ANEXO IV

ANEXO IV

Modelo y contenido del informe de certificación de la seguridad

El informe de certificación de la seguridad se estructura en los apartados y presentará el contenido mínimo que a continuación se relaciona:

1. Identificación de la certificación.

2. Descripción del objeto de certificación.

3. Resumen ejecutivo de la certificación de la seguridad.

4. Detalle del cumplimiento de los requisitos de seguridad.

5. Detalle de los análisis de auditoría específicos.

6. Descripción del lugar, equipo y fechas de realización de la certificación.

7. Descripción del soporte digital que acompañará al informe de certificación.

1. Identificación de la certificación

En la primera página del informe se detallará lo siguiente:

a) Tipo de informe de certificación: Se consignará «informe definitivo de certificación de la seguridad».

b) Código de identificación del informe: El código de identificación del informe será único y permitirá referirse al mismo de manera unívoca y su diferenciación de cualquier otro informe emitido por la entidad de certificación. Cada vez que la entidad de certificación realice cualquier modificación en un informe deberá generar un nuevo código de identificación para el mismo.

c) Datos identificativos de la entidad certificadora.

d) Datos identificativos de quien firma el informe por parte de la entidad certificadora.

e) Fechas de realización de los trabajos de certificación.

f) Fecha de emisión del informe de certificación.

2. Descripción del objeto de certificación

El objeto de certificación de la seguridad será el sistema técnico de juego efectivamente empleado por el operador para el desarrollo y explotación del juego objeto de la correspondiente licencia, en relación con los procedimientos, procesos, planes y medidas de seguridad efectivamente implementados.

A los efectos de describir el alcance del objeto de certificación de la seguridad se enumerarán tanto los centros de procesos de datos donde se albergue el sistema técnico de juego, como el software instalado en ellos, como las organizaciones donde estén implantados los procedimientos, procesos, planes y medidas de seguridad.

Para describir los centros de procesos de datos objeto que han sido objeto de certificación, se incluirá la siguiente relación:

CPD	Calle, número	Ciudad	País	Tipo	Razón social del proveedor de alojamiento
CPD 1
CPD 2
…..

Los campos «calle», «número», «ciudad» y «país», se refieren a la localización física del CPD. El campo «tipo» indica la modalidad de alojamiento del CPD y deberá coincidir con uno de los siguientes valores: «hosting», «housing» o «propio».

El campo de «razón social del proveedor de alojamiento», solo habrá de completarse en el caso de que «tipo» contenga uno de estos valores: «hosting» o «housing».

Para cada uno de los centros de procesos de datos, deberán identificarse los elementos de software empleados en el sistema técnico instalados en ellos, con mención expresa del fabricante, nombre de producto y versión.

Así mismo, deberá indicarse la relación de entidades responsables de la gestión de seguridad, es decir, de aplicar las políticas, procedimientos y medidas de seguridad certificadas en el informe.

3. Resumen ejecutivo de la certificación de la seguridad

3.1 Calificación global de la seguridad.

Se incluirá una calificación global del cumplimiento de los requisitos técnicos en materia de seguridad por el sistema técnico de juego efectivamente utilizado por el operador para la licencia. La calificación podrá ser «Conforme» o «No conforme».

Esta calificación solamente podrá ser «Conforme» cuando la entidad de certificación estime que el sistema técnico de juego efectivamente utilizado por el operador para la licencia es conforme con todos los requisitos que resulten de aplicación.

Calificación global de la seguridad	Se calificará globalmente el resultado del análisis como «Conforme» o «No conforme».
Convalidación ISO 27001	Se indicará si se utiliza en el informe la posibilidad de convalidación de ciertos requisitos a partir de una certificación ISO 27001.

3.2 Cuadro resumen del cumplimiento de los requisitos de seguridad.

Los requisitos técnicos en materia de seguridad cuyo cumplimiento debe certificarse para cada licencia se describen en el Anexo VII a la Resolución por la que se aprueba esta Disposición.

Para cada requisito se habrá obtenido una calificación que podrá ser «Conforme», «Convalidado», «No conforme», o «No aplica».

Los requisitos técnicos han sido agrupados por áreas.

En el resumen ejecutivo se presentará una tabla resumen con el número de requisitos que reciben cada calificación para cada área.

Las calificaciones se detallarán del siguiente modo:

	Número de requisitos	Número de requisitos conformes	Número de requisitos convalidados (ISO 27000)	Número de requisitos no conformes	Número de requisitos no aplica
Área XXX	7	6	0	0	1
Área YYY	4	3	1	0	0

3.3 Cuadro resumen de los análisis de auditoría específicos.

Para determinadas áreas de seguridad de especial relevancia, la entidad de certificación deberá realizar varios análisis de auditoría específicos que se describen en un apartado posterior.

En este apartado se señalará un resumen ejecutivo de los mismos:

3.3.1 Análisis de auditoría de los componentes críticos.

Calificación.

Se calificará globalmente el resultado del análisis como «Conforme» o «No conforme» respecto a la correcta identificación de los componentes críticos.

3.3.2 Análisis de auditoría de la gestión de cambios.

Calificación.

Se calificará globalmente el resultado del análisis como «Conforme» o «No conforme» respecto a los requisitos técnicos en esta materia.

3.3.3 Análisis de auditoría de la gestión de continuidad de negocio y prevención de la pérdida de información.

Calificación.	Se calificará globalmente el resultado del análisis como «Conforme» o «No conforme» respecto a los requisitos técnicos en esta materia. El resultado «Conforme» representa la conformidad de la entidad de certificación con que el sistema técnico del operador permite alcanzar los tiempos de recuperación o de pérdida de datos analizados en este apartado.
Tiempo máximo de recuperación ante un desastre.	Se indicará el peor de los tiempos máximo de recuperación ante un desastre, o RTO del inglés «recovery time objective» de entre los proporcionados por el operador.
Tiempo máximo de pérdida de información ante un desastre.	Se indicará el peor de los tiempos máximos de pérdida de información ante un desastre, o RPO del inglés «recovery point objective» de entre los proporcionados por el operador.

4. Detalle del cumplimiento de los requisitos de seguridad

Los requisitos técnicos en materia de seguridad cuyo cumplimiento debe certificarse para cada licencia se describen en el Anexo VII a la Resolución por la que se aprueba esta Disposición.

Para cada requisito se habrá obtenido una calificación que podrá ser «Conforme», «No conforme», o «No aplica».

En este apartado se detallará el cumplimiento de cada uno de los requisitos técnicos. Los requisitos se han agrupado por áreas.

Adicionalmente será necesario documentar en el espacio de observaciones las siguientes situaciones:

– El motivo por el que el requisito pudiera calificarse como «No aplica».

– Cuando haya habido incidencias, aunque posteriormente se hayan subsanado.

En el caso de que se haga uso de la posibilidad de convalidación de ciertos requisitos a partir de una certificación ISO 27001, se utilizará la calificación de «Convalidado» y en el campo de observaciones se indicará «ISO 27001».

Las calificaciones se detallarán del siguiente modo:

Área y referencia del requisito	Calificación	Observaciones	Referencia documental
Área de requisitos X:
Requisito AA.	Conforme.		Documento XXXXX apartado YY
Requisito XX.	No conforme.	No es conforme al requisito debido a….
Requisito YY.	No aplica.	El requisito no es de aplicación debido a…
Requisito ZZ.	Convalidado.	ISO 27001

La entidad de certificación deberá entregar un anexo en el que adjuntará la documentación de seguridad, así como todas aquellas evidencias que permitan constatar el cumplimiento de los requisitos.

En aquellos casos donde exista soporte documental de la política o procedimiento, deberá hacerse constar en el campo de observaciones, la referencia documental así como el epígrafe donde se apoya el cumplimiento.

La entidad de certificación deberá acreditar la efectiva aplicación de los controles de seguridad en el sistema técnico de juego efectivamente empleado. A tal efecto, se describirán las pruebas adicionales a la comprobación documental que se hayan realizado.

5. Detalle de los análisis de auditoría específicos

Para determinadas áreas de seguridad de especial relevancia, la entidad de certificación deberá realizar varios análisis de auditoría específicos que se describen en este apartado.

5.1 Análisis de auditoría de los componentes críticos.

La entidad de certificación emitirá un análisis sobre la correcta identificación por parte del operador de los componentes críticos del sistema técnico de juego.

La entidad de certificación incluirá la relación de componentes críticos del sistema técnico de juego, indicando si la seguridad de los mismos ha sido reforzada. Para cada componente de esta relación deberá indicarse con qué elemento o elementos software del cuestionario presentado por el operador se corresponde.

5.2 Análisis de auditoría de la gestión de cambios.

La entidad de certificación emitirá un análisis sobre la correcta llevanza del procedimiento de gestión de cambios.

La entidad de certificación adjuntará, en caso de haberlas, las evidencias y documentación asociada de las tres últimas gestiones de cambio, respecto al momento de realizarse este análisis, realizadas por el operador.

En caso de disponer de una herramienta software para la gestión de cambios deberá indicarse cuál. Asimismo la entidad de certificación deberá acreditar que cualquier actuación (alta, modificación o baja de cambios) puede ser auditada.

5.3 Análisis de auditoría de la gestión de continuidad de negocio y prevención de la pérdida de información.

La entidad de certificación deberá analizar el tiempo máximo de recuperación ante un desastre, o RTO del inglés «recovery time objective», que indique el operador, y valorar si las medidas técnicas disponibles son suficientes para lograrlo. El análisis deberá describir las medidas técnicas y la utilización de redundancia, planes de copias de seguridad, centros de respaldo u otras medidas.

La entidad de certificación deberá analizar el tiempo máximo de pérdida de información ante un desastre, o RPO del inglés «recovery point objective».que indique el operador, y valorar si las medidas técnicas disponibles son suficientes para lograrlo. El análisis deberá describir las medidas técnicas y la utilización de redundancia, planes de copias de seguridad, centros de respaldo u otras medidas. La entidad de certificación deberá cerciorarse de que las medidas dispuestas protegen todos los datos del operador, tanto los de usuario como los de juego.

Como desastre deberá evaluarse la posibilidad de un incidente que inutilice totalmente una ubicación física ante una contingencia imprevista.

6. Descripción del lugar, equipo y fechas de realización de la certificación

En este apartado se describirá el equipo de trabajo que ha realizado la certificación, así como el lugar o lugares y la fecha o fechas en que se ha realizado.

7. Descripción del soporte digital que acompañará al informe de certificación

Este apartado describirá el contenido del soporte digital que acompañará al informe de certificación.

El informe de certificación se acompañará de un anexo en soporte digital, que estará estructurado de la siguiente manera:

– Informe de certificación completo en formato digital.

– Documentación de seguridad completa utilizada para la evaluación de la seguridad, que se recogerá dentro de una carpeta con la denominación «Documentación».

– Evidencias de la evaluación de los requisitos técnicos en materia de seguridad. Se agruparán dentro de una carpeta denominada «Requisitos técnicos».

Certificación ISO 27001, en el caso de que sean aportadas para su convalidación.