ANEXO VII

ANEXO VII

Relación de requisitos técnicos de seguridad

Este Anexo tiene por objeto establecer la relación de los requisitos que, de conformidad con lo dispuesto en la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, han de ser cumplidos por los sistemas técnicos de los operadores de juego y que deben ser verificados por las entidades de certificación en sus informes definitivos de certificación.

Las áreas que han de ser verificadas por las entidades de certificación y el orden en que habrán de presentarse en el informe correspondiente es el que sigue:

a) Política de Seguridad.

De conformidad con el apartado 4.4 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. El operador dispone de procedimientos de seguridad.

2. Los procedimientos de seguridad han sido comunicados a la totalidad de sus empleados y, en su caso, a las entidades colaboradoras.

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos 1 y 2. En el apartado de observaciones se indicará «ISO 27001».

b) Análisis y Gestión de Riesgos.

De conformidad con los apartados 4.1, 4.2 y 4.3 de Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. El operador dispone de un plan de análisis y gestión de riesgos.

2. Se realiza una revisión periódica del análisis de riesgos.

3. La organización tiene identificados los componentes críticos del Sistema Técnico de Juego.

4. En la relación de componentes críticos están incluidos:

a) El registro de usuario.

b) La cuenta de juego.

c) El procesamiento de los medios de pago.

d) En el generador de números aleatorios: los componentes del sistema técnico de juego que transmiten o procesan números aleatorios que serán objeto del resultado de los juegos y la integración de los resultados del generador de números aleatorios en la lógica del juego.

e) Aquellos componentes que almacenan, manipulan o transmiten información sensible de los clientes, como datos personales, de autenticación, etc.

f) Aquellos componentes que almacenan el estado puntual de los juegos. g) Las conexiones con la Dirección General de Ordenación del Juego.

h) El sistema de control interno: el capturador y el almacén.

i) Los puntos de acceso y las comunicaciones de y hacia los componentes críticos anteriores.

j) Las redes de comunicación que transmiten información sensible de participantes.

5. El operador tiene reforzada la seguridad de todos los componentes críticos.

En relación con los requisitos 4 y 5, la entidad de certificación en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de éstas en los que se constate el cumplimiento de dichos requisitos.

c) Organización de la Seguridad de la Información.

De conformidad con el apartado 4.5 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que la organización ha definido un marco de gestión para la seguridad de la información, indicando las funciones y responsabilidad de su personal.

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos de esté área. En el apartado de observaciones se indicará «ISO 27001».

d) Seguridad en la comunicación con los participantes.

De conformidad con los apartados 2.1.12 y 4.6 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. El operador ha adoptado mecanismos de autenticación que permiten al sistema de juego identificar al participante, y que, a su vez, permiten al participante identificar al sistema de juego.

2. Las comunicaciones son cifradas en los casos de transmisión de datos personales (registro de usuario) o económicos (cuenta de juego).

3. En relación con las comunicaciones, el operador ha adoptado las medidas que resultan necesarias para garantizar la integridad y el no repudio en los casos de transmisión de datos personales o económicos, y en las transacciones de participación en el juego.

4. Se establece, por defecto o por el participante, una contraseña inicial de usuario.

5. Durante el proceso de definición de la contraseña de usuario, el participante es informado sobre buenas prácticas en la elección de contraseñas seguras

6. La longitud mínima de la contraseña es de 8 caracteres o dígitos, e incluye al menos elementos de tres de los siguientes grupos: números, letras minúsculas, letras mayúsculas y otros símbolos.

7. La contraseña no puede contener ninguno de los siguientes datos: el nombre del usuario, el seudónimo, el nombre o apellidos o la fecha de nacimiento del participante.

8. Se ofrece al usuario un recordatorio de cambio de contraseña con una frecuencia mínima anual, aunque no es obligatorio que el usuario realice el cambio.

9. El mecanismo de identificación mediante usuario y contraseña se bloquea si se producen en un mismo día más de 5 intentos de acceso erróneos. El operador puede establecer un límite inferior a este requisito.

10. El sistema del operador está diseñado para requerir la autenticación del participante ante cada inicio de sesión de usuario, y en el caso de uso de contraseñas, la introducción de la contraseña. El sistema no utiliza cookies u otros mecanismos para evitar la autenticación del usuario o la introducción de la contraseña.

11. El operador dispone de un procedimiento para detectar las cuentas inactivas durante un tiempo razonablemente prolongado y requiere un nivel de autenticación superior al normal o verificaciones adicionales a través del servicio de atención al cliente, antes de permitir reanudar la actividad de juego, especialmente las retiradas de fondos.

12. El operador dispone de un procedimiento para detectar dentro de lo razonable accesos no autorizados a la cuenta de los participantes, intentos de suplantación de identidad o acceso a sus datos personales.

13. El operador dispondrá de un procedimiento para detectar cambios bruscos en el comportamiento de un participante, y en particular del importe de los depósitos o retiradas, e iniciará alguna acción para prevenir que la cuenta de juego pueda estar siendo accedida por un tercero.

En relación con los requisitos anteriores, la entidad de certificación, en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de estas en las que se constata el cumplimiento de dichos requisitos.

e) Seguridad de recursos humanos y terceros.

De conformidad con el apartado 4.7 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. El operador dispone de un plan de Seguridad del Personal.

2. El plan incluye acciones formativas para todos los empleados de la organización, prestando especial atención a los permisos de acceso a información y componentes críticos.

3. En los casos en los que el operador necesite servicios de terceros que impliquen acceso, procesamiento, comunicación o tratamiento de la información, o bien el acceso a instalaciones, productos o servicios relacionados con el juego, éstos terceros deben cumplir la totalidad de los requisitos de seguridad exigibles al resto del personal.

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos de esté área. En el apartado de observaciones se indicará «ISO 27001».

f) Seguridad física y medioambiental.

De conformidad con el apartado 4.8 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. Existe un plan de seguridad física de los componentes del sistema técnico de juego.

2. La seguridad perimetral para las áreas que contienen componentes críticos e información sensible está definida.

3. Existe un Control de acceso físico a las instalaciones en las cuales se encuentren los equipos, tanto para empleados como para personal externo, y que este control incluye elementos físicos, procedimientos de autorización, registros de acceso y servicios de vigilancia.

4. Está contemplada la protección frente a riesgos ambientales: agua, fuego, provocados por personas, etc.

5. Los equipos críticos están protegidos frente a cortes del suministro eléctrico y otras interrupciones causadas por fallos en instalaciones de soporte y que el cableado de suministro eléctrico está protegido de daños.

6. Están definidos los mecanismos de control de acceso al cableado de comunicaciones si transporta información crítica sin cifrar.

7. Se proporciona y está previsto el adecuado mantenimiento de las instalaciones y equipos.

8. Los dispositivos que contienen información son borrados de manera segura o destruidos antes de ser reutilizados o retirados.

9. Los equipos que contienen información no pueden ser trasladados fuera de las instalaciones seguras sin la correspondiente autorización.

En relación con los requisitos 2, 3, 4, 5, 7, 8, 9 anteriores, la entidad de certificación, en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de estas en las que se constata el cumplimiento de dichos requisitos.

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos de esté área. En el apartado de observaciones se indicará «ISO 27001».

g) Gestión de Comunicaciones y Operaciones.

De conformidad con el apartado 4.9 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. Los componentes críticos son monitorizados para evitar que puedan utilizarse versiones diferentes de la homologada.

2. La comunicación entre los componentes de los sistemas técnicos de juego garantizan la integridad y la confidencialidad.

3. Las tareas se segregan entre las diferentes áreas de responsabilidad, para minimizar la posibilidad de acceso no autorizado y potenciales daños.

4. Se han separado las tareas de desarrollo, pruebas y producción.

5. Los servicios proporcionados por terceras partes incluyen controles y métricas de seguridad en los contratos y son periódicamente auditados y monitorizados.

6. Se han adoptado medidas de protección contra código malicioso.

7. Se hacen regularmente copias de seguridad con la frecuencia adecuada y se conservan custodiadas según quede recogido en el plan de copias de seguridad.

8. Se han adoptado medidas de seguridad en la red de comunicaciones.

9. Se han adoptado medidas de seguridad en la manipulación de soportes portátiles así como de borrado seguro o de destrucción de los mismos y que se plasma en un procedimiento documentado.

10. Los relojes de todos los componentes, especialmente de los críticos, están sincronizados con una fuente de tiempo fiable y el operador ha establecido medidas y controles para evitar la manipulación de las marcas de tiempo o su alteración posterior, especialmente en los registros de auditoría.

11. Se genera y guarda registro de auditoría de actividad de todos los usuarios, excepciones y eventos de seguridad de la información durante un periodo mínimo de 2 años.

12. Los registros de auditoría están protegidos frente a la alteración y el acceso indebido.

13. Las actividades del Administrador del Sistema y del operador del Sistema están siendo registradas.

14. Se realiza un análisis periódico de los registros de auditoría y se toman acciones en función de las incidencias detectadas.

En relación con los requisitos 2, 4, 5, 6, 7, 8, 9,10, 11, 12, 13 y 14 anteriores, la entidad de certificación en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de éstas en las que se constata el cumplimiento de dichos requisitos.

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos de esté área. En el apartado de observaciones se indicará «ISO 27001».

h) Control de Acceso.

De conformidad con el apartado 4.10 de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. La política de acceso a información está documentada.

2. Se asegura el acceso autorizado y se impide el no autorizado mediante controles en el alta de usuarios, gestión de privilegios de acceso, revisión periódica de los privilegios de acceso y política de gestión de las contraseñas.

3. Los usuarios siguen buenas prácticas en el uso de contraseñas y protegen adecuadamente la documentación y soportes en su puesto de trabajo.

4. Los usuarios únicamente tienen acceso a los servicios que han sido autorizados a usar.

5. No existen usuarios genéricos y todos los usuarios acceden con su usuario propio único.

6. El sistema autentica todos los accesos, ya sea personal propio, de mantenimiento u otros, ya sea de otros sistemas y componentes. También será autenticado el personal de inspección de la Dirección General de Ordenación del Juego u otro personal que actúe en su nombre.

7. Las redes están segregadas en función del área y responsabilidad de la tarea o función.

8. El acceso a los sistemas operativos requiere un mecanismo de autenticación seguro.

9. Se restringe y se controla el uso de programas que permiten evitar los controles de acceso y de seguridad.

10. Las sesiones tienen un tiempo máximo de duración de la conexión y un tiempo de desconexión por inactividad.

11. El personal de soporte informático tiene restringido el acceso a los datos reales de las aplicaciones. Los datos reales sensibles están ubicados en entornos aislados.

12. Se gestionan los riesgos asociados a dispositivos móviles.

13. Si existe teletrabajo, se comprueba que el riesgo asociado está gestionado en el marco del plan de seguridad.

En relación con los requisitos 1, 2, 3, 4, 6, 7, 8, 9, 10, 11, 12 anteriores, la entidad de certificación en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de éstas en las que se constata el cumplimiento de dichos requisitos.

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos de esté área. En el apartado de observaciones se indicará «ISO 27001».

i) Compra, desarrollo y mantenimiento de los sistemas.

De conformidad con el apartado 4.11 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que existe un plan de seguridad en la toma de decisiones de compra, desarrollo y mantenimiento de los sistemas de información.

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos de esté área. En el apartado de observaciones se indicarán que «ISO 27001».

j) Gestión de incidentes de seguridad.

De conformidad con el apartado 4.12 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. Existe un procedimiento documentado de gestión de incidentes de seguridad.

2. Existe un registro de incidentes de seguridad (con hechos, impactos y medidas adoptadas).

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos de esté área. En el apartado de observaciones se indicará «ISO 27001».

k) Gestión de cambios.

De conformidad con el apartado 4.13 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, y a lo establecido en el artículo décimo de esta Disposición, la entidad de certificación deberá verificar que:

1. Existe un procedimiento de gestión de cambios en equipos y componentes del sistema técnico de juego en el entorno de producción.

2. Existe un proceso de aprobación interna de cambios (petición de cambio, aprobación de los responsables).

3. Se conserva un registro de cambios (peticiones, decisiones adoptadas) y podrán ser objeto de posterior auditoría.

4. En el caso de cambios en componentes críticos, deberá evaluarse si se trata de un cambio sustancial.

5. Se conservarán copias de los binarios de los elementos de software de todas las versiones software que se hayan utilizado en el sistema técnico efectivamente empleado.

La Dirección General de Ordenación del Juego podrá establecer la obligación de que el procedimiento de conservación de las copias de los binarios incluya una huella digital de los mismos.

En relación con los requisitos 1, 2, 3, 4 y 5 anteriores, la entidad de certificación en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de éstas en las que se constata el cumplimiento de dichos requisitos.

l) Plan de prevención de pérdida de información.

De conformidad con el apartado 4.15 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. Existe un plan de prevención de pérdida de datos o transacciones que afecten al desarrollo de los juegos, a los derechos de los participantes o al interés público.

2. Existe un plan de medidas para cumplir con el plan de prevención de pérdida de información y que incluirá los siguientes aspectos:

a) Ubicación donde se conservarán las copias de la información.

b) Medidas de seguridad de protección de la copia frente accesos no autorizados.

3. Existe un procedimiento de actuación en caso de pérdida de información que incluirá los siguientes aspectos:

a) Mecanismos de atención de reclamaciones.

b) Mecanismos de continuación de juegos interrumpidos.

En relación con los requisitos 1, 2 y 3 anteriores, la entidad de certificación en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de éstas en las que se constata el cumplimiento de dichos requisitos.

m) Gestión de continuidad de negocio.

De conformidad con los apartados 4.14 y 4.16 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. Existe una gestión de continuidad del negocio ante desastres que incluirá los siguientes aspectos:

a) Medidas técnicas, humanas y organizativas necesarias para garantizar la continuidad del servicio.

b) Replica de la Unidad Central de Juegos que permita el normal desarrollo de la actividad.

2. El plan de continuidad considera los siguientes escenarios:

a) Registro de usuario y cuenta de juego, con posibilidad de consultar el saldo y los movimientos de sus cuentas de juego asociadas. El tiempo máximo para prestar de nuevo estos servicios será de una semana.

b) Retirada de fondos. El tiempo máximo para prestar de nuevo estos servicios será de una semana.

c) Continuación de juegos incompletos o apuestas pendientes y pago de los premios válidamente conseguidos. El tiempo máximo para prestar de nuevo estos servicios será de un mes.

d) Restablecimiento completo de todos los servicios.

3. En todos los escenarios se incluyen la siguiente información:

a) Servicios recuperados.

b) Tiempo máximo de recuperación.

En relación con los requisitos 1, 2 y 3 anteriores, la entidad de certificación en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de éstas en las que se constata el cumplimiento de dichos requisitos.

Aquellas organizaciones que hayan obtenido la certificación ISO 27001 vigente, podrán dar conformidad a los requisitos de esté área. En el apartado de observaciones se indicarán que «ISO 27001».

n) Penetración y análisis de vulnerabilidades.

De conformidad con el apartado 4.17 del Anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la ley 13/2011, de 27 de mayo, de regulación del juego, la entidad de certificación deberá verificar que:

1. En el último año el sistema técnico de juego ha pasado un test de penetración y un análisis de vulnerabilidades.

2. Existe un plan de análisis, al menos anual, de vulnerabilidades.

En relación con el requisito 1 anterior, la entidad de certificación en el campo de observaciones anotará las referencias documentales así como los epígrafes dentro de éstas en las que se constata el cumplimiento de dichos requisitos.