Hervé Schlosser – France Pari

Présentation au sujet: "Hervé Schlosser – France Pari"— Transcription de la présentation:

1 Hervé Schlosser – France Pari
Intégrer la sécurité dans un projet à fortes contraintes réglementaires, techniques et calendaires 2ème édition des GS Days Hervé Schlosser – France Pari Anne Mur – EdelWeb

2 Sommaire Présentation de France Pari
Les enjeux liés à la Sécurité du Système d’Information La problématique Les principaux écueils L’intégration de la sécurité dans le projet Les objectifs Les contraintes réglementaires L’architecture fonctionnelle et technique Le dossier de maturité SSI La méthode d’intégration de la sécurité dans le projet Le retour d’expérience

3 Qui est France Pari ? Opérateur français de paris sportifs en ligne
Société indépendante détenue par les dirigeants Trois ambassadeurs Alain Prost Fabien Pelous Frank Leboeuf Propriétaire de sa solution technologique Utilisée pour ses besoins propres Revendue à d’autres opérateurs (JoaGroup) Partenariat avec Keynectis pour vendre la solution à l’étranger Partenariat avec Zeturf pour les paris hippiques

4 Le projet de France Pari

5 Les enjeux liés à la sécurité du SI
Une volonté forte d’être parmi les premiers agréés Préserver l’activité et la pérennité de la société Garantir le respect des exigences de l’ARJEL Garantir la continuité des activités d’opérateur de paris sportifs en ligne Garantir la confidentialité, l’intégrité et la disponibilité de l’information du client (joueur) Limiter les pertes dues à un manquement de sécurité du SI Condamnations, pertes financières, perte de clientèle Préserver la notoriété de France Pari décrets

6 La problématique Les délais La réglementation
Calendrier très serré Un cahier des charges provisoire est sorti 2 mois avant la date de dépôt Les textes définitifs sont sortis le 18 mai 2010 et le dépôt a été fait le 20 mai 2010 La réglementation Des exigences juridiques et financières très fortes Des exigences techniques très contraignantes Les moyens et les compétences Petite structure avec un manque de maturité en SSI Besoin de compétences multiples complémentaires La complexité technique Un système en construction De nombreux acteurs décrets

7 Les principaux écueils
Trouver le bon équilibre Organisation et mode de fonctionnement entre les équipes internes et externes Parler le même langage Répondre au bon niveau aux attentes de l’ARJEL Manque de maturité de certains fournisseurs Obtenir à temps une documentation appropriée des fournisseurs

8 Intégration de la sécurité dans le projet Le dossier de maturité SSI

9 Objectifs de l’opérateur
Disposer d’une plate-forme opérationnelle pour l’ouverture des jeux en ligne Obtenir l’agrément de l’ARJEL

10 Les contraintes règlementaires Lois et décrets
Loi n° du 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne 1° Prévenir le jeu excessif ou pathologique et protéger les mineurs ; 2° Assurer l'intégrité, la fiabilité et la transparence des opérations de jeu ; 3° Prévenir les activités frauduleuses ou criminelles ainsi que le blanchiment de capitaux et le financement du terrorisme ; 4° Veiller au développement équilibré et équitable des différents types de jeu afin d'éviter toute déstabilisation économique des filières concernées. Création d’une autorité de régulation des jeux en ligne Décret n° du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l'Autorité de Régulation des Jeux en Ligne

11 Les contraintes règlementaires Avant ouverture du site
Obtenir l’agrément (déposer un dossier d’agrément) Partie juridique et financière Informations personnelles Informations économiques, financières et comptables Informations relatives au site de jeux en ligne Informations relatives aux opérations de jeux ou de paris en ligne proposées Informations relatives aux comptes joueurs Informations relatives à la lutte contre les activités frauduleuses ou criminelles, Informations relatives à la lutte contre le jeu excessif ou pathologique Prévention des conflits d’intérêts Partie technique Frontal : Capteurs + coffre fort Logiciel de jeu le rapport d’analyse de vulnérabilités le rapport d’analyse du générateur de nombre aléatoire, le cas échéant le rapport d’analyse de la conformité aux règles du jeu les codes sources Plate-forme de jeu Maturité sécurité des systèmes d’information (SSI)

12 Les contraintes règlementaires Après ouverture du site
Six mois après l’ouverture Certification du support matériel d’archivage Un an après l’ouverture Certification sur l’ensemble des obligations légales et réglementaires Actualisation annuelle Tout au long du cycle de vie du système Maintenir le système en condition de sécurité Assurer le suivi et le contrôle Permettre en permanence à l’ARJEL d’accéder aux traces

13 Architecture fonctionnelle et technique
Périmètre technique du Système d’Information les différents modules du frontal l’ensemble des composants, aux niveaux système, réseau et applicatif et, plus généralement, tout système ou application susceptible d’interagir avec les plates-formes de jeux de l’opérateur

14 Le périmètre du dossier technique de maturité SSI
Il doit couvrir la totalité du périmètre du système d’information Les personnes (salariés, joueurs, partenaires, fournisseurs) La plate-forme de jeux Le frontal  Les composants système, réseau et applicatif interagissant avec la plate-forme de jeux  L’ensemble des processus métiers  L’organisation de France Pari (fonctions, rôles et responsabilités)  Les données algorithmes codes source bases de données fichiers marketing documents : savoir-faire de France Pari La documentation

15 La méthode d’intégration de la sécurité dans le projet
Stratégie d’entreprise Contraintes ARJEL Expression des besoins Dossier de maturité SSI Schéma directeur Définition du périmètre Schéma Directeur Code source des logiciels de jeu Dossier de définition Architecture fonctionnelle Architecture technique Document technique du logiciel de jeu Rapport d’analyse de risques Politique de Sécurité SI Note d'organisation Charte d'utilisation des moyens informatique Plan de continuité d'activité Procédures opérationnelles Spécifications fonctionnelles et techniques Analyse technique et fonctionnelle P l a n p r o j e t Analyse de risques Réalisation et tests en pré-production P l a n d e s é c u r i t é Objectifs de sécurité Validation Mise en œuvre Exigences de sécurité Mise en œuvre Evaluation de la sécurité Suivi et contrôle Exploitation Maintien en condition de sécurité Maintien en condition opérationnelle

16 Mesure des écarts et formalisation d’un plan d’action Matrice de conformité des exigences

17 Le contenu du dossier technique de maturité SSI
Bonnes pratiques 27002 Dossier technique de maturité SSI Politique de sécurité Organisation de la SI Gestion des biens Sécurité liée aux RH Sécurité physique et environnementale Gestion de l’exploitation et télécommunications Contrôle d’accès Acquisition, développement et maintenance des SI Gestion des incidents liés à la SSI Gestion du PCA Conformité Analyse de risques SI Politique de Sécurité SI Note d'organisation Charte d'utilisation des moyens informatique Plan de continuité d'activité Procédures opérationnelles classification des données contrôle d'accès politique de durcissement de la sécurité gestion des incidents gestion des prestataires externes gestion des ressources humaines sécurité environnementale … Schéma Directeur Code source des logiciels de jeu Dossier de définition Document d'architecture fonctionnelle Document d'architecture technique Document technique du logiciel de jeu

18 Retour d’expérience Pendant le projet
Nouvel entrant sur le marché Peu d’expérience en SSI Un vrai savoir faire métier et SI Peu de moyens et de ressources Une réactivité importante Une volonté forte d’être dans les premiers agréés Moyens concentrés vers cet objectif Implication forte de toute l’équipe Appel à des experts spécialisés dans les secteurs Finance, Juridique et Technique / sécurité

19 Retour d’expérience Les résultats
Parmi les premiers agréés Plate-forme lancée 10 jours après l’obtention de l’agrément Plate-forme en exploitation : aucun incident de sécurité significatif Pas de perte de disponibilité Pas de perte de données Une acquisition de compétences et de maturité significative

20 Les enjeux actuels et futurs
Conserver l’agrément Maintenir le niveau de service Maintenir la sécurité de la plate-forme Rendre opérationnelles toutes les procédures

21 ?