Hervé Schlosser – France Pari Intégrer la sécurité dans un projet à fortes contraintes réglementaires, techniques et calendaires 2ème édition des GS Days Hervé Schlosser – France Pari Anne Mur – EdelWeb

Sommaire Présentation de France Pari Les enjeux liés à la Sécurité du Système d’Information La problématique Les principaux écueils L’intégration de la sécurité dans le projet Les objectifs Les contraintes réglementaires L’architecture fonctionnelle et technique Le dossier de maturité SSI La méthode d’intégration de la sécurité dans le projet Le retour d’expérience

Qui est France Pari ? Opérateur français de paris sportifs en ligne Société indépendante détenue par les dirigeants Trois ambassadeurs Alain Prost Fabien Pelous Frank Leboeuf Propriétaire de sa solution technologique Utilisée pour ses besoins propres Revendue à d’autres opérateurs (JoaGroup) Partenariat avec Keynectis pour vendre la solution à l’étranger Partenariat avec Zeturf pour les paris hippiques

Le projet de France Pari

Les enjeux liés à la sécurité du SI Une volonté forte d’être parmi les premiers agréés Préserver l’activité et la pérennité de la société Garantir le respect des exigences de l’ARJEL Garantir la continuité des activités d’opérateur de paris sportifs en ligne Garantir la confidentialité, l’intégrité et la disponibilité de l’information du client (joueur) Limiter les pertes dues à un manquement de sécurité du SI Condamnations, pertes financières, perte de clientèle Préserver la notoriété de France Pari décrets

La problématique Les délais La réglementation Calendrier très serré Un cahier des charges provisoire est sorti 2 mois avant la date de dépôt Les textes définitifs sont sortis le 18 mai 2010 et le dépôt a été fait le 20 mai 2010 La réglementation Des exigences juridiques et financières très fortes Des exigences techniques très contraignantes Les moyens et les compétences Petite structure avec un manque de maturité en SSI Besoin de compétences multiples complémentaires La complexité technique Un système en construction De nombreux acteurs décrets

Les principaux écueils Trouver le bon équilibre Organisation et mode de fonctionnement entre les équipes internes et externes Parler le même langage Répondre au bon niveau aux attentes de l’ARJEL Manque de maturité de certains fournisseurs Obtenir à temps une documentation appropriée des fournisseurs

Intégration de la sécurité dans le projet Le dossier de maturité SSI

Objectifs de l’opérateur Disposer d’une plate-forme opérationnelle pour l’ouverture des jeux en ligne Obtenir l’agrément de l’ARJEL

Les contraintes règlementaires Lois et décrets Loi n° 2010-476 du 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne 1° Prévenir le jeu excessif ou pathologique et protéger les mineurs ; 2° Assurer l'intégrité, la fiabilité et la transparence des opérations de jeu ; 3° Prévenir les activités frauduleuses ou criminelles ainsi que le blanchiment de capitaux et le financement du terrorisme ; 4° Veiller au développement équilibré et équitable des différents types de jeu afin d'éviter toute déstabilisation économique des filières concernées. Création d’une autorité de régulation des jeux en ligne Décret n° 2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l'Autorité de Régulation des Jeux en Ligne

Les contraintes règlementaires Avant ouverture du site Obtenir l’agrément (déposer un dossier d’agrément) Partie juridique et financière Informations personnelles Informations économiques, financières et comptables Informations relatives au site de jeux en ligne Informations relatives aux opérations de jeux ou de paris en ligne proposées Informations relatives aux comptes joueurs Informations relatives à la lutte contre les activités frauduleuses ou criminelles, Informations relatives à la lutte contre le jeu excessif ou pathologique Prévention des conflits d’intérêts Partie technique Frontal : Capteurs + coffre fort Logiciel de jeu le rapport d’analyse de vulnérabilités le rapport d’analyse du générateur de nombre aléatoire, le cas échéant le rapport d’analyse de la conformité aux règles du jeu les codes sources Plate-forme de jeu Maturité sécurité des systèmes d’information (SSI)

Les contraintes règlementaires Après ouverture du site Six mois après l’ouverture Certification du support matériel d’archivage Un an après l’ouverture Certification sur l’ensemble des obligations légales et réglementaires Actualisation annuelle Tout au long du cycle de vie du système Maintenir le système en condition de sécurité Assurer le suivi et le contrôle Permettre en permanence à l’ARJEL d’accéder aux traces

Architecture fonctionnelle et technique Périmètre technique du Système d’Information les différents modules du frontal l’ensemble des composants, aux niveaux système, réseau et applicatif et, plus généralement, tout système ou application susceptible d’interagir avec les plates-formes de jeux de l’opérateur

Le périmètre du dossier technique de maturité SSI Il doit couvrir la totalité du périmètre du système d’information Les personnes (salariés, joueurs, partenaires, fournisseurs) La plate-forme de jeux Le frontal  Les composants système, réseau et applicatif interagissant avec la plate-forme de jeux  L’ensemble des processus métiers  L’organisation de France Pari (fonctions, rôles et responsabilités)  Les données algorithmes codes source bases de données fichiers marketing documents : savoir-faire de France Pari La documentation

La méthode d’intégration de la sécurité dans le projet Stratégie d’entreprise Contraintes ARJEL Expression des besoins Dossier de maturité SSI Schéma directeur Définition du périmètre Schéma Directeur Code source des logiciels de jeu Dossier de définition Architecture fonctionnelle Architecture technique Document technique du logiciel de jeu Rapport d’analyse de risques Politique de Sécurité SI Note d'organisation Charte d'utilisation des moyens informatique Plan de continuité d'activité Procédures opérationnelles Spécifications fonctionnelles et techniques Analyse technique et fonctionnelle P l a n p r o j e t Analyse de risques Réalisation et tests en pré-production P l a n d e s é c u r i t é Objectifs de sécurité Validation Mise en œuvre Exigences de sécurité Mise en œuvre Evaluation de la sécurité Suivi et contrôle Exploitation Maintien en condition de sécurité Maintien en condition opérationnelle

Mesure des écarts et formalisation d’un plan d’action Matrice de conformité des exigences

Le contenu du dossier technique de maturité SSI Bonnes pratiques 27002 Dossier technique de maturité SSI Politique de sécurité Organisation de la SI Gestion des biens Sécurité liée aux RH Sécurité physique et environnementale Gestion de l’exploitation et télécommunications Contrôle d’accès Acquisition, développement et maintenance des SI Gestion des incidents liés à la SSI Gestion du PCA Conformité Analyse de risques SI Politique de Sécurité SI Note d'organisation Charte d'utilisation des moyens informatique Plan de continuité d'activité Procédures opérationnelles classification des données contrôle d'accès politique de durcissement de la sécurité gestion des incidents gestion des prestataires externes gestion des ressources humaines sécurité environnementale … Schéma Directeur Code source des logiciels de jeu Dossier de définition Document d'architecture fonctionnelle Document d'architecture technique Document technique du logiciel de jeu

Retour d’expérience Pendant le projet Nouvel entrant sur le marché Peu d’expérience en SSI Un vrai savoir faire métier et SI Peu de moyens et de ressources Une réactivité importante Une volonté forte d’être dans les premiers agréés Moyens concentrés vers cet objectif Implication forte de toute l’équipe Appel à des experts spécialisés dans les secteurs Finance, Juridique et Technique / sécurité

Retour d’expérience Les résultats Parmi les premiers agréés Plate-forme lancée 10 jours après l’obtention de l’agrément Plate-forme en exploitation : aucun incident de sécurité significatif Pas de perte de disponibilité Pas de perte de données Une acquisition de compétences et de maturité significative

Les enjeux actuels et futurs Conserver l’agrément Maintenir le niveau de service Maintenir la sécurité de la plate-forme Rendre opérationnelles toutes les procédures

?