Standardisoitua toimintaa Veikkauksessa FINAS-päivä 22.1.2013 Tietoturvapäällikkö Jan Seuri Veikkaus Oy
Sisältö 1. Yleistä Veikkauksesta 2. Veikkauksen Turvajärjestelmä 3. Sertifiointeihin liittyvät auditoinnit 4. Pelialan standardit 28.1.2013 Jan Seuri 2
28.1.2013 3
5 faktaa Veikkauksesta 1. Veikkaus tuottaa lähes 10 miljoonaa euroa joka viikko suomalaiselle yhteiskunnalle 2. Veikkauksella on yli 1,4 miljoonaa rekisteröitynyttä asiakasta 3. Lähes 90 prosenttia täysi-ikäisistä suomalaisista on joskus pelannut Veikkauksen pelejä 4. Veikkaus-kortilla saa roppakaupalla etuja ympäri Suomea 5. Lotto on Veikkauksen suosituin peli ennen Kenoa ja Pitkävetoa. 28.1.2013 4
Veikkaus lukuina 2011 Liikevaihto 1 792,7 miljoonaa euroa (+6,1%) Tulos 514 miljoonaa euroa (+2,1%) Opetusministeriölle tuloutettiin Veikkaus-varoja 469,6 miljoonaa euroa Toiminnan kulut 44,4 miljoonaa euroa Veroja maksettiin 104,4 miljoonaa euroa 28.1.2013 5
Veikkaus lukuina 2011 Pelaajille maksettiin voittoja 961 miljoonaa euroa (+8,2%) Valtaosa jättää rivinsä myyntipaikoissa (n. 3 300), kuten kioskeissa, marketeissa ja huoltoasemilla Internet-pelaaminen jatkoi kasvuaan, liikevaihto nousi 538,6 miljoonaan euroon (30%) 28.1.2013 6
Veikkauseuron tie 28.1.2013 7
Turvajärjestelmä 1/2 Veikkauksen Turvajärjestelmä kattaa sekä turvallisuuden että laadun hallintajärjestelmän Turvajärjestelmän sisältö, tavoitteet ja turvamekanismit määräytyvät riskianalyysin pohjalta Maine ja liiketoiminnan jatkuvuus avainasemassa Turvajärjestelmä vs. poikkeuslupamenettely Mitä suojataan suojattavat kohteet Riskin todennäköisyys & vaikutus Suojaustaso suhteessa suojattavan kohteen arvoon 28.1.2013 Jan Seuri 8
Turvajärjestelmä 2/2 Johtoryhmä hyväksyy suojaustoimien jälkeisen jäännösriskin. Tai jos ei hyväksy, niin huolehtii siitä, että on resursseja suojata vielä lisää Hallintajärjestelmän tekeminen tyhjästä ei välttämättä ole vaikeata, mutta työlästä se on Standardin lisääminen olemassa olevaan hallintajärjestelmään on "helppoa" laatu > turvallisuus > tietoturva 28.1.2013 Jan Seuri 9
Auditointeja Laatusertikaatti ISO 9001:2008 & tietoturvasertifikaatti ISO/IEC 27001:2005 puolivuosittain, Inspecta Sertifiointi Oy Turvallisuussertifikaatti WLA-SCS:2012 vuosittain, Det Norske Veritas Sisäinen tarkastus Big4 a Tilintarkastus (IT-tarkastaja) Big4 b Pelijärjestelmän auditoinnit Big4 b Muita auditointeja Big4 c ICT, tietosuoja, jatkuvuus, riskienhallinta.. 28.1.2013 Jan Seuri 10
Sanastoa (vaatimus)standardi on joukko vaatimuksia Akkreditointi on menettely, jolla toimivaltainen elin (Suomessa Finas) muodollisesti toteaa, että jokin taho on pätevä suorittamaan tiettyjä tehtäviä Akkreditoidut tahot, kuten DNV ja Inspecta Sertifiointi Oy, tekevät auditointeja eli tarkastavat, täyttyvätkö standardin vaatimukset Mikäli yritys täyttää vaatimukset, se on oikeutettu saamaan tästä todisteeksi sertifikaatin 28.1.2013 Jan Seuri 11
Auditoinneista Sertifiointi- vs. seuranta-auditointi (3 vuoden sykli) Ohjeisto ja dokumentaatio kunnossa = standardin/standardien mukaista Standardi asettaa minimitason Toiminnan pitää olla dokumentaation mukaista => standardin täyttäminen ei riitä, jos dokumentaatiossa on asetettu vaatimuksia, jotka ylittävät standardin vaatimukset Toiminta todennetaan haastatteluin ja havainnoin sekä tallenteiden avulla 28.1.2013 Jan Seuri 12
Historiaa 1999 WLA-SCS sertifikaatti (Intertoto) 2003 tietoturvasertifikaatti BS7799-2:2002 2005 päivitys WLA-SCS:2003 sertifikaattiin 2006 BS7799-2:2002 ISO/IEC 27001:2005 2008 päivitys WLA-SCS:2006 sertifikaattiin ISO/IEC 27001:2005 scope laajeni samalla, Veikkaus Oy, pääkonttori Veikkaus Oy 2008 laatusertifikaatti ISO 9001:2008 2012 päivitys WLA-SCS:2012 sertifikaattiin 28.1.2013 Jan Seuri 13
Standardin soveltamisalue (scope) ISO-standardeissa scope on valittavissa => vain osa yrityksestä voi olla sertifioitu Sertifikaatissa ko. rajaus on selkeästi ilmaistu Rajaus pitää kertoa selkeästi myös mainonnassa, tarjouksissa jne. WLA-SCS standardissa scope ei ole valittavissa Scope = kaikki rahapelitoiminnot ~koko yritys Kun ISO/IEC 27001 sertifikaattia käytetään WLA-SCS sertifikaatin hankinnassa, niin silloin senkään scope ei ole valittavissa 28.1.2013 Jan Seuri 14
Prosesseihin perustuvan laadunhallintajärjestelmän malli 28.1.2013 Jan Seuri 15
Tietoturvastandardin PDCA-malli 28.1.2013 Jan Seuri 16
Laatupalkintokilpailu Veikkaus on osallistunut kaksi kertaa Vuonna 2007 Veikkaus ei päässyt finaaliin, mutta Laatukeskus myönsi Veikkaukselle 4 tähden Recognised for Excellence tunnustuksen Vuoden 2007 dokumentaatiota käytettiin täysimääräisesti hyödyksi ISO 9001 laatusertifikaatin hankinnassa 11.11.2010 Veikkaus voitti Laatupalkintokilpailun Lisäksi Veikkaukselle myönnettiin Laatukeskuksen 5 tähden Recognised for Excellence-tunnustus 28.1.2013 Jan Seuri 17
EL:n vastuullisuusstandardin kymmenen osa-aluetta 1. Tutkimustoiminta 2. Henkilöstön vastuullisuuskoulutus ja informointi 3. Asiamiesten ja pelimyyjien vastuullisuuskoulutus ja informointi 4. Vastuullisuus tuotekehitysprosessissa 5. Sidosryhmäyhteistyö 6. Pelaamisen sähköiset kanavat 7. Mainonta ja markkinointi 8. Peliongelmasta ja sen hoidosta tiedottaminen 9. Pelaajien tiedottaminen ja ohjeistus 10. Vastuullisuusraportointi 28.1.2013 Jan Seuri 18
Rahapeliyhtiöiden turvallisuusstandardi WLA-SCS:2012 General Security and Integrity Requirements ISO/IEC 27001 Compliance Scope of the ISMS Statement of Applicability WLA Basic Control Objectives and Controls o Organization of security o Human resources security o Physical and environmental security o Access control to gaming systems o Information systems maintenance o Business continuity management Lottery Specific Security and Integrity Requirements Instant tickets Lottery draws Retailer security Prize money protection Sales staff and customer services Internet sales and interactive services Sports betting 28.1.2013 Jan Seuri 19
Rahapeliyhtiöiden turvallisuusstandardi WLA-SCS:2012 WLA: World Lottery Association Yli 80 maan peliyhtiöt kuudelta eri mantereelta WLA-SCS: WLA Security Control Standard 52 sertifioitua peliyhtiötä kuudelta eri mantereelta WLA SRMC: WLA Security and Risk Management Committee 18 asiantuntijaa kuudelta eri mantereelta tärkein tehtävä on kehittää ja levittää standardia myös akkreditointielin - 11 akkreditoitua yritystä 28.1.2013 Jan Seuri 20
KIITOKSIA! KYSYMYKSIÄ? jan.seuri(at)veikkaus.fi 28.1.2013 Jan Seuri 21