iGaming-Sicherheitsaudit: Umfang definieren und Ergebnisse abschließen

Welche Frameworks und Systeme sind im Umfang enthalten?

Der Sicherheitsaudit-Ratschlag des UKGC identifiziert eine unabhängige jährliche Audit-Anforderung für bestimmte Remote-Lizenztypen. Seine RTS-Sicherheitsanforderungen verweisen auf relevante ISO/IEC 27001:2022-Kontrollen und definieren den Umfang kritischer Systeme.

Bestätigen Sie die Anwendbarkeit vor der Inbetriebnahme. Listen Sie die Systeme auf, die Kundeninformationen, Guthaben, Spielstatus und andere relevante Aufzeichnungen verarbeiten. Beziehen Sie ausgelagerte Komponenten und die vom Bediener gesteuerten Schnittstellen mit ein.

Wie unterscheiden sich verschiedene Assurance-Aktivitäten?

Ein Penetrationstest untersucht bestimmte technische Schwachstellen. Ein Managementsystem-Zertifikat betrifft den definierten Zertifizierungsumfang. Bei einem Aufsichtsaudit werden die festgelegten Pflichten und Nachweise beurteilt. Diese Aktivitäten können sich gegenseitig unterstützen, sind aber nicht austauschbar.

Bitten Sie einen Prüfer, den Rahmen, die Systeme, den Zeitraum und die zu bewertenden Nachweise zu erläutern. Vermeiden Sie einen Vorschlag, der „vollständige Compliance“ verspricht, ohne den Umfang oder ausgeschlossene Abhängigkeiten zu benennen.

Welche Beweise sollten vorbereitet werden?

Organisieren Sie Beweise nach Kontrolle und verantwortlichem Eigentümer.

• Bestandsaufnahme von Vermögenswerten und Datenströmen.
• Zugangsbereitstellung, privilegierter Zugang und Entfernungsaufzeichnungen.
• Änderungsmanagement und Freigabegenehmigungen.
• Schwachstellenmanagement und Nachverfolgung der Behebung.
• Protokollierung, Überwachung und Nachweise zur Reaktion auf Vorfälle.
• Ergebnisse des Backup- und Wiederherstellungstests.
• Lieferantensicherung und vom Betreiber übernommene Kontrollen.

Wie sollten Lieferantenzertifikate verwendet werden?

Lesen Sie deren Geltungsbereich, Zeitraum und Ausschlüsse. Ein Rechenzentrumszertifikat kann einen Teil der Bewertung unterstützen, während die Kontokonfiguration und Zugriffsverwaltung des Betreibers ungeprüft bleiben.

Beispielsweise beweist eine sichere Infrastruktur nicht, dass der Zugriff ehemaliger Mitarbeiter aus einer Anwendung entfernt wurde. Ordnen Sie jedes Sicherungsdokument der Kontrolle zu, die es tatsächlich unterstützt, und ermitteln Sie, welche Nachweise der Betreiber noch vorlegen muss.

Was soll nach Bekanntgabe des Befundes geschehen?

Geben Sie für jeden Fund einen Eigentümer, eine Aktion, ein Fälligkeitsdatum und einen Abschlussnachweis an. Unterscheiden Sie ein Risiko, das durch den entsprechenden Prozess formell akzeptiert wurde, von einer Arbeit, die einfach überfällig ist.

Führen Sie bei Bedarf einen erneuten Test durch und bewahren Sie das endgültige Prüfpaket auf. Das Management sollte wesentliche ungelöste Probleme und ihre betrieblichen Auswirkungen verstehen. Der Wert des Audits besteht darin, die Kontrollen zu verbessern und nachzuweisen, und nicht nur darin, einen Bericht für eine Einreichungsfrist zu erhalten.