Dos procedimentos de backup e restauração

Segurança dos dados

9 - O sistema de apostas, a plataforma de apostas esportivas e a plataforma de jogos on-line devem fornecer um significado lógico para proteger os dados do apostador e das apostas, incluindo contabilidade, evento significativo ou outra informação confidencial, contra alteração, adulteração ou acesso não autorizado, observados os seguintes requisitos:

a) métodos apropriados de manipulação de dados devem ser implementados, incluindo validação de entrada e rejeição de dados corrompidos;

b) o número de estações de trabalho onde aplicações críticas ou dados de base associadas podem ser acessadas deve ser limitado;

c) criptografia, proteção de senha ou segurança equivalente deve ser usada em arquivos e dados contendo diretórios. Caso contrário, o operador deve restringir a visualização de usuários aos conteúdos de tais arquivos e diretórios, promovendo o monitoramento e o registro de acesso de qualquer pessoa a eles;

d) a operação normal de qualquer equipamento que guarda dados não deve conter opção ou mecanismos que possam comprometer os dados;

e) nenhum equipamento deve ter um mecanismo em que um erro faça com que os dados sejam apagados automaticamente;

f) qualquer equipamento que guarde dados em sua memória não deve permitir a remoção da informação, a menos que tenha primeiro transferido informações para a base de dados ou outros componentes seguros do sistema;

g) os dados devem ser armazenados em áreas do servidor que sejam criptografadas e seguras contra acesso não autorizado;

h) a produção de bases de dados deve residir em redes separadas dos servidores que hospedam qualquer interface de usuário;

i) os dados devem ser mantidos o tempo todo, independentemente de o servidor estar sendo fornecido com energia; e

j) os dados devem ser armazenados de forma a evitar a perda de dados quando houver substituição de partes ou módulos durante manutenção de rotina.

Alteração de dados

10 - A alteração de qualquer contabilidade, relatório ou dado de evento significativo não deve ser permitida sem controle de acesso supervisionado. Quando houver alteração em qualquer dado, as seguintes informações devem ser documentadas ou inseridas em arquivos logs:

a) número de ID único para a alteração;

b) elemento de dado alterado;

c) valor do elemento de dado antes da alteração;

d) valor do elemento de dado após a alteração;

e) hora e data da alteração; e

f) identificação do usuário que realizou a alteração.

Frequência de backup

11 - A implementação do plano de backup deve ocorrer pelo menos uma vez ao dia.

Backup de mídia de armazenamento

12 - Arquivos de logs de auditoria, bases de dados do sistema e quaisquer outros dados pertinentes do apostador e de apostas devem ser armazenados mediante utilização de métodos de proteção razoáveis. O sistema de apostas deve ser projetado para proteger a integridade desses dados quando houver uma falha. Cópias redundantes desses dados devem ser mantidas no sistema com suporte aberto para backups e restaurações, para que nenhuma falha de qualquer parte do sistema possa causar a perda ou corrupção dos dados, observados os seguintes requisitos:

a) o backup deve conter uma mídia física não volátil ou uma implementação arquitetural equivalente. Caso o meio de armazenamento primário falhe, as funções do sistema e o processo de auditoria daquelas funções continuarão sem perda de dados críticos;

b) caso o backup seja armazenado em uma plataforma em nuvem, outra cópia também pode ser armazenada em uma plataforma em nuvem diferente;

c) se as unidades de disco rígido forem usadas como mídia de backup, a integridade dos dados deve ser assegurada no evento de uma falha de disco. Métodos aceitáveis incluem, mas não se limitam, a vários discos rígidos em uma configuração RAID aceitável ou espelhamento de dados em dois ou mais discos rígidos;

d) após a conclusão do processo de backup, a respectiva mídia deve ser imediatamente transferida para um local separado do local de alojamento dos servidores e dados cujo backup foi realizado, por armazenamento temporário ou permanente, sendo que:

I. o local de armazenamento deve ser protegido para evitar acesso não autorizado e fornecer proteção adequada para prevenir a perda permanente de qualquer dado; e

II. os arquivos de dados de backup e componentes de recuperação de dados devem ser gerenciados com pelo menos o mesmo nível de segurança e controles de acesso do sistema; e

e) a distância entre as duas localizações deve ser determinada com base nas ameaças e riscos ambientais, falhas de energia, e outras interrupções, mas deve, também, considerar a dificuldade potencial da replicação dos dados, bem como estar apta a acessar o local de recuperação dentro de um tempo razoável.

Falhas no sistema

13 - O sistema de apostas deve ter redundância e modularidade suficiente de modo que, se qualquer componente único ou parte de um componente falhar, as funções do sistema e o processo de auditoria dessas funções possam continuar sem perda de dados críticos. Quando três ou mais componentes estão conectados:

a) as operações de apostas não devem ser afetadas adversamente pelo reinício ou recuperação de qualquer componente, como transações que não são perdidas ou duplicadas por causa da recuperação de um componente ou outro; e

b) após reiniciar ou recuperar determinado componente, eles devem imediatamente sincronizar o status de todas as transações, dados e configurações uns com os outros.

Contabilização de master resets - reinicialização principal

14 - O operador deve ser capaz de identificar e manipular apropriadamente a situação quando um master resetocorrer em qualquer componente que afete as operações de aposta.

Requisitos de recuperação

15 - No evento de uma falha catastrófica quando o sistema de apostas, ou qualquer componente ou plataforma, não puder ser redefinido de qualquer outra forma, deve ser possível restaurar o sistema do último ponto de backup e recuperá-lo totalmente. O conteúdo deste backup deve conter as seguintes informações críticas, incluindo, mas não se limitando a:

a) informações gravadas especificadas na seção "Da manutenção dos dados" do Anexo I desta Portaria;

b) informações específicas do local, como configurações e contas de segurança;

c) chaves de criptografia do sistema atual; e

d) quaisquer outros parâmetros do sistema, modificações, reconfigurações, adições, fusões, exclusões, ajustes e mudanças nos parâmetros.

Suporte de Fornecimento de Energia Ininterrupta (UPS)

16 - Todos os componentes do sistema devem ser fornecidos com energia primária adequada. Onde o servidor for um aplicativo independente, ele deve ter um Fornecimento de Energia Ininterrupta (UPS) conectada e ter capacidade suficiente para permitir um desligamento e retenção de todos os dados do apostador e dados de apostas durante uma perda de energia. É aceitável que o sistema possa compor uma rede que seja suportada por um UPS na qual o servidor esteja incluído como um dispositivo protegido pelo UPS.

Plano de continuidade do negócio e de recuperação em desastres

17 - Uma política de continuidade dos negócios e um plano de recuperação em desastres devem ser adotados para recuperação de operações de apostas se o ambiente de produção do sistema de apostas ou qualquer uma de suas plataformas tornar-se inoperável. A política de continuidade dos negócios e plano de recuperação em desastres devem:

a) direcionar o operador em relação à utilização do método de armazenamento dos dados do apostador e das apostas para minimizar perdas. Se uma replicação síncrona é usada, o método para recuperação dos dados deve ser descrito ou a potencial perda de dados deve ser documentada;

b) delinear as circunstâncias sob as quais serão invocados;

c) direcionar o operador no estabelecimento de uma recuperação local, fisicamente separada do local de produção;

d) conter guias de recuperação detalhando os passos técnicos exigidos para restabelecimento da funcionalidade da aposta na recuperação local; e

e) direcionar o operador em relação ao processo exigido para resumir operações administrativas de atividades de apostas após a ativação do sistema de recuperação para um alcance de cenários apropriados para o contexto operacional do sistema.

Das comunicações

Conectividade

18 - Somente dispositivos autorizados e certificados devem ser permitidos a estabelecer comunicações entre qualquer componente do sistema. O sistema de apostas deve fornecer um método para:

a) inscrever e cancelar a inscrição de componentes do sistema;

b) habilitar e desabilitar componentes específicos do sistema;

c) assegurar que somente os componentes habilitados do sistema, incluindo dispositivos de aposta, participem das operações de apostas; e

d) assegurar que a condição padrão para componentes deve ser "não registrado" e "desabilitada".

Protocolo de comunicação

19 - Cada componente do sistema de apostas deve funcionar conforme indicado por um protocolo de comunicação de segurança documentado, observados os seguintes requisitos:

a) todos os protocolos devem usar técnicas de comunicação que possuam detecção de erros apropriada e mecanismos de recuperação projetados para prevenir invasões, interferência, interceptações e adulterações;

b) todos os dados críticos de comunicação para gerenciamento de conta de apostador ou de apostas devem empregar criptografia e autenticação; e

c) a comunicação na rede segura deve somente ser possível entre componentes aprovados do sistema que tenham sido autenticados como válidos na rede. Comunicações não autorizadas para componentes e pontos de acesso não devem ser permitidas.

Comunicações via internet e redes públicas

20 - Comunicações entre qualquer componente do sistema, incluindo dispositivos de apostas, que ocorrem na internet e/ou em rede pública, devem ser seguras. Dados do apostador, informações sensíveis, apostas, resultados, informações financeiras e informações de transação dos apostadores devem sempre ser criptografadas e protegidas de transmissões incompletas, mau direcionamento, modificação não autorizada de mensagem, divulgação, duplicação ou repetição.

Comunicações via rede sem fio

21 - Comunicações de Rede de Área Local sem Fio Padrão (WLAN) devem ser seguras, e possíveis ameaças e vulnerabilidades direcionadas de acordo com a política de segurança dos dados do operador, devendo haver inspeção e verificação da integridade da WLAN periódicas.

Gerenciamento da segurança de rede

22- As redes devem ser logicamente separadas, de forma que não exista tráfego de rede em um link de rede que não possa ser atendido por hosts nesse link. Os seguintes requisitos se aplicam:

a) as funções de gerenciamento de rede devem autenticar todos os usuários na rede e criptografar todas as comunicações do gerenciamento;

b) a falha de qualquer item único não resultará na negação do serviço;

c) um Sistema de Detecção de Invasão/Sistema de Prevenção de Invasão (IDS/IPS) deve ser instalado na rede, que possa obedecer a ambas as comunicações internas e externas, assim como detectar e prevenir:

I. negação de Serviço Distribuído (DDoS);

II. shellcode de atravessamento da rede;

III. falsificador de Protocolo de Resolução de Endereços (ARP); e

IV. outros indicadores de ataque "Man-In-The-Middle" e cesse as comunicações imediatamente, se detectados;

d) além dos requisitos definidos na alínea (c) do item 22, um IDS/IPS instalado em uma WLAN deve ser capaz de:

I. escanear a rede em busca de pontos de acesso não autorizados ou de dispositivos conectados a qualquer ponto de acesso na rede, pelo menos trimestralmente;

II. desabilitar automaticamente qualquer dispositivo não autorizado conectado ao sistema; e

III. manter um arquivo de log de histórico de todos os acessos sem fio por pelo menos 90 dias, o qual deve conter informações completas e abrangentes sobre todos os dispositivos sem fio envolvidos e ser capaz de ser reconciliado com todos os outros dispositivos de rede dentro do site ou local;

e) o Equipamento de Comunicação de Rede (NCE) deve seguir os seguintes requisitos:

I. ser construído de tal forma a ser resistente a dano físico ao hardware ou corrupção do firmware/software nele contido pelo uso normal;

II. ser fisicamente protegido contra acesso não autorizado;

III. comunicações do sistema via NCE devem ser logicamente protegidas contra acesso não autorizado; e

IV. se o arquivo log de auditoria estiver cheio, o NCE deve desativar toda a comunicação ou descarregar logs para um servidor dedicado;

f) todos os hubs de rede, serviços e portas de conexões devem ser protegidos para evitar acesso não autorizado à rede. Serviços não usados e portas não essenciais devem ser fisicamente bloqueados e desabilitados por software quando possível;

g) em ambientes virtualizados, instâncias de servidores redundantes não devem ser executados no mesmo hipervisor;

h) protocolos sem estado, tais como UDP (Protocolo de Datagrama do Usuário), não devem ser usados para informações sensíveis sem transporte com estado. Embora o HTTP (Protocolo de Transporte de Hipertexto) seja tecnicamente sem estado, se ele for executado no TCP (Protocolo de Controle de Transmissão), que tem estado, será permitido;

i) todas as mudanças de infraestrutura de rede, como configuração de equipamento de comunicação de rede, devem ser registradas em arquivo logs; e

j) scanners de vírus e programas de detecção devem ser instalados em todo o sistema, e serem atualizados regularmente para escanear novos tipos de vírus.

Dos provedores de serviços

Comunicações de terceiros

23 - Quando comunicações com provedores de serviços terceirizados são implementadas, tais como programas de fidelidade do apostador, serviços financeiros, como instituições de pagamento, fornecedores de serviços em nuvem, serviços estatísticos e serviços de verificação de identidade, os seguintes requisitos são aplicáveis:

a) o sistema de apostas e as plataformas de apostas esportivas e de jogos on-line devem ser capazes de se comunicar seguramente com os provedores de serviços terceirizados usando criptografia e forte autenticação;

b) todos os eventos de login envolvendo provedores de serviços terceirizados devem ser registrados em um arquivo de auditoria;

c) a comunicação com provedores de serviços terceirizados não deve interferir ou degradar funções normais do sistema de apostas, observados os seguintes requisitos:

I os dados dos provedores de serviços terceirizados não devem afetar as comunicações dos apostadores;

II. conexões com provedores de serviços terceirizados não devem usar a mesma infraestrutura de rede das conexões do apostador;

III. as apostas devem ser desconectadas em todas as conexões de rede, exceto na rede de apostadores;

IV. o sistema não deve encaminhar pacotes de dados dos provedores de serviços terceirizados diretamente para a rede dos apostadores e vice-versa; e

V. o sistema não deve agir como roteador de IP entre a rede do apostador e os provedores de serviços terceirizados; e

d) todas as transações financeiras devem ser conciliadas com as instituições de pagamento diariamente.

Serviços de terceiros

24 - O operador deve possuir políticas e procedimentos para gerenciar e monitorar sua aderência aos seguintes requisitos de segurança:

a) contratos com prestadores de serviços terceirizados que envolvam o acesso, o processamento, a comunicação ou o gerenciamento do sistema e de seus componentes, ou a adição de produtos ou serviços ao sistema e a seus componentes, devem abranger todos os requisitos de segurança relevantes;

b) serviços, relatórios e registros fornecidos pelos provedores de serviços terceirizados devem ser monitorados e revisados anualmente;

c) alterações no fornecimento de prestadores de serviços terceirizados, incluindo a manutenção e o aprimoramento das políticas, dos procedimentos e dos controles de segurança existentes, devem ser gerenciadas, levando em conta a importância dos sistemas e processos envolvidos e a reavaliação dos riscos; e

d) direitos de acesso dos provedores de serviços terceirizados ao sistema e seus componentes devem ser removidos ao término do contrato ou acordo ou ajuste de alteração.

Dos Controles Técnicos

Requisitos de DNS

25 - Os seguintes requisitos se aplicam aos servidores usados para resolver consultas de Sistema de Nomes de Domínio (DNS) em associação com o sistema de apostas:

a) o operador deve utilizar um servidor DNS primário seguro e um servidor DNS secundário seguro que sejam logica e fisicamente separados um do outro;

b) o servidor DNS primário deve estar fisicamente localizado em uma central de dados segura ou em um host virtualizado em um hipervisor adequadamente seguro ou equivalente;

c) o acesso lógico e físico aos servidores DNS deve ser restrito ao pessoal autorizado;

d) as transferências de zonas para hosts arbitrários não devem ser permitidas;

e) é necessário um método para evitar o envenenamento do cache, como DNSSEC - Extensão de Segurança do DNS;

f) autenticação multifatorial deve estar em vigor; e

g) o bloqueio de registro deve estar em vigor e, portanto, qualquer solicitação de alteração dos servidores DNS precisará ser verificada manualmente.

Controles Criptográficos

26 - Uma política de uso de controles de criptografia deve ser desenvolvida e implementada para proteção da informação, observados os seguintes requisitos:

a) qualquer dado ou informação confidencial deve ser criptografada;

b) dados que não precisam ser ocultos, mas que devem ser autenticados, devem usar alguma técnica de autenticação de mensagens;

c) a autenticação deve usar um certificado de segurança de uma organização aprovada;

d) a classe de criptografia usada deve ser apropriada para a sensibilidade dos dados;

e) o uso de algoritmos de criptografia deve ser revisado periodicamente para verificar se são seguros;

f) alterações nos algoritmos de criptografia para correção de pontos fracos devem ser implementadas assim que possível. Se tais alterações não forem possíveis, o algoritmo deve ser substituído; e

g) as chaves de criptografia devem ser armazenadas em um meio de armazenamento seguro e redundante após serem criptografadas por meio de um método de criptografia diferente ou usando uma chave de criptografia diferente.

Gerenciamento da chave de criptografia

27 - O gerenciamento de chaves de criptografia deve seguir procedimentos que cubram minimamente o seguinte:

a) obtenção ou geração de chaves de criptografia e armazená-las;

b) gerenciamento da expiração das chaves de criptografia, quando aplicável;

c) revogação das chaves de criptografia;

d) alteração de forma segura da configuração da chave de criptografia atual; e

e) recuperação de dados criptografados com uma chave de criptografia revogada ou expirada para um período definido após a chave de criptografia se tornar inválida.

Do acesso remoto e firewalls

Segurança do acesso remoto

28 - Acesso remoto é definido como qualquer acesso de fora do sistema ou da rede do sistema, incluindo o acesso de outras redes dentro do mesmo local. O acesso remoto, se utilizado pelo operador, deve:

a) ser realizado por meio de um método seguro;

b) ter uma opção de ser desabilitado;

c) aceitar somente conexões remotas permitidas pelo aplicativo de firewall e pelas configurações do sistema; e

d) ser limitado a funções necessárias do aplicativo para que o usuário desempenhe seu trabalho, sendo proibido qualquer acesso não autorizado.

Procedimentos do acesso remoto e contas de convidados

29 - Um procedimento para acesso remoto controlado deve ser estabelecido. Um fornecedor pode, mediante autorização do operador, acessar o sistema e seus componentes associados remotamente para apoio ao produto e ao usuário ou atualizações e aprimoramentos. Este acesso remoto deve usar contas de convidados específicas que serão:

a) monitoradas continuamente pelo operador;

b) desabilitadas quando não estiverem em uso; e

c) restringidas através de controles de segurança lógica para acessar somente os aplicativos ou bases de dados necessários para o produto, o suporte ao usuário ou fornecer atualizações e aprimoramentos.

Registro de atividade do acesso remoto

30 - O aplicativo de acesso remoto deve manter um arquivo log de atividade atualizado automaticamente, que retrate todas as informações do acesso, inclusive:

a) identificação dos usuários que desempenham ou autorizam o acesso remoto;

b) endereços IP Remoto, números de portas, protocolos e, quando possível, endereços MAC;

c) data e hora em que a conexão foi feita e sua duração; e

d) atividade enquanto logado, incluindo as áreas específicas acessadas e alterações efetuadas.

Firewalls

31 - Todas as comunicações, incluindo o acesso remoto, devem passar através de, pelo menos, um firewall de nível de aplicação aprovado. Isso inclui conexões de e para qualquer host que não seja do sistema usado pelo operador, observado o seguinte:

a) o firewall deve estar localizado no limite de dois domínios de segurança diferentes;

b) um dispositivo no mesmo domínio de transmissão do host do sistema não deve ter um recurso que permita um caminho de rede alternativo que ultrapasse o firewall;

c) qualquer caminho de rede alternativo existente com o propósito de redundância também deve passar através de, pelo menos, um firewall de nível de aplicação;

d) somente aplicações relacionadas ao firewall podem residir nele;

e) somente um número limitado de contas de usuários pode estar presente no firewall, como administradores de rede ou sistema;

f) o firewall deve rejeitar todas as conexões, exceto aquelas que tenham sido especificamente aprovadas;

g) o firewall deve rejeitar todas as conexões de destinos que não residem na rede das quais as mensagens são originadas; e

h) o firewall só deve permitir o acesso remoto por meio dos protocolos de criptografia mais atualizados.

Registros de auditoria do firewall

32 - O aplicativo de firewall deve manter um arquivo log de auditoria, desabilitar todas as comunicações e gerar um aviso de erro se o arquivo ficar cheio. O arquivo deve conter:

a) data e hora de todos os registros;

b) todas as alterações de configuração do firewall;

c) todas as tentativas de conexão, bem-sucedidas ou não, através do firewall; e

d) fonte e destino de endereços IP remoto, números de portas, protocolos e, quando possível, endereços MAC.

Revisão das regras de firewall

33 - As regras do firewall devem ser periodicamente revisadas para verificação das condições de operação e a efetividade de suas configurações de segurança. Essa revisão deve ser realizada em todo o perímetro dos firewalls e nos firewalls internos.

Do gerenciamento das mudanças

Procedimentos do programa de controle de alterações

34 - Os procedimentos do programa de controle de alterações devem ser adequados para assegurar que somente versões autorizadas dos programas sejam utilizadas no ambiente de produção. Esses controles de alteração devem incluir:

a) um mecanismo ou controle de versão de software adequado para todos os componentes de software e códigos-fonte;

b) registros mantidos de todas as novas instalações e modificações do sistema, incluindo:

I. a data da instalação ou modificação;

II. detalhes do motivo ou natureza da instalação ou alteração, tal como novo software, reparo no servidor, modificações de configuração significativas;

III. uma descrição dos procedimentos exigidos para colocar o componente modificado ou novo em serviço; e

IV. a identidade do usuário que realizou a instalação ou modificação;

c) uma estratégia para reverter para a última implementação - plano de reversão - quando a instalação não for bem-sucedida, incluindo backups completos de versões anteriores do software e um teste do plano de reversão antes da implementação no ambiente de produção;

d) uma política estabelecendo procedimentos de alteração de emergência;

e) procedimentos de teste e migração de alterações;

f) segregação de funções entre desenvolvedores, equipe de certificação de qualidade, equipe de migração e usuários; e

g) procedimentos para assegurar que a documentação técnica e do usuário está atualizada após a alteração.

Ciclo de vida do desenvolvimento do software

35 - A aquisição e o desenvolvimento de um novo software devem observar, no mínimo, o seguinte:

a) o ambiente de produção deve ser lógico e fisicamente separado do desenvolvimento e do ambiente de teste. Quando sistemas em nuvem são usados, não poderão existir conexões diretas entre o ambiente de produção e qualquer outro ambiente;

b) a equipe de desenvolvimento deve ser impedida de ter acesso para promover alterações de código no ambiente de produção;

c) deve haver um método documentado para verificar que um software de teste não está implantado no ambiente de produção;

d) para evitar vazamentos de informações sensíveis, deve haver um método documentado para assegurar que os dados brutos de produção não sejam usados nos testes; e

e) todos os documentos relacionados ao desenvolvimento do software e da aplicação devem estar disponíveis e retidos pela duração do seu ciclo de vida.

Correções de erros

36 - Todas as correções de erro devem ser testadas, sempre que possível, em um ambiente de teste e desenvolvimento configurado de forma idêntica ao ambiente de produção alvo das correções. Sob circunstâncias em que os testes de correção de erros não possam ser cuidadosamente conduzidos a tempo de cumprir os cronogramas para o nível de gravidade do alerta e, se autorizado, o teste de correção de erros deve ser gerenciado por risco, seja isolando ou removendo o componente não testado da rede ou aplicando a correção e o teste após o fato.

Dos testes periódicos de segurança

Testes técnicos de segurança

37 - Testes técnicos periódicos de segurança no ambiente de produção devem ser realizados para garantir que não existam vulnerabilidades que coloquem em risco a segurança e a operação do sistema de apostas e das plataformas de apostas esportivas e de jogos on-line.

38 - Os testes devem consistir em um método de avaliação de segurança por meio de uma simulação de ataque por um terceiro seguindo uma metodologia conhecida, e a análise de vulnerabilidade consistirá na identificação e quantificação passiva do potencial risco do sistema.

39 - Tentativas de acesso não autorizado devem ser realizadas até o nível mais alto possível de acesso e devem ser completadas com ou sem credenciais de autenticação disponíveis, como testes de tipo caixa branca/caixa preta. Isso permite que avaliações sejam feitas em relação aos sistemas de operação e configuração de hardware, incluindo, mas não limitado a:

a) escaneamento de porta UDP/TCP;

b) Stack fingerprint e previsão de sequência TCP para identificar sistemas operacionais e serviços;

c) banner grabbing público;

d) varredura da web usando scanners de vulnerabilidade HTTP e HTTPS; e

e) varredura do roteador usando protocolo de roteamento de BGP (Border Gateway Protocol), o protocolo multicast de roteamento de -BGMP (Border Gateway Multicast Protocol) e o -SNMP (Simple Network Management Protocol).

Avaliação de vulnerabilidade

40 - O propósito da avaliação de vulnerabilidade é identificar vulnerabilidades que poderiam ser exploradas posteriormente durante o teste de penetração, fazendo consultas básicas relacionadas aos serviços executados nos sistemas em questão. A avaliação deve incluir, pelo menos, as seguintes atividades:

a) avaliação de vulnerabilidade externa - Os alvos são dispositivos de rede e servidores acessíveis por terceiros, pessoas naturais ou empresas, por meio de IP público, relacionados ao sistema pelo qual é possível o acesso a informações sensíveis; e

b) avaliação de vulnerabilidade interna - Os alvos são servidores internos relacionados ao sistema pelo qual é possível acessar informações sensíveis. O teste de cada domínio de segurança na rede interna deve ser realizado separadamente.

Teste de penetração

41 - O objetivo do teste de penetração é explorar quaisquer pontos fracos descobertos durante a avaliação de vulnerabilidade em quaisquer aplicativos ou sistemas expostos publicamente que hospedem aplicativos que processem, transmitam e/ou armazenem informações confidenciais. O teste de penetração deve incluir pelo menos as seguintes atividades:

a) teste de penetração da camada de rede - o teste imita as ações de um agressor real que explora pontos fracos na segurança da rede, examinando sistemas em busca de qualquer ponto fraco que possa ser usado por um agressor externo para perturbar a confidencialidade, disponibilidade e/ou integridade da rede; e

b) teste de penetração da camada do aplicativo - o teste usa ferramentas para identificar pontos fracos nos aplicativos com varreduras autenticadas e não autenticadas, análise dos resultados para remover falsos positivos e testes manuais para confirmar os resultados das ferramentas e identificar o impacto dos pontos fracos.

42 - A auditoria do Sistema de Gerenciamento de Segurança da Informação (ISMS) deve ser realizada, incluindo todos os locais onde as informações confidenciais acessadas, processadas, transmitidas e armazenadas. O ISMS será revisado em comparação com os princípios comuns de segurança da informaçãoem relação à confidencialidade, integridade e disponibilidade, tal como as seguintes fontes ou equivalentes:

a) ISO/IEC 27001 Sistema de Gerenciamento de Segurança da Informação (ISMS);

b) Padrões de Segurança de Dados Industriais de Cartão de Pagamento (PCI-DSS); e

c) Padrões de Segurança da Associação Mundial de Loterias (WLA-SCS).

43 - Um operador fazendo uso de provedor de serviço em nuvem (CSP), armazenando, transmitindo ou processando informações sensíveis, deve se submeter a auditoria específica. O CSP será revisado em comparação aos princípios comuns de segurança da informação em relação à provisão e ao uso de serviços em nuvem, tais como ISO/IEC 27017 e ISO/IEC 27018, ou equivalentes, observado o seguinte:

a) se informações sensíveis são armazenadas, processadas ou transmitidas em um ambiente em nuvem, os requisitos apropriados se aplicarão àquele ambiente, e envolverão tipicamente a validação de ambas as infraestruturas CSP e uso do operador daquele ambiente;

b) a alocação de responsabilidade entre o CSP e o operador para gerenciar controles de segurança não isenta o operador da responsabilidade de assegurar que informações sensíveis estejam apropriadamente protegidas, de acordo com os requisitos aplicáveis; e

c) políticas e procedimentos claros devem ser acordados entre o CSP e o operador para todos os requisitos de segurança, e as responsabilidades pela operação, gerenciamento e relatórios devem ser claramente definidas e compreendidas para cada requisito aplicável.

ANEXO V

GLOSSÁRIO

Acesso Não Autorizado - Quando uma pessoa obtém acesso lógico ou físico sem permissão a uma rede, sistema, aplicativo, dados ou outro recurso.

Acesso Remoto - Qualquer acesso de fora do sistema ou da rede do sistema, incluindo qualquer acesso de outras redes dentro do mesmo local.

Administrador do Sistema - Os indivíduos responsáveis por manter a operação estável do Sistema de Apostas, incluindo infraestrutura de software e hardware e software de aplicativo.

Algoritmo - Um conjunto finito de instruções não ambíguas executadas em uma sequência prescrita para atingir um objetivo, especialmente uma regra ou procedimento matemático usado para computar um resultado desejado. Os algoritmos são a base da maior parte da programação de computadores.

Algoritmo de Hash - Função que converte uma cadeia de dados em uma saída de cadeia alfanumérica de comprimento fixo.

Ameaça - Qualquer circunstância ou evento com potencial para afetar negativamente as operações de rede, incluindo missão, funções, imagem ou reputação, ativos ou indivíduos por meio de um sistema via acesso não autorizado, destruição, divulgação, modificação de informações e/ou negação de serviço. Além disso, consiste na possibilidade de uma fonte de ameaça explorar com sucesso uma vulnerabilidade do sistema.

Antivírus - Software usado para prevenir, detectar e remover vírus de computador, inclusive malware, worms e cavalos de Troia.

ARP, Protocolo de Resolução de Endereço - O protocolo usado para traduzir endereços IP em endereços MAC para dar suporte à comunicação em uma rede local com ou sem fio.

Ataque "Man-In-The-Middle" - Um ataque em que o invasor secretamente retransmite e, possivelmente, altera a comunicação entre duas partes que acreditam estar se comunicando diretamente uma com a outra.

Autenticação - Processo de verificação da identidade de um usuário, processo, pacote de software ou dispositivo, geralmente como um pré-requisito para permitir o acesso a recursos em um sistema.

Autenticação de Mensagem - Uma medida de segurança projetada para estabelecer a autenticidade de uma mensagem por meio de um autenticador dentro da transmissão, derivado de certos elementos predeterminados da própria mensagem.

Autenticação Multifatorial - Um tipo de autenticação que usa dois ou mais dos seguintes elementos para verificar a identidade de um usuário: informações conhecidas apenas pelo usuário, como uma senha, um padrão ou respostas a perguntas de desafio; um item possuído por um usuário, como um token eletrônico, um token físico ou um cartão de identificação; dados biométricos de um usuário, como impressões digitais, reconhecimento facial ou de voz.

Backup - Uma cópia de arquivos e programas feita para facilitar recuperação, se necessário.

Banner grabbing - técnica usada para obter informações de um sistema ou serviço de rede, capturando o banner exibido na resposta do servidor.

Biometria - Uma entrada de identificação biológica, tal como impressões digitais ou retina.

Certificado de Segurança - Informações, geralmente armazenadas como um arquivo de texto, que são usadas pelo protocolo TSL (Transport Socket Layers) para estabelecer uma conexão segura. Um certificado de segurança contém informações sobre a quem ele pertence, por quem foi emitido, datas de validade, um número de série exclusivo ou outra identificação exclusiva que pode ser usada para verificar o conteúdo do certificado. Para que uma conexão TSL seja criada, ambos os lados devem ter um Certificado de Segurança válido, que também é chamado de ID Digital.

Código de Barras - Uma representação óptica de dados legível por máquina. Um exemplo é um código de barras encontrado em registros de apostas impressos.

Código Móvel - Código executável que se move de um computador para outro, incluindo tanto o código legítimo quanto o código malicioso, como vírus de computador.

Chave - Valor usado para controlar operações criptográficas, como descriptografia, criptografia, geração ou verificação de assinaturas.

Chave de Criptografia - Uma chave criptográfica que foi criptografada para disfarçar o valor do texto simples subjacente.

Conta do Apostador - Uma conta mantida para um apostador em que as informações relativas a apostas e transações financeiras são registradas em nome do apostador.

Controle de Acesso - Processo de conceder ou negar solicitações para obter e usar informações sensíveis e serviços relacionados específicos de um sistema; e entrar em instalações físicas específicas que hospedam redes críticas ou infraestrutura de sistemas.

Criptografia - A conversão de dados em um formato, chamado de texto cifrado, que não pode ser facilmente compreendida por pessoas não autorizadas.

Dados do Apostador - Informações confidenciais sobre um apostador, que podem incluir itens como nome completo, data de nascimento, local de nascimento, endereço, número de telefone ou outras informações pessoais.

DDoS, Ataque de Negação de Serviço - Tipo de ataque em que vários sistemas comprometidos, geralmente infectados com um software destrutivo, são usados para atingir um único sistema. As vítimas de um ataque DDoS consistem tanto no sistema alvo final quanto em todos os sistemas maliciosamente usados e controlados pelo hacker no ataque distribuído.

Digest - processo no qual um documento, uma mensagem, uma palava-chave ou outro item de dados é condensado em um resumo de tamanho fixo curto.

Dispositivo de Apostas - Um dispositivo eletrônico que converte as comunicações do Sistema de Apostas, da plataforma de apostas esportivas e da plataforma de jogos on-line em uma forma interpretável por humanos e converte decisões humanas em formato de comunicação compreendido pelo Sistema de Apostas e pelas plataformas, permitindo as operações de apostas em quota fixa diretamente pelo apostador. Exemplos de um dispositivo de apostas incluem computador, telefone celular e tablet.

DNS, Domain Name Service - serviço de nomes de domínio - O banco de dados da Internet distribuído globalmente que mapeia nomes de máquinas para números IP e vice-versa.

Domínio - Um grupo de computadores e dispositivos em uma rede que são administrados como uma unidade com regras e procedimentos comuns.

Endereço IP - Endereço de Protocolo de Internet - número atribuído a cada dispositivo, como computador, impressora, smartphone conectado a uma rede de computadores que utiliza o Protocolo de Internet para comunicação. Um endereço IP serve a duas funções principais: identificação de interface de hospedeiro ou de rede e endereçamento de localização.

Envenenamento de Cache - Um ataque em que o invasor insere dados corrompidos no banco de dados de cache do Serviço de Nomes de Domínio - DNS.

Evento - Ocorrência relacionada a esportes, competições, jogos em que as apostas podem ser feitas.

Evento significativo - Ocorrência que possui um potencial de impacto para a operação e que frequentemente leva a consequências e mudanças, como tentativas de acesso mau sucedidas, períodos de inatividade do sistema, grandes apostas, grandes ganhos e mudanças em algum componente crítico do sistema.

Firewall - Um componente de um sistema ou rede de computadores projetado para bloquear o acesso ou tráfego não autorizado e, ao mesmo tempo, permite a comunicação externa.

Geolocalização - Identificação da localização geográfica no mundo real de um dispositivo de apostas remoto conectado à Internet.

Gerenciamento de Chave - Atividades que envolvem o manuseio de chaves criptográficas e outros parâmetros de segurança relacionados, como senhas, durante todo o ciclo de vida das chaves, incluindo sua geração, armazenamento, estabelecimento, entrada e saída, e zeragem.

Hipervisor - Um hipervisor, ou monitor de máquina virtual, é um software, firmware ou hardware que cria e roda máquinas virtuais.

HTTP - Protocolo de Transferência de Hipertexto - O protocolo subjacente usado para definir como as mensagens são formatadas e transmitidas, e quais ações os servidores e navegadores devem executar em resposta a vários comandos.

Integridade dos Dados - A propriedade de que os dados são precisos e consistentes e não foram alterados de maneira não autorizada no armazenamento, durante o processamento e em trânsito.

Internet - Um sistema interconectado de redes que conecta computadores em todo o mundo por meio do protocolo TCP/IP.

IDS/IPS - Sistema de Detecção de Intrusão/Sistema de Prevenção de Intrusão - Um sistema que inspeciona todas as atividades de entrada e saída da rede e identifica padrões suspeitos que podem indicar um ataque à rede ou ao sistema por alguém que tenta invadir ou comprometer um sistema. Usado em segurança de computadores, a detecção de intrusão refere-se ao processo de monitoramento das atividades do computador e da rede e analisar esses eventos para procurar sinais de invasão em seu sistema.

Impressora - Um Dispositivo de Aposta periférico que imprime registros de apostas e instrumentos de aposta.

Informações Sensíveis - Informações como dados do apostador, dados de apostas, números de validação, PINs, senhas, seeds e chaves seguras e outros dados que devem ser tratados de forma segura.

Interface do Usuário - Um aplicativo ou programa de interface por meio do qual o usuário visualiza e interage com o Software de Apostas e com as plataformas de apostas esportivas e de jogos on-line para comunicar suas ações ao Sistema de Apostas.

Jailbreaking - Modificação de um smartphone ou outro dispositivo eletrônico para remover restrições impostas pelo fabricante ou operador para permitir a instalação de software não autorizado.

Leitor de Código de Barras - Um dispositivo capaz de ler ou interpretar um código de barras. Isso pode se estender a alguns smartphones ou outros dispositivos eletrônicos que podem executar um aplicativo para ler um código de barras.

MAC - Código de Autenticação de Mensagem - Código de segurança que pode ser anexado a mensagens ou solicitações enviadas por um usuário com o objetivo de autenticar a mensagem.

Malware - Um programa que é inserido em um sistema, geralmente de forma oculta, com a intenção de comprometer a confidencialidade, a integridade ou a disponibilidade dos dados, aplicativos ou sistema operacional da vítima sistema operacional da vítima ou de incomodar ou perturbar a vítima.

Mecanismo de Física - Software especializado que aproxima as leis da física, incluindo comportamentos como movimento, gravidade, velocidade, aceleração, massa e outros, para os elementos ou objetos de um evento virtual. O mecanismo de física é utilizado para colocar os elementos/objetos do evento virtual no contexto do mundo físico ao renderizar gráficos de computador ou simulações de vídeo.

Mercado - São as diferentes opções que um jogador tem para fazer suas apostas em um jogo ou evento esportivo, como no vencedor de um jogo de futebol.

Método de fallback - Estratégia ou solução alternativa utilizada para lidar com erros ou falhas de sistemas, processos ou interfaces, permitindo que o sistema continue funcionando de maneira adequada.

Modo Demonstração - Um modo de jogo que permite que um apostador participe de apostas sem fazer nenhuma aposta financeira, principalmente com o objetivo de aprender ou entender a mecânica das apostas.

NCE - Equipamento de Comunicação de Rede - Um ou mais dispositivos que controlam a comunicação de dados em um sistema, incluindo, entre outros, cabos, switches, hubs, roteadores, pontos de acesso sem fio e telefones.

PIN - Número de Identificação Pessoal - Um código numérico associado a um indivíduo e que permite o acesso seguro a um domínio, conta, rede ou sistema, por exemplo.

Plano de Contingência - Política e procedimentos de gerenciamento projetados para manter ou restaurar as operações de apostas possivelmente em um local alternativo, no caso de emergências, falhas no sistema ou desastres.

Plano de Recuperação em Desastres - Plano para processar aplicativos essenciais e evitar a perda de dados no caso de uma falha grave de hardware ou software ou destruição das instalações.

Política de Segurança - Um documento que delineia a estrutura de gerenciamento de segurança e atribui claramente responsabilidades de segurança e estabelece a base necessária para medir de forma confiável o progresso e a conformidade.

Porta - Um ponto físico de entrada ou saída de um módulo que fornece acesso a este para sinais físicos, representados por fluxos de informações lógicas.

Programa de Controle Crítico - Um programa de software que controla comportamentos relativos a qualquer norma técnica e/ou requisito regulatório aplicável.

Programa de fidelidade do apostador - Um programa que oferece incentivos aos apostadores com base no volume de jogo ou na receita recebida de um apostador.

Programas Utilitários - Programas utilizados para agregar funcionalidades específicas relacionadas ao gerenciamento de sistemas.

Protocolo - Um conjunto de regras e convenções que especifica a troca de informações entre dispositivos, por meio de uma rede ou outra mídia.

Protocolo de Comunicação e Segurança - Um protocolo de comunicação que fornece a proteção adequada de confidencialidade, autenticação e proteção da integridade do conteúdo.

Protocolo sem estado - Um esquema de comunicação que trata cada solicitação como uma transação independente que não está relacionada a nenhuma solicitação anterior, de modo que a comunicação consiste em pares independentes de solicitações e respostas.

Proxy - Um proxy é um aplicativo que "interrompe" a conexão entre o cliente e o servidor. O proxy aceita determinados tipos de tráfego que entram ou saem de uma rede, processa-o e o encaminha. Isso efetivamente fecha o caminho direto entre as redes interna e externa, tornando mais difícil a obtenção de endereços internos e outros detalhes da rede interna por um invasor.

Rastro de Auditoria - um registro que mostra quem acessou um sistema e quais operações o usuário realizou durante um determinado período.

Registro de Apostas - Um bilhete impresso ou mensagem eletrônica confirmando a aceitação de uma ou mais apostas.

Registro de data e hora - Um registro do valor atual da data e hora do sistema de apostas que é adicionado a uma mensagem no momento em que esta é criada.

Regras de Apostas - Qualquer informação escrita, gráfica e auditiva fornecida ao público com relação a operações de apostas.

Risco - A probabilidade de uma ameaça ser bem-sucedida em seu ataque contra uma rede ou sistema.

RNG - Gerador de Números Aleatórios - Um dispositivo computacional ou físico, algoritmo ou sistema projetado para produzir números de uma maneira indistinguível da seleção aleatória.

RNG Criptográfico - Gerador de números aleatórios - RNG que seja resistente a ataques ou comprometimento por um invasor inteligente com recursos computacionais modernos que tenha conhecimento do código-fonte do RNG e/ou seu algoritmo. Os RNGs criptográficos não podem ser "quebrados" de forma viável para prever valores futuros.

Rooting - Obter acesso à raiz do código do sistema operacional para modificar o código do software no telefone celular ou outro dispositivo de apostas remoto ou instalar software que o fabricante não permitiria que fosse instalado.

Segurança da Informação - Processo de proteção de informações e sistemas de informação contra acesso não autorizado, uso, divulgação, interrupção, modificação ou destruição não autorizados, a fim de proporcionar integridade, confidencialidade e disponibilidade.

Senha - Uma sequência de caracteres - letras, números e outros símbolos - usada para autenticar uma identidade ou para verificar a autorização de acesso.

Servidor - Uma instância de software em execução que é capaz de aceitar solicitações de clientes e o computador que executa esse software. Os servidores operam em uma arquitetura cliente-servidor, na qual "servidores" são programas de computador executados para atender às solicitações de outros programas - "clientes". Nesse caso, o "servidor" seria o Sistema de Apostas em Eventos e os "clientes" seriam os Dispositivos de Apostas.

Shellcode - Um pequeno trecho de código usado como carga útil na exploração da segurança. O shellcode explora vulnerabilidade e permite que um invasor reduza a garantia de informações de um sistema.

Software de Apostas - O software usado para participar de apostas e transações financeiras com o Sistema de Apostas e com as plataformas de apostas esportivas e de jogos on-line que, com base no design, é baixado ou instalado no Dispositivo de Apostas.

Stack fingerprinting - Coleta sistemática de informações sobre um determinado dispositivo remoto para fins de identificação e rastreamento.

TCP/IP - Protocolo de Controle de Transmissão/Protocolo de Internet - É um conjunto de protocolos que possibilita a comunicação entre computadores e servidores.

Touch Screen - Um dispositivo de exibição de vídeo que também atua como um dispositivo de entrada do usuário usando pontos de toque elétricos na tela de exibição.

Vírus - Um programa autorreplicante, normalmente com intenção maliciosa, que é executado e se espalha modificando outros programas ou arquivos.

VPN - Rede Virtual Privada - Rede de comunicações privada construída sobre uma rede de comunicações pública, como a Internet, usando tecnologias de tunelamento e criptografia para manter seguros os dados trafegados.

Vulnerabilidade - Software, hardware ou outros pontos fracos em uma rede ou sistema que podem fornecer uma "porta" para a introdução de uma ameaça.

Wi-Fi - A tecnologia de rede local sem fio - WLAN padrão para conectar computadores e dispositivos eletrônicos entre si e/ou à Internet.