AWS 安全能力与博彩游戏行业标准对齐指南（第一部分）

博彩与游戏行业处于技术领域监管最为严格的环境之一。游戏运营商和供应商必须证明其符合严格的技术标准，其中许多标准引用了Gaming Laboratories International (GLI)发布的标准。该行业最广泛引用的GLI标准是GLI-19（互动游戏系统）和GLI-33（赛事投注系统），它们为平台安全、数据完整性、玩家保护和运营透明度建立了技术基准。

对客户而言，挑战不在于是否实施健全的安全措施，而在于如何高效利用 AWS 服务来实现。本文介绍了如何利用 Amazon Web Services (AWS) 的安全最佳实践，结合 AWS 安全改进计划 (SIP) 和 AWS 架构良好实践框架中的安全支柱，帮助运营商加强云安全态势，特别是在受监管行业（包括真钱游戏）中常见的领域。这是两篇文章系列的第一部分，涵盖基础安全能力。

重要提示：本文档中的描述旨在作为通用能力概述。本文档中的任何内容均不构成监管、法律或合规建议。客户全权负责确定 AWS 服务如何（或是否）满足其特定的监管义务。AWS 共享责任模型定义了 AWS 与其客户之间的安全责任划分。AWS 负责云本身的安全（物理基础设施、硬件、网络和托管服务组件），而客户则负责云中的数据、访问管理、应用配置和合规义务。使用 AWS 服务并不会自动使您的用例符合合规要求。本文档中描述的控件代表在 AWS 共享责任模型下 AWS 客户的责任。您的合规状态取决于您如何为自身用例配置和使用 AWS 服务。

GLI 标准概述

GLI-19（互动游戏系统）是 iCasino、在线扑克和 iLottery 平台的全球基准。GLI-19 定义了九个领域的技术要求：架构、信息安全、玩家账户管理、随机数生成 (RNG) 完整性、地理位置定位、加密通信、审计与报告、负责任博彩以及变更管理。

GLI-33（赛事投注系统 v1.1）涵盖 20 个领域和 66 项控制措施，涉及在线和移动体育投注平台。这些控制措施包括架构、信息安全、地理位置定位、了解你的客户 (KYC)、负责任投注、财务控制、反欺诈监控、数据源完整性、变更控制以及独立认证。

GLI 还发布了《游戏安全框架（GLI-GSF）》，这是一套信息安全审计套件（GSF-1 至 GSF-5），涵盖控制措施、技术评估、供应商审计以及线下和在线环境。GLI-GSF 与 CIS 原则高度一致。

GLI-19 和 GLI-33 都共享与 AWS 安全改进计划（SIP）五大支柱相关的安全主题，如 AWS re:Post 上关于 SIP 的文章中所述。这些支柱包括：

身份与访问管理
检测与监控
基础设施保护
数据保护
事件响应

以下部分介绍了如何配置 AWS 服务以支持您的安全目标。此内容反映了截至出版日期普遍可用的 AWS 功能，仅供参考。

信息安全与数据保护

安全主题：全面的安全管理、静态和传输中的加密、定期安全评估以及个人身份信息（PII）保护。

AWS 功能：

AWS 密钥管理服务 (AWS KMS) 使用客户管理的密钥，在数据存储中强制执行默认加密，并提供对轮换策略和访问策略的完全控制。
Amazon Macie 在 Amazon Simple Storage Service (Amazon S3) 存储桶中提供持续、自动的个人身份信息（PII）发现功能。
AWS CloudHSM 为需要联邦信息处理标准（FIPS）140-2 Level 3 硬件验证加密的工作负载提供相关支持。
AWS Security Hub 将符合 CIS 和 NIST 标准的合规包聚合的安全发现结果整合为一个跨账户的安全态势统一视图。
Amazon Inspector 提供自动化、持续漏洞扫描功能。

身份与访问管理

安全主题：多因素认证（MFA）、了解你的客户（KYC）验证、基于角色的访问控制（RBAC）、会话超时控制以及职责分离。

AWS 功能：

Amazon Cognito 威胁保护提供自适应多因素认证（MFA）、受损凭据检测以及基于风险的认证挑战。如果你需要为你的游戏平台实施 KYC 验证，可以使用 Amazon API Gateway 集成你选择的第三方 KYC 提供商。AWS 不提供、认证或管理 KYC 解决方案。任何 KYC 解决方案的选择、集成以及相关监管合规性均由你全权负责。
AWS Identity and Access Management (IAM) 权限边界和 AWS Organizations 服务控制策略（SCPs）可实现最小权限执行以及生产环境与管理员环境之间的功能隔离。
基于属性的访问控制（ABAC）使用联合会话标签，按司法管辖区动态限定工程师的访问范围，而无需角色膨胀。
IAM Access Analyzer 可识别非预期的资源共享。

审计跟踪与日志记录

安全主题：所有交易的完整、防篡改审计跟踪，时间同步的日志，按监管机构规定的期限保留日志（通常为5–7年），以及向监管机构提供审计数据访问权限。

AWS 功能：

AWS CloudTrail 记录所有 AWS 区域中的全部 API 活动，并通过日志文件完整性验证生成可通过密码学验证的审计记录。
Amazon S3 Object Lock 在合规模式（一次写入多次读取）下可防止在配置的保留期内删除或修改日志数据。
集中式日志归档账户（AWS 安全参考架构的一部分），配合通过专用安全账户管理的 AWS KMS 加密，可防止运维团队修改审计数据。
Amazon Time Sync Service 提供对交易排序至关重要的亚毫秒级精度。
Amazon CloudWatch 指标过滤器和告警能够检测特定的 API 模式。

网络安全与基础设施保护

安全主题：所有组件之间的加密通信、网络分段、入侵检测、分布式拒绝服务（DDoS）防护以及安全的远程访问。

AWS 功能：

Amazon Virtual Private Cloud (Amazon VPC) 支持多层网络架构，将工作负载分布在公共子网、私有子网和隔离子网中。
AWS Shield Advanced 提供分布式拒绝服务（DDoS）防护，并可随时访问 Shield Response Team，这在需求高峰期对于增强保护至关重要。
Amazon GuardDuty 提供跨账户的持续威胁检测，AWS WAF 提供开放全球应用安全项目 (OWASP) 规则、速率限制和机器人控制。
AWS Direct Connect 配合 MACsec 加密为使用 AWS Outposts 的环境提供专用加密网络连接。
AWS Lambda 可驱动自动化的威胁响应，例如由日志异常检测触发的 AWS WAF IP 拒绝列表更新。

多账户策略

多账户结构（AWS 安全参考架构的一部分）是 AWS 针对跨多个监管环境运营的客户的一项最佳实践，无论其所属行业如何。至少应为生产、预发布、QA、日志归档和安全工具使用单独的账户。您可以根据运营和合规要求进一步细分生产账户；例如，您可以按业务部门、地理区域或工作负载分类来划分账户。

AWS Organizations SCP（服务控制策略）可以帮助实施预防性护栏，无论成员账户中的 IAM 权限如何，这些护栏均统一适用。示例包括禁止在已批准的 AWS 区域之外创建资源，或防止禁用 CloudTrail。这种结构有助于将安全事件限制在单个账户内，并保持审计证据可独立验证。

第二部分继续

本系列的第2部分涵盖针对游戏的具体控制和弹性措施，包括地理位置和司法管辖区合规性、随机数生成、负责任的游戏与反欺诈、变更管理与事件响应以及灾难恢复，并附带推荐的入门序列。

免责声明：本文提供的是通用架构指导，不构成法律、监管或合规建议。文中所述的 AWS 服务是面向所有行业客户提供的通用功能。本文档中的任何内容均不应被解释为 AWS 对任何服务、配置或架构模式满足任何监管要求、认证标准或法律义务的声明。

客户须自行评估并履行其自身的合规与监管义务，包括咨询其法律顾问、持牌游戏供应商以及所在司法管辖区的相关监管机构。