跳到正文
AWS for Games · 游戏技术与运营· 一手来源· Sirinda Glasgow·· 3 小时前AI 评分6

AWS 安全能力与博彩游戏行业标准对齐指南（第2部分）

Aligning AWS security capabilities with standards and security frameworks for the Betting and Gaming industry – Part 2

正文 · AI 翻译

在本系列第1部分中，我们介绍了如何通过使用AWS安全改进计划（SIP）和AWS Well-Architected Framework的安全支柱来遵循AWS安全最佳实践，帮助博彩和游戏运营商加强基础云安全性，涵盖信息安全、身份与访问管理、审计与日志记录、网络安全以及多账户策略。第2部分转向针对游戏行业的特定控制措施和韧性：地理位置定位、随机数生成、负责任游戏与反欺诈、变更管理以及灾难恢复。

重要提示：本文档中的描述旨在作为通用能力的概述。本文档中的任何内容均不构成监管、法律或合规建议。客户全权负责确定 AWS 服务如何（或是否）满足其特定的监管义务。AWS 共享责任模型定义了 Amazon Web Services (AWS) 与其客户之间安全责任的分担。AWS 负责云本身的安全（物理基础设施、硬件、网络和托管服务组件），而客户负责云内部的安全（数据、访问管理、应用程序配置和合规义务）。使用 AWS 服务并不会自动使您的用例符合合规要求。本文档中描述的控件代表了在 AWS 共享责任模型下 AWS 客户的责任。您的合规状况取决于您如何为自身用例配置和使用 AWS 服务。

GLI 标准概述

GLI-19（互动游戏系统）是 iCasino、在线扑克和 iLottery 平台的全球基准。GLI-19 定义了九个领域的技术要求：架构、信息安全、玩家账户管理、随机数生成 (RNG) 完整性、地理位置定位、加密通信、审计与报告、负责任博彩以及变更管理。

GLI-33（赛事投注系统 v1.1）涵盖 20 个领域和 66 项控制措施，涉及在线和移动体育投注平台。这些控制措施包括架构、信息安全、地理位置定位、了解你的客户 (KYC)、负责任投注、财务控制、反欺诈监控、数据源完整性、变更控制以及独立认证。

GLI 还发布了《游戏安全框架（GLI-GSF）》，这是一套信息安全审计套件（GSF-1 至 GSF-5），涵盖控制措施、技术评估、供应商审计以及线下和在线环境。GLI-GSF 与 CIS 原则高度一致。

GLI-19 和 GLI-33 都共享与 AWS 安全改进计划（SIP）五大支柱相关的安全主题，如 AWS re:Post 上关于 SIP 的文章 中所述。这些支柱包括：

  • 身份与访问管理
  • 检测与监控
  • 基础设施保护
  • 数据保护
  • 事件响应

以下部分介绍了如何配置 AWS 服务以支持您的安全目标。此内容反映了截至出版日期时普遍可用的 AWS 功能，仅供参考。

地理位置和司法管辖区合规性

安全主题：在会话开始时及定期验证玩家位置，采用多因素地理定位（GPS、Wi-Fi、IP、基站），使用认证供应商，并针对特定司法管辖区确保数据驻留。

AWS 功能：AWS 提供您可以在实施自己的地理定位合规策略时使用的基础设施功能。您可以使用 AWS Outposts 来指定数据处理的地缘边界。Amazon API Gateway 提供与您选择的第三方提供商的连接。您可以使用 AWS Control Tower 护栏，将资源配置限制在特定的 AWS 区域，作为您自身合规计划的一部分。

地理位置验证——包括供应商选择、认证、实施和持续合规——完全由您自行负责。AWS 不提供、设计或为游戏合规目的认证地理位置解决方案。您应直接与监管机构及持牌地理位置供应商合作，以确定合适的架构。

随机数生成

安全主题：具有硬件熵源（用于为加密算法提供种子的高质量随机性来源）且与其他组件隔离的统计上不可预测、经独立认证的随机数生成（RNG）。

AWS 能力：AWS 不设计、构建、认证或提供用于游戏的随机数生成器（RNG）解决方案。如果您需要用于受监管游戏的 RNG，您必须与持牌游戏供应商和独立测试实验室合作。AWS 提供通用可用的加密服务，各行业客户将其用于多种目的，包括：

  • AWS KMS GenerateRandom API – 有助于提供由硬件熵源支持的密码学安全随机字节生成；以及
  • AWS CloudHSM – 有助于提供通过 FIPS 140-2 Level 3 验证的硬件安全模块。

这些通用服务是否以及如何作为游戏 RNG 架构的一部分使用，完全由您（或您的持牌游戏供应商）自行决定。任何针对游戏的 RNG 实现、测试、认证以及持续的合规性，均由您和您的认证供应商全权负责。

负责任博彩与反欺诈

安全主题：自我排除集成、存款/亏损/时间限制、现实检查、串通检测以及异常投注模式监控。

AWS 能力：为了构建负责任博彩和反欺诈系统，您可以使用 AWS 提供的通用分析和机器学习服务，作为在您自定义架构内的基础设施组件。相关服务包括：

负责任游戏控制措施（包括自我排除列表集成、存款和损失限额、完整性监控以及串通检测）的设计、实施和监管合规性完全由您自行负责。AWS 不负责设计或提供受监管的游戏解决方案，不确定合规要求，也不就如何满足监管义务提供建议。您应咨询自己的法律顾问和监管机构，以确定适用于您所在司法管辖区的适当控制措施。

变更管理和事件响应

安全主题：在生产更改前通知监管机构、重新测试与审批、版本跟踪、回滚能力、记录在案的事件响应（IR）程序、取证保全，以及及时向监管机构报告事件。

AWS 功能：

灾难恢复

安全主题：记录在案的业务连续性计划、系统冗余、定义恢复时间目标（RTO）和恢复点目标（RPO）、故障转移测试，以及在不丢失关键玩家数据或交易完整性的情况下恢复运营的能力。

AWS 功能：

综上所述，第1部分涵盖的四个能力领域与本文介绍的五个领域共同构成了一个全面的防护态势，并与AWS运营最佳实践保持一致。有效实施需要设计良好的账户结构，以支持隔离、集中式审计和可扩展的治理，如第1部分所述。

入门指南

以下活动序列代表推荐的起点。您应根据自身环境和需求进行调整。

  1. 参与安全改进计划（SIP）：联系您的 AWS 技术客户经理以启动 SIP 评估。此参与有助于根据您的环境对 200 项安全最佳实践进行基线化，并生成一个优先行动计划，包含近期可实施的改进（可在数天内实现）和战略性改进。
  2. 基础控制措施：作为安全基线，请优先启用 CloudTrail、GuardDuty、默认加密、多账户结构、AWS Config 合规性包以及 AWS Control Tower。这些服务有助于提供检测性和预防性控制措施，通常可以在安全改进计划的头 30 天内部署完成。
  3. 客户确定的控制措施：与您的法律顾问、持牌博彩供应商和监管机构合作，识别并实施特定司法管辖区要求的任何其他控制措施。AWS 通用服务作为您架构中的基础设施组件。
  4. 持续合规性：建立持续的 AWS Security Hub 评分、AWS Config 漂移检测、定期安全评估、事件响应模拟以及每 6–12 个月进行一次的可重复 SIP 审查。监管和技术环境在不断演变，持续遵守需要持续的监控。

结论

通过 SIP 和 Well-Architected 安全支柱实施 AWS 安全最佳实践，您可以构建支持更广泛安全和运营目标的架构，这些目标通过自动化和主动态势管理来实现。这种方法可以在不同司法管辖区扩展，而无需重复行政复杂性。

关键在于将监管合规性视为一种持续性的纪律，而不是一个一次性认证事件，并将其嵌入到您的云架构中。您全权负责确定并满足您的监管合规义务，包括获得必要的认证和批准。AWS 不提供合规建议，也不对使用任何 AWS 服务是否满足监管要求做出任何声明。

监管环境持续演变，新的司法管辖区正在扩大在线投注范围，而现有司法管辖区则在收紧技术要求。在这种环境下，采用云原生方式构建安全和基础设施可以帮助您专注于核心业务，同时保持坚实的安全基础。要开始实施，请联系您的 AWS 账户团队或技术客户经理（TAM），以启动针对您监管要求的 SIP 参与和 Well-Architected 安全支柱审查。

其他资源

免责声明：本文提供的是通用架构指导，不构成法律、监管或合规建议。文中描述的 AWS 服务是面向所有行业客户提供的通用功能。本文档中的任何内容均不应被解释为 AWS 对任何服务、配置或架构模式满足任何监管要求、认证标准或法律义务的声明。

客户需自行评估并履行其合规与监管义务，包括咨询其法律顾问、持牌游戏供应商及其所在司法管辖区的相关监管机构。

来源：AWS for Games · 游戏技术与运营 · aws.amazon.com

Microsoft / Copilot游戏测试教程实践#教程/实践#游戏测试#安全/对齐#Microsoft