Казино, букмекерам і лотереям посилюють вимоги до кіберзахисту. Що зміниться

Організаторів азартних ігор та лотерейних операторів в Україні переводять на нові, значно суворіші технічні стандарти кіберзахисту.

Про це стало відомо з наказу № 155 Міністерства цифрової трансформації, яким уряд вперше затвердив єдині галузеві профілі безпеки для IT-систем казино, онлайн-букмекерів та лотерей.

Відтепер увесь ринок зобов’язаний терміново привести свої внутрішні системи та процедури у відповідність до жорстких мінімальних вимог держави, аналізує Liga.net.

Що зміниться для азартних ігор та казино

Найбільше уваги в новому профілі приділено захисту гравців та блокуванню витоків інформації:

• Дані лудоманів – під абсолютним замком: Мінцифра категорично заборонила операторам копіювати, виводити чи зберігати результати пошуку з Реєстру осіб, яким обмежено доступ до гральних закладів. Щойно казино перевірило гравця в базі, усі отримані дані мають бути вичищені із системи не пізніше кінця тієї ж доби.
• Сервери – тільки в Україні: усі бази даних та IT-системи, де зберігається й обробляється інформація гральних закладів, відтепер мають фізично та юридично перебувати виключно в межах України.

Що зміниться для операторів лотерей

Уряд вирішив не робити винятків для лотерейного бізнесу і висунув до нього такі ж жорсткі вимоги:

• Шифрування гаджетів: усі робочі ноутбуки, планшети чи мобільні пристрої працівників, які мають доступ до даних лотерейної організації, мусять бути повністю зашифровані. Якщо працівник загубить гаджет, сторонні особи не зможуть зчитати з нього жодного файла.
• Суворий контроль підрядників: використовувати сторонні IT-системи чи хмарні сервіси дозволено лише після офіційної перевірки їхнього рівня кіберзахисту та підписання договорів про обробку даних.

Спільні правила для всього ринку: від атак до паролів

Для обох секторів впроваджуються єдині часові рамки та технічні стандарти:

Дві години на сповіщення про хакерську атаку: якщо на систему здійснюється кібератака або зафіксовано підозрілу активність, служба безпеки компанії зобов’язана повідомити про це профільні органи протягом двох годин. А реагувати на збої в реєстрації даних аудиту системи мають практично в режимі реального часу.

Сканування та оновлення софту: шукати “дірки” та вразливості у своїх програмах оператори тепер мусять щонайменше раз на 30 днів. Усі свіжі оновлення безпеки та патчі від розробників мають встановлюватися протягом місяця після їхнього виходу.

Кінець легким паролям: мінімальна довжина пароля для працівників тепер становить 12 знаків (з обов’язковим міксом великих і малих літер, цифр та спецсимволів). Міняти паролі потрібно кожні пів року, а двофакторна аутентифікація (2FA) стає обов’язковою для всіх адміністраторів.

Прощання зі звільненими працівниками – за день: якщо працівника звільняють примусово, усі його доступи до систем анулюють того ж дня. У разі добровільного звільнення на це дають максимум п’ять робочих днів.

Автоматичне блокування: робочі комп’ютери мають заблоковуватися вже через 30 хвилин бездіяльності працівника, а віддалені мережеві сесії перериватимуться автоматично після 15 хвилин пасивності.

Документ набере чинності одразу після офіційного опублікування та державної реєстрації в Мін’юсті. Для бізнесу це означатиме додаткові витрати на технічне переоснащення й регулярні аудити, а для гравців – новий рівень захисту від зламу акаунтів та витоку персональних даних.