Чому важливо проводити аудит платформи кожні півроку

За півроку в iGaming змінюється дуже багато: версії ОС і браузерів, SDK платіжних провайдерів, санкційні списки, вимоги регуляторів, стор-політики, атаки бот-мереж, навантаження в піках, склад команд. Піврічний аудит фіксує «зріз здоров'я» платформи, знижує операційні та юридичні ризики і дає план поліпшень з прогнозованим ROI.

1) Навіщо аудит раз на півроку - п'ять причин

1. Безпека: нові CVE, техніка атаки на L7/боти, застарілі шифросuites.

2. Комплаєнс: оновлення вимог ліцензій, GDPR/PCI, правила відповідальної гри (RG).

3. Надійність: дрейф SLO, зростання часу до виведення, регрес TTS/FPS.

4. Економіка: хмарні витрати/PSP-комісії/фрод-збитки - завжди «повзуть».

5. Командна пам'ять: пост-мореми забуваються; аудит закріплює процеси і знання.

2) Області перевірки (наскрізний чек-лист)

Безпека: TLS/шифри, HSTS, CSP/SRI, секрет-менеджмент, mTLS, пінінг в додатках, SAST/DAST, пен-тест звіти.

Дані та приватність: класифікація PII, шифрування на диску/в полі, KMS/HSM, ретенція/DSR, WORM-журнали.

Платежі: ідемпотентність грошей, 3DS/SCA, токенізація, webhooks з HMAC/anti-replay, час депозиту/виведення.

KYC/AML: pass-rate, liveness, санкції/РЕР рескрининг, STR/SAR-процеси, точність моделей/правил.

RNG/RTP & інтеграції ігор: контроль версій, хеші білдів, протокол симуляцій, звіти лабораторій.

RG (відповідальна гра): видимість лімітів/таймерів, самовиключення, журнал активності.

Продуктивність: TTS (time-to-spin), FPS, p95/p99 латентність API, стабільність live-відео і WebSocket.

Надійність/DR: RPO/RTO, бекапи, відновлення, актив-актив регіони, автоскейл, DDoS-готовність.

Спостережуваність: трасування, кореляція по trace-id, SIEM/UEBA, алерти по касі/КУС.

Продукт/UX/доступність: воронки реєстрації/депозиту/виведення, A/B-схема, контраст/екранні читалки.

Вендори: SLA/аптайм, звіти аудиту, покриття країн, вартість за перевірку/транзакцію.

Фінанси/FinOps: витрати на хмару/обчислення/CDN, кеш-політики, холод/гарячі дані.

Право і стори: тексти Т & С/політик, вимоги App Store/Google Play/PWA, кукі-банери.

3) Як проводити аудит: процес за 10 кроків

1. Scope & цілі: яку частину платформи і які метрики вважаємо критичними.

2. Збір артефактів: діаграми архітектури, матриця доступів, списки доменів, інвентар сервісів, версії SDK.

3. Інтерв'ю: Sec/DevOps/Payments/KYC/Support/Compliance/BI.

4. Технічні перевірки: скани портів/шифрів, політика TLS, SAST/DAST звіти, навантажувальні тести.

5. Рев'ю логів і метрик: SIEM/Prometheus/Grafana/APM, вибіркові траси грошей.

6. Семплінг призначених для користувача шляхів: реєстрація → депозит → гра → висновок.

7. Контроль версій ігор: звірка хешів, журнали релізів, симуляції RTP.

8. Вендор-оцінка: SLA, інциденти, штрафи, ціни, плани DR.

9. Ризик-скоринг: ймовірність × вплив; карта ризиків (High/Medium/Low).

10. Ремедіація: дорожня карта з пріоритетами, термінами і власниками.

4) Артефакти, які повинні бути «на столі»

Діаграма систем (актив-актив/канали), матриця потоків даних.

Політики: доступів (RBAC/ABAC), ключів, ретенції, IR/DR, деплоїв.

Реєстр сервісів/бібліотек/версій, SBOM (software bill of materials).

Контракти API/Swagger/Protobuf, схеми ідемпотентності грошей.

Звіти: пен-тест, лабораторії RNG/RTP, провайдерів KYC/PSP.

Пост-мореми інцидентів і перелік відкритих action items.

5) Метрики, за якими видно прогрес

Security: час закриття критичних вразливостей (MTTR vulns),% покритих SAST/DAST, частка ротацій ключів.

Payments: середній час депозиту/виведення, частка повторів/дублів, chargeback rate.

KYC/AML: pass-rate, середнє TTV (time-to-verify), FPR/TPR алертів.

Perf: TTS, p95 latency API каси/ігор, crash-free, FPS.

Reliability: RPO/RTO-тести, успіх DR-навчань, частка автоматичних відкатів.

RG: частка сесій з лімітами, використання «охолодження».

FinOps: $/1000 спінів, $/GB egress, хіти CDN, micro-cache hit.

6) Піврічний графік (приклад на 2 тижні)

День 1-2: Scope, чек-листи, збір артефактів.

День 3-5: безпека, дані, TLS/шифри, пен-тест серій.

День 6-7: платежі/KYC/AML, вебхуки, ідемпотентність грошей.

День 8-9: RNG/RTP/версії ігор, симуляції, кеш/перф.

День 10: DR/спостережуваність/DDoS, FinOps, вендори.

День 11-12: зведення ризиків, дорожня карта, презентація C-level.

7) Типові знахідки → швидкі «вин-вин» фікси

Mixed content і слабкі шифри: включити HSTS/CSP/SRI, відрізати TLS 1. 0/1. 1.

Повтори webhooks: додати HMAC/anti-replay і'Idempotency-Key'.

Довгий TTS: lazy-loading, компресія асетів, micro-cache 1-10 сек.

Довгі висновки: паралелити перевірки, розділити черги на KYC/AML, step-up по ризику.

Немає DR-репетиції: щоквартальні «DR-дні» + чек-лист відновлення.

Слабка видимість RG: винести ліміти/таймери на 1-й екран каси.

Хмарні витрати: CDN-кеш, зберігання «холоду», авто-скейл за реальними метриками.

8) Часті помилки в аудитах

Перевіряють «що зручно», а не «що критично для грошей і ліцензії».

Звіт без конкретних власників/термінів → полку.

Немає пріоритизації по ризику - все «важливо».

Відсутня перевірка ідемпотентності грошей і дублів транзакцій.

Ігнор вендор-ризиків (KYC/PSP/SMS/email) та їх DR-планів.

Не діляться висновками з саппортом/афіліатами → повтор інцидентів.

9) Як оформити підсумковий звіт

Executive summary: 1 сторінка, топ-5 ризиків і економічний ефект.

Risk register: таблиця (ризик, ймовірність, вплив, контроль, власник, термін).

Технічний додаток: висновки по розділах, логи, траси, скріншоти, результати тестів.

Roadmap ремедіації: квартальна сітка задач (Quick wins/Must/Should/Could).

Метрики-цілі: цільові SLO/OKR до наступного аудиту.

10) Міні-RACI на аудит

Owner: CTO/COO.

Security: CISO/SecEng - безпека, дані, IR/DR.

Payments: Head of Payments - каса, PSP, webhooks.

Compliance: MLRO/Legal - KYC/AML/RG/ліцензії.

Game Tech: Head of RGS - RNG/RTP/версії, симуляції.

SRE/DevOps: перф/спостережуваність/скейл/DDoS.

BI/FinOps: метрики, вартість, звітність.

11) Шаблон чек-листа (збережіть)

TLS 1. 3/1. 2, HSTS/CSP/SRI, пінінг, секрети в KMS/Vault
Шифрування БД/бекапів, ретенція/DSR, WORM-логи
Ідемпотентність грошей, HMAC webhooks, anti-replay
Pass-rate KYC, рескрининг санкцій/РЕР, STR/SAR-процес
RNG/RTP: хеші білдів, симуляції, звіти лабораторій
RG: ліміти/таймери/самовиключення на виду
Perf: TTS≤3 c, p95 API, FPS, WebSocket/LL-HLS стабільність
DR: бекапи, RPO/RTO-тест, актив-актив/Anycast/CDN/WAF
SIEM/алерти, трасування грошей, дашборди p95/p99
FinOps: $/1000 спінів, CDN hit, архів «холодних» даних
Вендори: SLA/аптайм, звіти, ціни, DR-плани
Стори/право: T & C/Privacy/Cookie, версії SDK, правила стору

Піврічний аудит - це ритм стійкості. Він виявляє технічний і процедурний борг раніше, ніж він перетворюється на інциденти, підтверджує відповідність ліцензіям і знижує вартість ризиків. Робіть аудит по фіксованому процесу, з вимірними метриками і персональною відповідальністю - і кожні шість місяців ваша платформа буде ставати швидше, безпечніше і передбачуваніше для гравців, партнерів і регуляторів.