ANEXO III

ANEXO III

Modelo y contenido mínimo del Informe de certificación del Sistema de Control Interno de los operadores de juego

1. Objeto

La presente disposición tiene por objeto describir el contenido y la forma del informe de certificación a emitir por la entidad designada por la Dirección General de Ordenación del Juego, que acredite que el Sistema de Control Interno asociado a la Plataforma de juegos de los operadores cumple con las especificaciones exigidas por la normativa aplicable, y en particular de lo dispuesto en la letra d) del número tercero del artículo 8 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego.

El alcance de la certificación del Sistema de Control Interno asociado a la Plataforma se extiende a los siguientes elementos:

El capturador, que es el componente encargado de la captura de los datos de registro de usuario y cuenta de juego.

La base de datos segura del Sistema de Control Interno de la Plataforma o almacén de operaciones de juego (en adelante, almacén).

El informe de certificación deberá evaluar tanto los requisitos de funcionalidad como los de seguridad. Los requisitos de funcionalidad deberán ser certificados por una entidad certificadora de software de juego y los de seguridad por una entidad certificadora de seguridad de los sistemas de la información. Si la entidad de certificación elegida por el operador ha sido designada tanto para la certificación de software de juego como de seguridad, podrá emitirse un único informe de certificación que incluya la funcionalidad y la seguridad.

La certificación del sistema de control interno consistirá en la evaluación de los requisitos establecidos en la siguiente normativa:

Apartado 5.1 del anexo I de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la Ley 13/2011, de 27 de mayo, de regulación del juego.

Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba el modelo de datos del sistema de monitorización de la información correspondiente a los registros de operaciones de juego.

El informe podrá realizarse sobre la solución de sistema de control interno implementada por un proveedor y por lo tanto podrá ser reutilizado por varios operadores en el caso de que no varíe la solución técnica implementada.

2. Descripción de los análisis a realizar

Los trabajos de certificación a realizar por la entidad designada deberán contemplar como mínimo lo dispuesto en este apartado.

Análisis de la funcionalidad: Las evaluaciones sobre el cumplimiento de la funcionalidad de la solución de sistema de control interno (capturador y almacén) implementada por el operador se realizarán, bien sobre un entorno de test que sea equivalente al que se utilizará en el sistema de producción real o bien en base a una revisión documental sobre la especificaciones técnicas definidas durante las fases de análisis y diseño de la solución implementada. La evaluación deberá incluir los siguientes aspectos:

Conexiones con la Dirección General de Ordenación del Juego.

Modelo de datos, que incluya la estructura de directorios del almacén y la nomenclatura de archivos.

Fuente de tiempo del SCI.

Firma, compresión y cifrado de los datos del SCI.

Rendimiento del capturador y el almacén.

Ubicación del almacén en España.

Análisis de seguridad: Las evaluaciones sobre el cumplimiento de la seguridad de la solución de almacén implementada por el operador se realizarán, bien sobre la plataforma y el sistema de control interno de producción, o bien sobre un entorno de test que sea equivalente al que se utilizará en el sistema de producción real.

Los requisitos mínimos de seguridad del almacén que deberán ser analizados son aquellos que se indican a continuación:

Seguridad del SCI.

Disponibilidad del SCI.

Plan de prevención de la pérdida de información en el SCI.

Continuidad de negocio en el SCI.

Conservación de la información del SCI.

3. Modelo y contenido mínimo del informe

El informe incluirá en todas sus páginas, un código único de informe y en su caso versión del mismo, la fecha de emisión, la razón social de la entidad designada, el número de página y número de páginas totales.

Apartado 1. Datos generales:

El título o encabezado incluirá el texto «Informe de certificación del sistema de control interno».

Datos identificativos del informe de certificación, incluyendo un código único de informe.

Datos identificativos del operador o del proveedor cuya solución de sistema de control interno se certifica.

Datos identificativos del software y versión utilizados, así como el fabricante.

Datos identificativos de la entidad designada para la certificación.

Datos identificativos del tipo de certificación: funcionalidad, seguridad o funcionalidad y seguridad.

Datos identificativos y firma del responsable por parte de la entidad designada para la certificación.

Fechas de emisión del informe.

Apartado 2. Descripción funcional: El informe incluirá una descripción funcional detallada de los procesos implementados para la captura y el registro en la base de datos segura de las operaciones de juego.

Apartado 3. Evaluación de requisitos: El informe deberá informar del cumplimiento por parte de los requisitos técnicos que se enumeran a continuación:

Funcionalidad:

Conexiones con la Dirección General de Ordenación del Juego.

Modelo de datos, que incluya la estructura de directorios del almacén y la nomenclatura de archivos.

Fuente de tiempo del SCI.

Firma, compresión y cifrado de los datos del SCI.

Rendimiento del capturador y el almacén.

Ubicación del almacén en España.

Seguridad.

Seguridad del SCI.

Disponibilidad del SCI.

Plan de prevención de la pérdida de información en el SCI.

Continuidad de negocio en el SCI.

Conservación de la información del SCI.

Apartado 4. Valoración y conclusiones: Se emitirá una valoración global «conforme» o «no conforme» sobre el sistema de control interno en relación con el cumplimiento de las especificaciones técnicas exigidas, indicando claramente si se refiere a la funcionalidad, la seguridad, o ambas.

A continuación la entidad designada podrá enumerar las observaciones que estime oportunas.

Anexo 1. Software objeto de certificación: El informe de certificación irá acompañado de una copia del software objeto de certificación firmada digitalmente por las entidades designadas al efecto.