{"id":3036,"date":"2026-10-05T11:10:14","date_gmt":"2026-10-05T11:10:14","guid":{"rendered":"https:\/\/whitelotto.com\/?p=3036"},"modified":"2026-10-06T00:17:17","modified_gmt":"2026-10-06T00:17:17","slug":"seguridad-pruebas-sla-plataforma-loteria","status":"publish","type":"post","link":"https:\/\/whitelotto.com\/es\/seguridad-pruebas-sla-plataforma-loteria\/","title":{"rendered":"Lista de pruebas, seguridad, certificaci\u00f3n y SLA de plataformas de loter\u00eda"},"content":{"rendered":"
\n

Una lista de seguridad y disponibilidad de una plataforma de loter\u00eda debe vincular cada requisito con una prueba, un responsable que responda por \u00e9l y evidencias de la versi\u00f3n que operar\u00e1.<\/strong> Empiece por el producto previsto, los requisitos aplicables, los acuerdos de pago y el contrato. Encargue el trabajo independiente con antelaci\u00f3n suficiente para corregir hallazgos y repetir las pruebas. Despu\u00e9s negocie niveles de servicio medibles para todo el recorrido del cliente, no solo para un servidor que responde a una comprobaci\u00f3n de estado.<\/p>\n

Los informes de RNG, las pruebas de penetraci\u00f3n, los certificados y los compromisos de disponibilidad responden a preguntas distintas. Ninguno sustituye a los dem\u00e1s. Utilice la lista de evaluaci\u00f3n de proveedores<\/a> para comparar propuestas y descargue WhiteLotto Operator Decision Pack (XLSX) (archivo en ingl\u00e9s)<\/a> para registrar requisitos, carencias de pruebas y decisiones.<\/p>\n

Separe pruebas, certificaci\u00f3n y garant\u00edas operativas<\/h2>\n

Cree una matriz de requisitos: obligaci\u00f3n y fuente, componente, versi\u00f3n, entorno, norma exigida, evaluador admisible, requisito previo, entregable y responsable de aceptaci\u00f3n. Identifique qu\u00e9 cubren las pruebas del proveedor y qu\u00e9 sigue siendo espec\u00edfico de su despliegue. El control de calidad interno apoya este trabajo, pero no sustituye la evaluaci\u00f3n independiente exigida.<\/p>\n

\n\n\n\n\n\n\n\n\n\n
Distintos alcances de evaluaci\u00f3n requieren distintas pruebas<\/caption>\n
Alcance<\/th>\nPreguntas que comprobar<\/th>\nPruebas que solicitar<\/th>\n<\/tr>\n<\/thead>\n
Juego y RNG<\/th>\nD\u00f3nde se utiliza la aleatoriedad: generador, correspondencias, reglas del juego y gesti\u00f3n de resultados.<\/td>\nInforme que identifique componentes probados, versiones, m\u00e9todos y exclusiones.<\/td>\n<\/tr>\n
Plataforma e integraciones<\/th>\nAceptaci\u00f3n de boletos, cierre de ventas, solicitudes duplicadas, liquidaci\u00f3n, incorporaci\u00f3n de resultados y conciliaci\u00f3n.<\/td>\nResultados de pruebas del sistema para las integraciones configuradas y los casos de fallo.<\/td>\n<\/tr>\n
Ciberseguridad<\/th>\nAutenticaci\u00f3n, acceso privilegiado, API, configuraci\u00f3n, vulnerabilidades y gesti\u00f3n de incidentes.<\/td>\nEvaluaci\u00f3n con alcance definido, registro de hallazgos y pruebas independientes de reevaluaci\u00f3n.<\/td>\n<\/tr>\n
Seguridad de pagos<\/th>\nFlujos de datos de tarjetas, sistemas que afectan a esos flujos y reparto de responsabilidades.<\/td>\nAlcance PCI confirmado y pruebas de validaci\u00f3n aplicables.<\/td>\n<\/tr>\n
Operaci\u00f3n del servicio<\/th>\nDisponibilidad, recuperaci\u00f3n, escalada de soporte e integridad de transacciones.<\/td>\nDefiniciones del SLA, pruebas de monitorizaci\u00f3n y resultados de ejercicios de recuperaci\u00f3n.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

El cat\u00e1logo de normas GLI<\/a> distingue las normas de evaluaci\u00f3n de juegos y seguridad. Una entrada en el cat\u00e1logo no demuestra que un producto concreto est\u00e9 certificado. Confirme la norma exacta y las pruebas aceptadas para su requisito; no suponga que un certificado cubre toda configuraci\u00f3n o uso.<\/p>\n

Seleccione proveedores independientes antes de la ventana de lanzamiento<\/h2>\n

Compruebe competencia pertinente, acreditaci\u00f3n o reconocimiento cuando sean necesarios, independencia, conflictos, subcontratistas y disponibilidad. La presentaci\u00f3n de un laboratorio no acredita su admisibilidad ni garantiza la aceptaci\u00f3n de su informe. Acuerde por escrito alcance, m\u00e9todos, exclusiones, materiales de entrada, confidencialidad, uso permitido de las conclusiones, tarifas de repetici\u00f3n de pruebas y entregables.<\/p>\n

En materia de pagos, PCI SSC describe PCI DSS<\/a> como protecci\u00f3n de datos de cuentas de pago, incluidas entidades que podr\u00edan afectar al entorno de datos de titulares de tarjetas. No equipare externalizar el pago con carecer de responsabilidades. Mapee los flujos reales de datos y confirme el alcance y la v\u00eda de validaci\u00f3n aplicables con la contraparte de pagos pertinente y un evaluador cualificado.<\/p>\n

Mantenga los resultados de pruebas vinculados a la versi\u00f3n desplegada<\/h2>\n

Ingenier\u00eda debe mantener un manifiesto de versi\u00f3n que incluya identificadores o hashes de compilaci\u00f3n, dependencias, configuraci\u00f3n, infraestructura, juegos e integraciones. Registre el entorno de pruebas y explique las diferencias con producci\u00f3n. D\u00e9 a los evaluadores acceso limitado en el tiempo y registrado; minimice los datos y utilice canales seguros de transferencia aprobados.<\/p>\n

El registro de pruebas debe vincular cada hallazgo con la versi\u00f3n afectada, gravedad, responsable, acci\u00f3n correctiva, control temporal, repetici\u00f3n de pruebas y decisi\u00f3n de cierre. Conserve de forma segura informes y hallazgos adversos, tambi\u00e9n en los res\u00famenes para direcci\u00f3n. Seguridad responde de la correcci\u00f3n t\u00e9cnica; cumplimiento comprueba la cobertura de requisitos; gesti\u00f3n de versiones comprueba que el despliegue coincida con las pruebas. Identifique qui\u00e9n puede aceptar el riesgo residual sin anular un requisito externo.<\/p>\n

Un hallazgo cr\u00edtico cerca del lanzamiento<\/h3>\n

Si una prueba de penetraci\u00f3n revela acceso a cuentas privilegiadas, a\u00edsle el entorno afectado, eval\u00fae la exposici\u00f3n e implique a los responsables de seguridad, ingenier\u00eda, cumplimiento y asuntos jur\u00eddicos. Corrija la causa ra\u00edz y examine los componentes relacionados. Obtenga pruebas de reevaluaci\u00f3n independiente; no reduzca la gravedad para proteger la fecha. Retrase o limite el lanzamiento si no pueden cumplirse las condiciones de aceptaci\u00f3n autorizadas.<\/p>\n

Reserve tiempo para dudas de alcance, correcciones y repetici\u00f3n de pruebas, no solo para la evaluaci\u00f3n inicial. Un cambio posterior en una biblioteca de autenticaci\u00f3n puede afectar a sesiones, permisos y notificaciones de pago: eval\u00fae su impacto y pregunte a los especialistas pertinentes si se necesitan pruebas espec\u00edficas o m\u00e1s amplias.<\/p>\n

Convierta las afirmaciones de disponibilidad en un SLA operativo<\/h2>\n

Un SLA es una definici\u00f3n contractual, no una certificaci\u00f3n. Especifique los recorridos cubiertos, periodos de medici\u00f3n, ubicaciones de monitorizaci\u00f3n, c\u00e1lculo y exclusiones. La disponibilidad suele calcularse como tiempo computable menos inactividad contabilizada, dividido por el tiempo computable. En un periodo ilustrativo de 30 d\u00edas, el 99,9 % permite 43,2 minutos de inactividad contabilizada. Ese porcentaje dice poco sobre un fallo justo antes del cierre de ventas de boletos.<\/p>\n

\n\n\n\n\n\n\n\n\n\n
Preguntas del SLA que resolver antes de firmar<\/caption>\n
Tema<\/th>\nPregunte al proveedor<\/th>\n<\/tr>\n<\/thead>\n
Servicio cubierto<\/th>\n\u00bfIncluye la disponibilidad el inicio de sesi\u00f3n, la confirmaci\u00f3n de boletos, las API y el acceso al \u00e1rea de gesti\u00f3n? \u00bfC\u00f3mo se contabilizan los fallos parciales?<\/td>\n<\/tr>\n
Dependencias y exclusiones<\/th>\n\u00bfC\u00f3mo se clasifican los fallos de pagos o de la fuente de sorteos? \u00bfQu\u00e9 aviso y l\u00edmites se aplican al mantenimiento?<\/td>\n<\/tr>\n
Respuesta a incidentes<\/th>\n\u00bfQu\u00e9 gravedad activa la escalada permanente? \u00bfSon objetivos separados la confirmaci\u00f3n de recepci\u00f3n, las actualizaciones y la restauraci\u00f3n?<\/td>\n<\/tr>\n
Recuperaci\u00f3n<\/th>\n\u00bfCu\u00e1les son los RTO y RPO propuestos para cada servicio cr\u00edtico? \u00bfQu\u00e9 ejercicio los demuestra?<\/td>\n<\/tr>\n
Pruebas y compensaciones<\/th>\n\u00bfQui\u00e9n recibe las mediciones y los informes de incidentes? \u00bfC\u00f3mo se gestionan disputas, abonos y incumplimientos repetidos?<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

El objetivo de tiempo de recuperaci\u00f3n (RTO) es el tiempo objetivo para restaurar el servicio; el objetivo de punto de recuperaci\u00f3n (RPO) es el l\u00edmite objetivo de p\u00e9rdida de datos medido en tiempo. Un calendario de copias de seguridad, por s\u00ed solo, no demuestra ninguno. Solicite tiempos de recuperaci\u00f3n observados, puntos de datos restaurados, requisitos previos y excepciones. Estas cifras son ejemplos de adquisici\u00f3n, no compromisos de servicio de WhiteLotto. Incluya responsabilidades de pruebas y recuperaci\u00f3n en su comparaci\u00f3n de precios del software<\/a>.<\/p>\n

Pruebe fallos y restauraci\u00f3n, no solo tr\u00e1fico normal<\/h2>\n

Se pierde la confirmaci\u00f3n del boleto<\/h3>\n

Un cliente env\u00eda un pedido, pero la respuesta agota el tiempo de espera. Compruebe si un reintento reutiliza la identidad de la solicitud, consulta el estado y evita duplicar el boleto o el cobro. Registre la transacci\u00f3n aceptada, la decisi\u00f3n de cierre de ventas y el resultado de conciliaci\u00f3n. Una p\u00e1gina de inicio que responde no debe ocultar un recorrido de compra averiado.<\/p>\n

La restauraci\u00f3n de la base de datos funciona, pero los registros no coinciden<\/h3>\n

Utilice un ejercicio aislado y autorizado para restaurar registros y comparar pedidos, referencias de pago, saldos y estados de boletos. Compruebe eventos ausentes o duplicados, reproducci\u00f3n de integraciones, continuidad de auditor\u00eda y trabajo en cola. Verifique que las claves y dependencias est\u00e9n disponibles sin revelar secretos. Acuerde qui\u00e9n concilia las discrepancias antes de reabrir ventas; no cree transacciones reales de clientes para el ejercicio.<\/p>\n

Re\u00fana el paquete de pruebas para el lanzamiento<\/h2>\n