Spillemyndighedens certificeringsprogram Ledelsessystem for informationssikkerhed

Transkript

1 SCP DK.1.0

2 Indhold Indhold Indledning Spillemyndighedens certificeringsprogram Formålet med ledelsessystem for informationssikkerhed Overblik over dette dokument Definitioner Lovmæssigt grundlag for dokumentet Version Dokumentkode Henvendelser Certificering Rammen for certificeringen Krav til certificeringen Certificeringsfrekvens Overførsel af tidligere udførte inspektioner og prøvninger Inspektioner og prøvninger udført i henhold til Spillemyndighedens certificeringsprogram Inspektioner og prøvninger udført i henhold til andre standarder Akkreditering i forhold til ISO/IEC 27001: Tilladelsesindehaveres underleverandører Certificering af en underleverandør Integration i tilladelsesindehavers spilsystem Periodeforskydning Kompilering af certificeringerne Akkrediterede testvirksomheder Krav til testvirksomheden Krav til personale, der superviserer og attesterer certificeringen Krav til ledelsessystem for informationssikkerhed Personaleadministration Kommunikations- og driftsstyring Procedure og ansvar for drift Planlægning og overvågning af ressourcer Beskyttelse mod ondartet programkode Backup Netværkssikkerhed Brug af offentlige netværk Overvågning Adgangskontrol Generelt Personaleadgang Adgangskontrol og sikkerhed i forhold til netværk Adgangskontrol og sikkerhed i forhold til styresystemer Adgangskontrol og sikkerhed i forhold til applikationer og information Anskaffelse, udvikling og vedligeholdelse af komponenter Korrekt databehandling i applikationer Sikring af krypteringsnøgler og digitale signature SCP DK.1.0 Side 2 af 13

3 1 Indledning Spillemyndighedens certificeringsprogram har til formål at sikre, at spilsystemet afvikler spil på en korrekt måde, og at sikkerheden omkring spilsystemets opretholdes. Kravene i certificeringsprogrammet er tilpasset de forskellige spiltyper ud fra en væsentligheds- og risikovurdering af spillets omfang, udbredelse, sikkerhed, karakter, gevinsternes størrelse og risikoen for, at spillerne kan blive snydt m.v. På nuværende tidspunkt opereres med følgende spiltyper: Online væddemål Landbaseret væddemål Onlinekasino Landbaseret kasino Spilleautomater Lotteri Den akkrediterede testvirksomhed foretager prøvning, inspektion og certificering af tilladelsesindehavers spilsystemer, forretningsgange og forretningssystemer og skal tilpasses den enkelte tilladelsesindehavers spiludbud. 1.1 Spillemyndighedens certificeringsprogram Hele Spillemyndighedens certificeringsprogram udgøres af en række dokumenter, der løbende tilpasses den teknologiske udvikling. Tilladelsesindehavere skal til hver en tid oppebære certificeringer i overensstemmelse med de dele af certificeringsprogrammet, der gør sig gældende for deres spiludbud. Spiltyper, der ikke udbydes af tilladelsesindehaver, skal ikke certificeres. For hver af de seks spiltype er der tilknyttet et sæt teststandarder og et sæt inspektionsstandarder, som gælder for den pågældende spiltype. Yderligere fire dokumenter gælder for alle spiltyper og omhandler ledelsessystem for informationssikkerhed, indtrængningsefterprøvning, sårbarhedsefterprøvning og program for styring af systemændringer. Hvert dokument fastsætter minimumskrav til indretningen af tilladelsesindehavers spilsystem, forretningsgange og forretningssystemer. Spillemyndighedens certificeringsprogram supplerer spillovgivningen, de vilkår, der er fastsat for spiludbyderne i tilladelserne, og den administrative praksis, som Spillemyndigheden fastsætter. 1.2 Formålet med ledelsessystem for informationssikkerhed Ledelsessystemet for informationssikkerhed skal sikre, at tilladelsesindehavers spilsystem og forretningssystem beskyttes mod eventuelle trusler samt sikre de følsomme oplysninger systemerne indeholder. Ved at sikre spilsystemet og forretningssystemets integritet og adgangskontrol varetages en række væsentlige sikkerhedshensyn i relation til tilladelsesindehavers forretning, men også i forhold til beskyttelse af spillernes oplysninger og fortrolige oplysninger om tredjemænd. SCP DK.1.0 Side 3 af 13

4 1.3 Overblik over dette dokument Der er fastsat en række krav til, hvordan testvirksomheder bliver akkrediteret til at foretage certificering af tilladelsesindehaveres spilsystem, forretningsgange og forretningssystemer, samt hvordan selve certificeringen skal foretages. Selve akkrediteringen foretages af Den Danske Akkrediterings- og Metrologifond (DANAK) eller et tilsvarende akkrediteringsorgan, som er omfattet af European co-operation for Accreditations multilaterale aftale om gensidig anerkendelse eller medlem af International Laboratory Accreditation Cooperation. Disse krav til akkreditering af testvirksomheder og certificering af tilladelsesindehavere beskrives i afsnit 2 Certificering. Der er en række krav til tilladelsesindehavers personaleadministration, kommunikations- og driftsstyring, adgangskontrol og den fremtidige udvikling af spilsystemet og forretningssystemet, som skal iagttages for at sikre informationssikkerheden. Disse krav beskrives i afsnit 3 Krav til ledelsessystem for informationssikkerhed. 1.4 Definitioner Inspektion: Følsomme oplysninger: Prøvning: Revisionsegnet log: Spilsystem: Den akkrediteret testvirksomheds undersøgelse af tilladelsesindehavers spilsystem, forretningsgange og forretningssystem, med henblik på at konstatere, om de krav Spillemyndigheden har fastsat, er opfyldt. Oplysninger, der enten er af forretnings- eller personfølsom karakter. Den akkrediteret testvirksomheds prøvning af tilladelsesindehavers spilsystem, analyse af de indsamlede data og evaluering af resultatet, med henblik på at konstatere, om de krav Spillemyndigheden har fastsat, er opfyldt. En log, der opsamler data, hvor der ikke kan manipuleres med data efter, at de er registreret i loggen. Hvis data skal ændres, skal det ske ved at oprette en ny optegning i loggen i stedet for at rette eller slette den eksisterede optegning. Elektronisk eller andet udstyr, der anvendes af eller på vegne af tilladelsesindehaver til udbud og drift af onlinekasino, herunder udstyr der: 1. anvendes til lagring af oplysninger vedrørende en persons deltagelse i spil, herunder historiske data og resultatoplysninger, 2. frembringer og/eller præsenterer spil for spilleren, eller 3. fastlægger resultatet af et spil, eller beregner hvorvidt spilleren har vundet eller tabt ved spillet. 1.5 Lovmæssigt grundlag for dokumentet (SCP DK.1.0) er udstedt af Spillemyndigheden i henhold til lov nr. 848 af 1. juli 2010 om spil 41 og bekendtgørelse nr. 65 af 25. januar 2012 om landbaseret væddemål 11, bekendtgørelse nr. 66 af 25. januar 2012 om online væddemål 26 og bekendtgørelse nr. 67 af 25. januar 2012 om onlinekasino 26. SCP DK.1.0 Side 4 af 13

5 1.6 Version Spillemyndigheden vil løbende revidere certificeringsprogrammet og seneste version samt versionshistorik er tilgængelig på spillemyndighedens hjemmeside: Dato Version Beskrivelse Ved ændringer i certificeringsprogrammet vil certificeringer som udgangspunkt fortsat være gyldige i den periode, de er udstedt for. Det skal fremhæves, at det er den danske version, der er bindende og at den engelske version udelukkende er af vejledende karakter. 1.7 Dokumentkode Hvert dokument i Spillemyndighedens certificeringsprogram har en dokumentkode, der udgøres af: SCP Der angiver at der er tale om Spillemyndighedens Certificerings Program. To tal Der angiver hvilken dokumenttype der er tale om. Koderne er: "01" Teststandarder "02" Inspektionsstandarder "03" "04" Indtrængningsefterprøvning "05" Sårbarhedsefterprøvning "06" Program for styring af systemændringer To tal Der angiver hvilken spiltype dokumentet omhandler. Koderne er: "00" Alle spiltyper "01" Online væddemål "02" Landbaseret væddemål "03" Onlinekasino "04" Landbaseret kasino "05" Gevinstgivende spilleautomater "06" Lotterispil DK eller EN Der angiver sprogversionen. DK for dansk og EN for engelsk. Versionsnummer Der er beskrevet ovenfor i afsnit 1.6. Dokumentkoden SCP DK.1.0 er således inspektionsstandarder for landbaseret væddemål. Til hvert dokument er der tilknyttet en standardrapport med dokumentkoden SCP.XX.XX.ST, der skal bruges ved meddelelser til Spillemyndigheden om certificeringer. Dokumentkoden for standardrapporter bruger samme systematik som ovenfor. 1.8 Henvendelser Alle henvendelser, der vedrører dette dokument, bør stilles skriftligt til denne adresse: mail@spillemyndigheden.dk SCP DK.1.0 Side 5 af 13

6 eller Spillemyndigheden Helgeshøj Allé Taastrup 2 Certificering 2.1 Rammen for certificeringen En certificering er baseret på inspektion og prøvning af en tilladelsesindehavers spilsystem, forretningsgange og forretningssystemer i forhold til kriterier fastsat i Spillemyndighedens certificeringsprogram. Det er tilladelsesindehavers ansvar at opnå de påkrævede certificeringer, og at disse er udfærdiget af en akkrediteret testvirksomhed i henhold til certificeringsprogrammet, ved at tilrettelægge sin virksomhed med udgangspunkt i dette. Det er altid tilladelsesindehavers ansvar, at certificeringsprogrammet til enhver tid er opfyldt. 2.2 Krav til certificeringen Certificering udført på baggrund af dette dokument skal indleveres ved brug af formularen SCP ST. Den akkrediterede testvirksomhed skal attestere, at tilladelsesindehavers spilsystem, forretningsgange og forretningssystemer efterlever kravene i dette dokument. Rent undtagelsesvist kan det accepteres, at den akkrediterede testvirksomhed attesterer certificeringen på trods af, at alle kravene ikke er opfyldt som beskrevet i dette dokument. Dette skal ske på baggrund af en risikovurdering med udgangspunkt i formålet med spilleloven og tilhørende bekendtgørelser. Risikovurderingen skal være baseret på ISO/IEC Risk management - Risk assessment techniques. Det skal fremgå tydeligt af certificeringen, hvorvidt denne fremgangsmåde er anvendt. 2.3 Certificeringsfrekvens Tilladelsesindehavers spilsystem, forretningsgange og forretningssystemer skal til enhver tid være certificeret. Tilladelsesindehaver er derfor til enhver tid ansvarlig for at sikre, at der løbende og med et interval på maksimalt 12 kalendermåneder sker certificering af tilladelsesindehavers spilsystem, forretningsgange og forretningssystemer, i overensstemmelse med kravene i dette dokument. Følgende retningslinjer er gældende i forbindelse med fornyelse af certificeringen og tidsfristerne for indlevering heraf: Inspektionen skal være påbegyndt inden udløbet af den eksisterende certificering, og skal være færdiggjort senest 2 måneder fra udløbet af den eksisterende certificering. Inden for samme frist skal det være Spillemyndigheden i hænde. Gen-certificeringen dateres med datoen for færdiggørelsen af inspektionen, medmindre inspektionen fortsætter efter udløbsdatoen for den eksisterende certificering. I så fald skal den nye certifice- SCP DK.1.0 Side 6 af 13

7 ring dateres med udløbsdatoen for den eksisterende certificering, da en certificeringsperiode ikke kan overskride 12 måneder. 2.4 Overførsel af tidligere udførte inspektioner og prøvninger Inspektioner og prøvninger udført i henhold til Spillemyndighedens certificeringsprogram Når en akkrediteret testvirksomhed har certificeret et givent krav i Spillemyndighedens certificeringsprogram og dette krav indgår i flere forskellige dele af certificeringsprogrammet fx SCP DK Teststandarder for online væddemål og SCP DK Teststandarder for landbaseret væddemål, er det ikke nødvendigt at gentage certificeringen af kravet. I sådanne tilfælde kan der i stedet henvises til den allerede udførte certificering. Dette er også tilfældet, hvis certificeringen er udført af en anden akkrediteret testvirksomhed Inspektioner og prøvninger udført i henhold til andre standarder Det er muligt at lægge tidligere inspektioner og prøvninger foretaget på baggrund af lignende kriterier til grund for certificeringen. Det skal dog understreges, at det faktiske tidspunkt for den seneste inspektion eller prøvning i sådanne tilfælde danner grundlag for fastlæggelsen af certificeringsfrekvensen. Det vil eksempelvis sige, at hvis en seks måneder gammel inspektion eller prøvning lægges til grund for certificeringen, skal der ske en fornyelse af certificeringen seks måneder tidligere end normalt. Ovenstående er også muligt, selv om certificeringen er udført af en anden akkrediteret testvirksomhed. Når den akkrediterede testvirksomhed skal tage stilling til, om en inspektion eller prøvning foretaget på baggrund af lignende kriterier kan overføres, skal dette ske på baggrund af en risikovurdering med udgangspunkt i formålet med spilleloven og tilhørende bekendtgørelser. Risikovurderingen skal være baseret på ISO/IEC Risk management - Risk assessment techniques. Det skal fremgå tydeligt af certificeringen, hvorvidt denne fremgangsmåde er anvendt Akkreditering i forhold til ISO/IEC 27001:2013 Er tilladelsesindehaver akkrediteret i forhold til ISO/IEC 27001:2013, må det som udgangspunkt forventes, at tilladelsesindehavers ledelsessystem for informationssikkerhed er af en sådan kvalitet, at certificering i forhold til Spillemyndighedens ledelsessystem for informationssikkerhed SCP DK er unødvendig. På samme måde kan en underleverandørs akkreditering i forhold til ISO/IEC 27001:2013 også træde i stedet for en certificering i forhold til Spillemyndighedens ledelsessystem for informationssikkerhed SCP DK. Det er i begge tilfælde en forudsætning, at akkrediteringens scope omfatter hele spilsystemet i dets fuldstændighed, som defineret i spillelovgivningen, og enhver arbejdsproces, der relaterer sig til spilsystemet, samt den eller de geografiske placeringer hvor spilsystemet er opstillet. For at kunne tage stilling til, hvorvidt ovenstående er opfyldt, skal den akkrediterede testvirksomhed have adgang til: ISO/IEC 27001:2013 Akkrediteringen/certificeringen, Statement of Applicability, og Risikovurderingen SCP DK.1.0 Side 7 af 13

8 Og på denne baggrund kan den akkrediterede testvirksomhed så udstede certificering, der træder i stedet for en certificering i forhold til Spillemyndighedens ledelsessystem for informationssikkerhed SCP DK. 2.5 Tilladelsesindehaveres underleverandører Certificering af en underleverandør En underleverandør til en tilladelsesindehaver kan lade deres produkter certificere helt eller delvist efter Spillemyndighedens certificeringsprogram. I sådanne situationer udfylder underleverandørens akkrediterede testvirksomhed en tilsvarende formular, som beskrevet i afsnit 2.2. Tilladelsesindehavers akkrediterede testvirksomhed skal ved test af tilladelsesindehaverens spilsystem alene teste de dele af spilsystemet, der ikke er certificeret i forbindelse med underleverandørens certificering. Tilladelsesindehavers akkrediterede testvirksomhed behøver i denne sammenhæng ikke at forholde sig til det arbejde, underleverandørens akkrediterede testvirksomhed har udført, men skal alene i certificeringen henvise til dette Integration i tilladelsesindehavers spilsystem Den akkrediterede testvirksomhed skal være særligt opmærksom på, at selvom underleverandørens produkt allerede er certificeret, kan det være nødvendigt at gentage dele af certificeringen, når produktet integreres i tilladelsesindehaverens samlede spilsystem. Dette vil særligt være relevant, når der ved implementeringen sker ændringer i det certificerede produkt Periodeforskydning Perioden mellem underleverandørens certificering og tilladelsesindehavers certificering, som beskrevet i afsnit 2.3, kan afvige med maksimalt én kalendermåned. Vejledning: Dette kunne fx betyde, at en tilladelsesindehaver bruger en certificeringsperiode fra 1. maj til 30. april, mens dennes underleverandør bruger en certificeringsperiode fra 1. april til 31. marts Kompilering af certificeringerne Det er tilladelsesindehavers akkrediterede testvirksomheds opgave at sikre, at der er taget stilling til samtlige krav i dette dokument. Det skal fremgå af tilladelsesindehavers certificering, hvorvidt det enkelte krav er testet af tilladelsesindehavers akkrediterede testvirksomhed, en underleverandørs akkrediterede testvirksomhed eller ikke er en del af tilladelsesindehavers udbud af spil. 2.6 Akkrediterede testvirksomheder Testvirksomheder skal opnå ISO/IEC akkreditering og/eller ISO/IEC akkreditering med udgangspunkt i de kriterier, der er beskrevet i de følgende afsnit. Akkrediteringens scope skal udvides, så Spillemyndighedens certificeringsprogram SCP DK.1.0 fremgår eksplicit heraf. For at sikre, at de nødvendige kvalifikationer er til stede, når en certificering udføres, skal testvirksomheden og dennes ansatte leve op til følgende minimumskrav. Dokumentation for, at kravene er opfyldt, skal vedlægges certificeringen. SCP DK.1.0 Side 8 af 13

9 2.6.1 Krav til testvirksomheden Testvirksomheden skal: a) have mindst 3 års erfaring med at teste ledelsessystemer for informationssikkerhed eller et lignende nært beslægtet fagområde, b) arbejde med udgangspunkt i ISO/IEC akkrediteringen og/eller ISO/IEC akkrediteringen, der henviser til kravene i SCP DK.1.0, og c) sikre, at tilstrækkeligt kvalificeret personale udfører certificeringen Krav til personale, der superviserer og attesterer certificeringen Certificeringen skal udføres af personale, der er tilstrækkeligt kvalificeret, jævnfør afsnit ovenfor. Udførslen skal superviseres, og certificeringserklæringen skal attesteres af én eller flere personer, der indestår for, at arbejdet er udført fagligt forsvarligt. Disse personer skal opfylde følgende krav: a) have en relevant uddannelse eller på anden måde kunne demonstrere relevante kvalifikationer, b) være certificeret som International Information Systems Security Certification Consortium (ISC)2 Certified Information Systems Security Professional (CISSP), Payment Card Industry (PCI) Qualified Security Assessor (QSA), eller Information Systems Audit and Control Association (ISACA) Certified Information Systems Auditor (CISA). c) Supervisoren beskrevet i punkt a eller b ovenfor skal have minimum 5 års erhvervsmæssig erfaring med at inspicere spilsystemer, eller et lignende nært beslægtet fagområde, for en akkrediteret eller certificeret virksomhed. Vejledning: Certificeringen og attesteringen kan foretages af flere personer, der i fællesskab opfylder kravene. 3 Krav til ledelsessystem for informationssikkerhed Tilladelsesindehavers informationssikkerhed afhænger i høj grad af at spilsystemet, forretningssystemerne og ledelsessystemet omkring dette er sikkert, og at uvedkommende ikke kan få adgang til oplysninger, de ikke er berettiget til. Tilladelsesindehavers personale har en nøglerolle i forhold til adgangen til systemet. Derfor skal deres adgang til både spilsystemet og forretningssystemet være klart defineret og aftalt i deres ansættelsesforhold med tilladelsesindehaveren. Teknisk set er der en række driftsmæssige tiltag, som tilladelsesindehaver skal implementere for at sikre spilsystemets og forretningssystemets integritet. I forlængelse heraf er der krav til anvendelsen af sikre kommunikationskanaler. Informationssikkerhed skal også tænkes ind i den måde, som spilsystemet og forretningssystemet udvikles på, så data ikke forvanskes som følge af manglende validering af datainput fra applikationer. SCP DK.1.0 Side 9 af 13

10 Tredjemænd kan også have adgang til spilsystemet, forretningssystemerne eller ledelsessystemet omkring disse, hvis de eksempelvis er underleverandører eller indtager en anden position i tilladelsesindehavers virksomhed, som kræver adgang til spilsystemet, forretningssystemet eller ledelsessystemet. Uanset hvem der har adgang til spilsystemet og forretningssystemet, skal denne adgang være tilpasset den enkelte person, så personer ikke kan tilgå information, der er uvedkommende for det arbejde, de udfører. 3.1 Personaleadministration Tilladelsesindehaver skal have en politik for oprettelse, ændring og afvikling af personalets brugeradgang til spilsystemet og forretningssystemerne. På baggrund af politikken skal der udarbejdes en formel procedure, der sikre: at der foreligger en detaljeret arbejdsbeskrivelse for den enkelte medarbejder, at der gives brugeradgang til spilsystemet og forretningssystemet i overensstemmelse med medarbejderens arbejdsbeskrivelse, at brugeradgangen ændres i overensstemmelse med en ændret arbejdsbeskrivelse, og at brugeradgangen afvikles i forbindelse med medarbejderens ansættelses ophør. Tilsvarende politikker og procedure skal foreligger for konsulenters og/eller andre tredjemænds brugeradgang til spilsystemet og forretningssystemet, såfremt sådanne tildeles adgang. 3.2 Kommunikations- og driftsstyring Procedure og ansvar for drift Spilsystemet og forretningssystemerne skal kunne lukke hensigtsmæssigt ned i tilfælde af strømafbrydelse. Nødstrøm er derfor påkrævet for at sikre dataintegritet, logs, backup og for at sikre, at igangværende spil kan afvikles og afsluttes Planlægning og overvågning af ressourcer Spilsystemet og forretningssystemerne skal føre en log over systemets ydeevne og på baggrund heraf kunne danne rapporter. Spilsystemets ressourceforbrug skal overvåges og tilpasses, og der skal laves prognoser for kravene til den fremtidige kapacitet for at sikre den nødvendige ydelse Beskyttelse mod ondartet programkode Spilsystemet og forretningssystemerne skal have redskaber til at opdage og forhindre indtrængning og indsættelse af uautoriseret programkode Backup Spilsystemet og forretningssystemerne skal lave backup af alle driftskritiske data og skal kunne genskabe alle driftskritiske data fra backup. Spilsystemet og forretningssystemerne skal være i stand til at genskabe alle kritiske data, der er genereret i perioden fra tidspunktet for den seneste backup til tidspunktet, hvor et systemnedbrud fandt sted eller en systemfejl opstod. SCP DK.1.0 Side 10 af 13

11 3.2.5 Netværkssikkerhed Spilsystemet og forretningssystemerne skal indrettes så udstyr i spilsystemets og forretningssystemernes broadcast-domæne(r)ikke kan skabe netværksadgang uden om firewallen. Udstyr, der anvendes som firewall, skal være dedikeret til firewallfunktionen og kun indeholde firewallrelaterede brugerkonti og funktioner. Adgang til firewallen skal begrænses til arbejdsstationer, der indgår i konfigurationsudgangspunktet, som defineret i Spillemyndighedens program for styring af systemændringer SCP DK og skal afvise alle datapakker, der kommer fra andre steder end arbejdsstationer, der indgår i konfigurationsudgangspunktet. Firewallen skal vedligeholde en revisionsegnet log med alle systemændringer, der påvirker forbindelsestilladelserne, og alle succesfulde og mislykkedes forsøg på at få adgang til den Brug af offentlige netværk Anvender tilladelsesindehaver offentlige netværk til datatrafik mellem geografisk spredte del-systemer, skal informationen være krypteret og del-systemerne anvende autentifikation. Al kommunikation mellem geografisk spredte del-systemer skal beskytte mod: incomplete transmission, mis-routing, unauthorised message alteration, unauthorised disclosure, unauthorised message duplication, og unauthorised replay. Tilladelsesindehaver skal anvende en sikker primær DNS og en sikker sekundær DNS, der er logisk og fysisk adskilt fra den primære DNS Overvågning Spilsystemet og forretningssystemerne skal føre revisionsegnede logge, der registrerer: brugeraktivitet, undtagelser (exceptions), og informationssikkerhedshændelser. De revisionsegnede logge skal gemmes i mindst 5 år og skal beskyttes mod uautoriseret adgang. Spilsystemet og forretningssystemerne skal registrere alle fejl og nedbrud samt løbende overvåge anvendelsen og funktionsdygtigheden af væsentlige systemkomponenter. Væsentligheden følger af klassificeringen af komponenter i Spillemyndighedens program for styring af systemændringer SCP DK. SCP DK.1.0 Side 11 af 13

12 3.3 Adgangskontrol Generelt Spilsystemet og forretningssystemerne skal kræve stærke kodeord i forbindelse med brugeradgang til systemet, og pauseskærm skal aktiveres eller automatisk logger brugeren af systemet ved længere tids inaktivitet Personaleadgang Muligheden for at give adgang til spilsystemet og forretningssystemerne skal være begrænset til så få medarbejdere som muligt, og både spilsystemet og forretningssystemerne skal kunne understøtte differentieret brugeradgang, så politikken og proceduren for personaleadministration, jf. afsnit 3.1, kan udmøntes i praksis. Førstegangskodeord skal tildeles automatisk af spilsystemet og forretningssystemerne Adgangskontrol og sikkerhed i forhold til netværk Der skal være adgangskontrol til spilsystemet og forretningssystemernes netværksfunktioner, og brugeradgang hertil må kun kunne opnås gennem denne adgangskontrol. Spilsystemet og forretningssystemet skal forhindre uautoriseret intern og ekstern adgang til netværksfunktioner. Spilsystemet og forretningssystemernes skal benytte segregerede netværk, så grupper af relaterede funktioner, brugere og del-systemer kan holdes adskilt fra hinanden Adgangskontrol og sikkerhed i forhold til styresystemer Alle brugere skal have et unikt brugernavn/id, som kun er til personligt brug, og spilsystemet og forretningssystemerne skal anvende passende autentifikationsmetoder til at sikre brugerens identitet ved log ind. Routing control skal benyttes til at kontrollere adgangen til styresystemet på væsentlige systemkomponenter. Væsentligheden følger af klassificeringen af komponenter i Spillemyndighedens program for styring af systemændringer SCP DK. Når et styresystem installeres på udstyr, der er en del af spilsystemet, må der kun installeres/aktiveres funktioner, der er strengt nødvendige for, at udstyret kan opfylde sit formål. Programmer og lignende, der kan tilsidesætte adgangskontrollen, må under ingen omstændigheder installeres på spilsystemet og forretningssystemerne Adgangskontrol og sikkerhed i forhold til applikationer og information Alle brugere skal have et unikt brugernavn/id, som kun er til personligt brug, og spilsystemet og forretningssystemerne skal anvende passende autentifikationsmetoder til at sikre brugerens identitet ved log ind. Følsom information skal gemmes og sendes i krypteret form, og spilsystemet og forretningssystemerne skal sikre en særlig streng adgangskontrol for brugeres adgang til disse. SCP DK.1.0 Side 12 af 13

13 3.4 Anskaffelse, udvikling og vedligeholdelse af komponenter Korrekt databehandling i applikationer Datainput til applikationer skal valideres for at sikre, at datainput er passende i den pågældende kontekst og ikke er skadelig for spilsystemet og forretningssystemerne. Løbende automatisk datavalidering skal indarbejdes i alle applikationer for at sikre mod dataforvanskning og driftsforstyrrelser. Dataoutput fra applikationer skal valideres for at sikre, at behandlingen af den gemte information er foregået korrekt Sikring af krypteringsnøgler og digitale signature Krypteringsnøgler, digitale signature og lignende skal opbevares på et sikkert og redundant lagringsmedie med begrænset brugeradgang. SCP DK.1.0 Side 13 af 13