Criterios básicos de sistemas técnicos de juego y homologaciones. La Ley 13/2011, de 27 de mayo, de regulación del juego, establece en el Capítulo III del Título IV las bases legales sobre las que deberán asentarse la localización, configuración y funcionalidades de los sistemas técnicos de los operadores de juegos, y su preceptiva homologación. Para establecer el marco básico de referencia desde el que se validarán los sistemas técnicos de las entidades que pretendan solicitar títulos habilitantes, en el presente documento se establecen criterios básicos que deben cumplir los sistemas técnicos de los futuros operadores del juego. Finalmente, se incluye un apartado dedicado a los criterios generales que se establecerán con el fin de cumplir las prohibiciones subjetivas de acceso establecidas en el artículo 6.2 de la Ley 13/2011, de regulación del juego. 1) Definición de los requisitos básicos de los sistemas técnicos de los operadores de juegos. Estos sistemas técnicos deberán dar cumplimiento a los siguientes requisitos: Deberán poder soportar un sistema de monitorización y supervisión sobre una base de datos securizada creada por el operador y puesta a disposición de la Comisión Nacional del Juego. Se acompaña como Anexo I la descripción del citado sistema. Las operaciones y transacciones que se realicen en ellos podrán ser sometidas a control en tiempo real, si bien no necesariamente permanente. El operador proporcionará a la Comisión Nacional del Juego un acceso seguro a sus sistemas que permita realizar el mencionado control. Deberán haber sido objeto de las necesarias auditorias que posibiliten su homologación por la Comisión Nacional del Juego (de acuerdo con lo previsto en la Disposición transitoria primera de la Ley 13/2011, de 27 de mayo, de regulación del juego, hasta la efectiva constitución de la Comisión Nacional del Juego, las competencias previstas para la misma, serán ejercidas por la Dirección General de Ordenación del Juego), realizadas por entidades externas, en las áreas de análisis del software implantado y de seguridad de la información.
2) Homologación de las plataformas de juego de los operadores. El software, equipos, sistemas, terminales e instrumentos que los operadores utilicen durante la organización, explotación y desarrollo de sus actividades de juegos deberán estar debidamente homologados por la Comisión Nacional del Juego. Según se establece en el artículo 16.2 de la Ley de regulación del juego, esta homologación se otorgará por la Comisión Nacional del Juego. La base sobre la que se apoyará la decisión de la Comisión será un certificado de cumplimiento de los requisitos exigidos por la normativa vigente que, al respecto de los sistemas técnicos utilizados por los operadores del juego en el desarrollo de su actividad, emitirá alguno de los laboratorios de pruebas de actividades del juego previamente acreditados por la Comisión Nacional del Juego. Las homologaciones de plataformas de juegos realizadas por los órganos competentes de las Comunidades Autónomas serán validadas por la Comisión Nacional del Juego siempre que pueda comprobarse que: Los términos a que se extiende cada homologación incluyen los establecidos por la Comisión para las homologaciones que otorga. Los laboratorios de pruebas que hayan realizado las correspondientes certificaciones deberán estar oficialmente reconocidos por la Comunidad Autónoma que haya realizado la homologación y, además, estar acreditados como laboratorios de pruebas de actividades del juego por la Comisión Nacional del Juego. 3) Requisitos de seguridad de la información. La Comisión Nacional de Juego establecerá unos requisitos mínimos de seguridad que deberán ser cumplidos por los sistemas de todos los operadores. Para comprobar su cumplimiento, se establecerá la obligación de que todos los operadores realicen una auditoria de seguridad de sus sistemas técnicos, dentro del plazo que al efecto conceda la Comisión. Igualmente, se establecerá un plazo periódico en el que los operadores deberán realizar nuevas auditorias. Se acompaña como Anexo II la relación de los sistemas considerados como más críticos y los requisitos mínimos que deberán auditarse. 4) Limitaciones a la participación. En cumplimiento de las prohibiciones subjetivas de participación en los juegos que se establecen en el artículo 6.2 de la Ley de regulación del juego, la configuración de los 2
sistemas técnicos de los operadores deberá garantizar la identidad de los jugadores y su fecha de nacimiento. Los datos de los posibles jugadores serán validados por los operadores de juegos, a través de la Comisión Nacional del Juego, mediante el acceso a las bases de datos del Censo y del Documento Nacional de Identidad, en el caso de españoles, y mediante otros sistemas, en el caso de extranjeros. 3
Anexo I. Descripción del sistema de monitorización y supervisión. El sistema técnico de juego del operador puede estar ubicado en un territorio distinto del de aplicación de la ley (España) y puede dar servicio a transacciones de juego sujetas a diferentes legislaciones. Por esta razón, la monitorización y supervisión de las operaciones de juego sujetas a la ley requiere: Primero: Que el operador implante un sitio Web específico con nombre de dominio bajo «.es» para el desarrollo y la comercialización a través de Internet de actividades de juego reguladas por la Ley 13/2011, de 27 de mayo, de regulación del juego. Segundo: Que todas las conexiones que se realicen desde ubicaciones situadas en territorio español o que hagan uso de cuentas de usuario españolas sean redireccionadas al sistema con dominio.es. Tercero: Que el operador implemente un sistema de control (el sistema de control interno o SCI) que permita registrar, de forma segura, todas las transacciones realizadas entre los jugadores y el operador, y que garantice a la Comisión Nacional del Juego la posibilidad de realizar un control permanente sobre las mismas. El sistema de control estará formado por: - El capturador, componente cuya función es la de capturar todas y cada una de las transacciones realizadas entre los jugadores y la plataforma del operador. - La base de datos securizada, la cual contiene todos los registros introducidos por el capturador. Debe ser accesible por la Comisión Nacional del Juego en todo momento. Asimismo, debe proporcionar confidencialidad, integridad, disponibilidad y asociación de tiempo fiable. La monitorización de las operaciones se hace posible gracias a dos elementos: primero, la sincronización de los datos entre la base de datos securizada y la unidad central de juegos, y segundo, la estandarización de los datos. 4
Los datos capturados y almacenados en la base de datos securizada serán: datos correspondientes a la cuenta del jugador datos de la cuenta de juego operaciones sobre eventos que determinan los resultados de los juego operaciones de reparto de premios datos totalizadores y estadísticos 5
Anexo II Sistemas técnicos más críticos y requisitos de las auditorias de seguridad. Sistemas que se consideran más críticos en relación con la seguridad: Sistemas electrónicos que registran, almacenan, procesan, comparten, transmiten o recuperen la información sensible del jugador. Sistemas electrónicos que generan, transmiten, o procesen números aleatorios utilizados para determinar el resultado de los juegos o eventos virtuales. Sistemas electrónicos que almacenen resultados o el estado de las jugadas. Puntos de la entrada y salida de los sistemas anteriores (otros sistemas que son capaces de comunicarse directamente con el núcleo de los sistemas críticos). Las redes de comunicación que transmiten la información sensible del cliente. Aspectos mínimos sobre los que se desarrollarán las auditorias de seguridad de los Sistemas técnicos de los operadores de juegos: Mecanismos de autenticación fuerte para el acceso los sistemas. Comunicaciones seguras. Registro y trazabilidad de todas las operaciones de juego. Mecanismos de garantía de integridad de los registros. Sellado de tiempo usando fuentes de tiempo fiables. Análisis de vulnerabilidades. Análisis de riesgo y continuidad del negocio. Controles de acceso físico. 6