlarının sonuçları.
RPO/RTO testleri: ilerleme ve iyileşme süresi.
Tedarikçiye göre KPI: çalışma süresi, tepki süresi, insider'lar ve SLA uygulaması.
Erişim inceleme sıklığı ve tanımlanan ekstra hakların sayısı.
9) Sık görülen mitler ve hatalar
"Sertifika = Güvenlik. "Hayır. ISO 27001 yalnızca süreçler gerçekten işe yarıyor ve gelişiyorsa geçerlidir.
Kağıt üzerinde bu kadar siyaset yeter. "Metriklere, dergilere, eğitimlere, denetimlere ve düzeltici eylemlere ihtiyacımız var.
"Her şeyi bir anda halledeceğiz. Doğru yol, açık bir Kapsam + risk öncelikleridir.
ISO 27001, PCI/GDPR'nin yerini alacak. "Değiştirmeyecek; Hangi endüstri gereksinimlerinin haritalandığı bir çerçeve oluşturur.
"Dev ve Prod ayrılamaz. 27001 için ortamların, verilerin ve anahtarların ayrılması temel hijyendir.
Sırlar kodlarda saklanabilir. "Yapmayın: Gizli yönetici ve sızıntı kontrolüne ihtiyacınız var.
10) Uygulama kontrol listesi (kaydet)
- Kapsam tanımlı, varlık kaydı ve veri sınıflandırması
- Risk değerlendirme metodolojisi, risk haritası, işleme planı
- Ek A 2022 SoA istisnaları haklı çıkarıyor
- Politikalar: erişimler, kriptografi, güvenlik açıkları, günlükler, olaylar, sağlayıcılar, tutma
- RBAC/ABAC, MFA, JIT erişimi, düzenli hak incelemeleri
- TLS 1. 3, depolama şifreleme, KMS/HSM, anahtar döndürme, şifreli yedeklemeler
- SAST/DAST, gizli tarama, kontrolü değiştir, imzalar oluştur
- SIEM/UEBA, değişmez para ve RNG günlükleri, SLO panoları
- DR planları, RPO/RTO, varlık/Anycast/CDN/WAF, DDoS prosedürleri
- Bilgi güvenliği eğitimi, kimlik avı simülasyonları, disiplin önlemlerinin disiplini
- Satıcı yönetimi: DPIA, SLA/DR, yıllık değerlendirmeler
- İç Denetim, Yönetim Gözden Geçirme, Düzeltici Faaliyetler
11) Mini-SSS
Sertifikasyon ne kadar sürer? Genellikle 3-6 aylık hazırlık + 2 aşamalı denetim.
27017/27018 ihtiyacım var mı? Bulut ve PII için önerilir; 27001 profil kontrollerini genişletirler.
Bir startup ne yapmalı? Temel süreçlerle başlayın: varlık/risk kaydı, erişimler, günlükler, güvenlik açıkları, yedeklemeler - ve tam SoA'ya geçin.
C-seviyeleri nasıl ikna edilir? Riskleri/cezaları, iş ortağı gereksinimlerini ve yatırım getirisi tahminlerini (olay azaltma, satış hızlandırma) gösterin.
Nasıl destek olunur? Yıllık gözetim denetimleri, üç aylık iç denetimler, düzenli DR tatbikatları ve metrikleri.
ISO/IEC 27001, net kapsama, riskler, kontroller, metrikler ve iyileştirmelerle ölçeklenebilir bir sisteme güvenlik disiplini oluşturur. Bu, iGaming için daha az olay ve para cezası, ortaklar ve düzenleyicilerle daha hızlı koordinasyon, nakit masalarının ve oyunların istikrarlı çalışması anlamına gelir. Sertifika son dokunuş. Önemli olan, işletmelerin her gün risk kararları almasına yardımcı olan canlı bir ISMS'dir.