CCSA ضد PCI DSS / CCSS
جسر تحكم-ID: حيث CCSA يعادل PCI DSS وCCSS، حيث يغطيان مطلبًا جزئيًا فقط، وما يضيفه CCSA في الأعلى.
مسودة v0.2 -> v1.0. عرضة للتغيير قبل 2027-01-01.
لماذا هذه المقارنة مهمة
السؤال الأول الذي يطرحه المدقق أو المشتري هو "كيف يختلف CCSA عما لدينا بالفعل؟" يفكر المدققون في معرفات التحكم، لذا فإن الجدول أدناه يمثل جسرًا لمستوى التحكم: يتم تعيين كل متطلبات CCSA إلى PCI وDSS وعنصر تحكم CCSS بواسطة أرقامهم الخاصة.
يجيب الجدول على ثلاثة أسئلة عملية: ما الذي يغطيه التدقيق الحالي وينقله بالفعل، وما يتم تغطيته جزئيًا فقط ويحتاج إلى اختبار إضافي، وما يضيفه CCSA بالكامل - الضوابط التي لا يتناولها أي معيار.
CCSA لا يكرر PCI DSS وCCSS - فهو يعتمد عليهما كخط أساسي: يتم ترحيل الضوابط المتداخلة، ويركز التقييم على تفاصيل التشفير.
Section A — CCSA v0.2
نطاق المقارنة
PCI DSS هو معيار أمان بيانات بطاقة الدفع. يتم التعيين عن طريق القياس: تعد عناصر التحكم في إدارة المفاتيح والوصول والتسجيل والاستجابة ذات صلة، ولكن تفاصيل التشفير (المحافظ، على السلسلة، الاحتفال) غائبة عن PCI DSS.
CCSS هو معيار أمان خاص بالتشفير وأقرب خط أساس. هناك المزيد من التداخل في إدارة المفاتيح والمحافظ، لكن نطاق CCSS يختلف: إثبات الاحتياطي (CCSS Domain 9) خارج نطاق CCSA، ولم يتم إضفاء الطابع الرسمي على جرد المواد وتصنيفها في CCSS.
التعيين ضد PCI DSS v4.0.1 و CCSS v8.0. يعد هذا إسقاطًا توضيحيًا لمجموعة البيانات المرحل الحالية إلى عرض "مقابل"، وليس بيان اعتراف رسمي من PCI SSC أو اللجنة التوجيهية CCSS.
كيفية قراءة العلاقات
مكافئ — يحتوي المعيار على تحكم مماثل؛ يتم ترحيل المتطلبات عند استيفاء شروط الترحيل.
جزئي — يغطي المعيار المتطلبات جزئيًا فقط؛ هناك حاجة إلى اختبار CCSA إضافي.
الفجوة — المعيار لا يتناول هذا المطلب.
CCSA فقط — يتم إضافة الشرط بالكامل؛ لا يوجد نظير. إنه أحد المتطلبات الحاسمة ولا يتم ترحيله أبدًا.
التحكم-ID الجسر
كل صف هو متطلب CCSA ونظيره التحكم في PCI DSS و CCSS. تظهر العلاقة حسب المعيار. يتم تمييز المتطلبات الحرجة بنجمة ويتم اختبارها بالكامل بغض النظر عن خط الأساس.
التصفية حسب المجال
المتطلبات الموضحة: 28
| CCSA | PCI DSS v4.0.1 | علاقة PCI | CCSS v8.0 | علاقة CCSS | ملحوظة |
|---|---|---|---|---|---|
B.1.1 | Req 9.5.1 — analogy | CCSA فقط | — | ثغرة | يتطلب تصنيف A–F وتفاصيل CCM تقييم CCSA كاملاً. |
B.1.2 | Req 1.4 (CDE) — analogy | CCSA فقط | — | ثغرة | CME هو نظير مفاهيمي لـ PCI DSS CDE. |
B.2.1 | Req 3.6.1 | CCSA فقط | CCSS 1. Key/Seed Generation | CCSA فقط | يتطلب CCSA إنتروبيا يمكن التحقق منها (FIPS 140-3 Level 3 / NIST SP 800-90A)؛ يعالج CCSS مصدر الإنتروبيا ولكن بدون عتبة CCSA. |
B.2.2 | Req 1.4 — analogy | ثغرة | CCSS 1. Key/Seed Generation | يعادل | عزل البيئة والجيل مغطى بـ CCSS؛ PCI DSS ليس له مثيل. |
B.2.3 | — | ثغرة | CCSS 1. Key/Seed Generation | يعادل | تم توثيق بروتوكول الحفل في CCSS؛ غائب عن PCI DSS. |
B.3.1 | Req 3.5 | CCSA فقط | CCSS 3. Key Storage | CCSA فقط | CCSA يتطلب HSM / MPC / Secure Enclave مع شهادة صريحة؛ تتطلب PCI DSS وCCSS حماية للتخزين ولكن بدون حد آلية CCSA. |
B.3.2 | Req 3.5.1 | يعادل | — | ثغرة | AEAD متوافق مع التشفير القوي PCI (Req 3.5.1). |
B.3.3 | — | ثغرة | — | ثغرة | التصنيف الساخن/الدافئ/البارد خاص بالعملات المشفرة؛ لا PCI DSS ولا CCSS يصف ذلك. |
B.3.4 | Req 12.10.1 | جزئي | — | ثغرة | فحوصات إضافية: MEK الخاصة بالنسخ الاحتياطي والتوزيع الجغرافي أعلى PCI Req 12.10.1. |
B.4.1 | Req 3.6.7 | CCSA فقط | CCSS 4. Key Usage | CCSA فقط | يعمل CCSA على تحسين استخدام المفاتيح من خلال حدود موثوقة؛ يغطي CCSS التوقيع المدعوم بالأجهزة. |
B.4.2 | Req 7 | جزئي | CCSS 4. Key Usage | يعادل | PCI يقيد الوصول حسب الحاجة إلى المعرفة؛ يقوم CCSA وCCSS بتعيين عتبات التحكم المزدوج. |
B.4.3 | Req 8 | جزئي | — | ثغرة | 2FA عند عملية التوقيع، ليس فقط عند تسجيل الدخول؛ لا يوجد تناظرية مباشرة لـ CCSS. |
B.4.4 | Req 7, Req 8 | يعادل | — | ثغرة | PAM مع MFA مغطى بالكامل بـ PCI DSS Req 7 و Req 8. |
B.5.1 | Req 3.6.4 | يعادل | CCSS 6. Keyholder Grant/Revoke | يعادل | إيقاع دوران CCSA أكثر صرامة من أو يساوي PCI "سنويًا على الأقل"؛ يغطي CCSS الدوران. |
B.5.2 | Req 12.10 | CCSA فقط | CCSS 5. Key Compromise Policy | CCSA فقط | CCSA تحدد اتفاقيات مستوى الخدمة الخاصة بالإلغاء حسب نوع الحدث؛ تصف PCI وCCSS الاستجابة بدون اتفاقيات مستوى الخدمة هذه. |
B.5.3 | Req 12.10 | جزئي | CCSS 5. Key Compromise Policy | يعادل | يتم تغطية الاسترداد بواسطة CCSS؛ جزئيًا في PCI DSS عبر Req 12.10. |
B.5.4 | Req 3.7 | يعادل | CCSS 8. Data Sanitization Policy | يعادل | تطابق المحو المشفر والتخلص المعتمد من PCI Req 3.7 و CCSS Domain 8. |
B.6.1 | — | ثغرة | CCSS 2. Wallet Creation | يعادل | التوقيع المتعدد خاص بالتشفير؛ تمت تغطيتها بواسطة إنشاء المحفظة CCSS، غائبة عن PCI DSS. |
B.6.3 | Req 1.4 — analogy | جزئي | CCSS 2. Wallet Creation | يعادل | عزل ساخن/دافئ/بارد عن طريق القياس مع تجزئة CDE؛ يغطيها CCSS مباشرة. |
B.6.4 | — | ثغرة | — | ثغرة | أقفال وقت السحب خاصة بالعملات المشفرة؛ لا PCI DSS ولا CCSS يصفهم. |
B.7.1 | Req 10 | يعادل | CCSS 10. Audit Logs | يعادل | تسجيل شامل مع الاحتفاظ بمطابقات سجلات التدقيق PCI Req 10 وCCSS. |
B.7.2 | Req 10.4 | جزئي | — | ثغرة | يتطلب CCSA الكشف الآلي مع التنبيه وSLA أعلى PCI Req 10.4. |
B.7.3 | Req 10.2 — analogy | CCSA فقط | CCSS 7. Third-Party Audits — analogy | CCSA فقط | تسوية سجلات التوقيع <-> على السلسلة خاصة بالتشفير؛ تقييم CCSA الكامل. |
B.7.4 | Req 12.10 | يعادل | CCSS 5. Key Compromise Policy | يعادل | دليل قواعد اللعبة الموثق مع إشعار المنظم يتطابق مع PCI Req 12.10 وCCSS Domain 5. |
B.8.1 | Req 12.7 | CCSA فقط | — | ثغرة | يتطلب CCSA فحصًا محسنًا لحاملي المفاتيح بما يتجاوز PCI Req 12.7. |
B.8.2 | Req 7 | يعادل | — | ثغرة | RBAC مع مطابقة اكتشاف التعارض PCI Req 7. |
B.8.3 | Req 12.6, Req 12.7 | جزئي | CCSS 6. Keyholder Grant/Revoke | يعادل | يتطلب CCSA تدريبًا خاصًا بالعملات المشفرة؛ يغطي CCSS إعداد حامل المفاتيح. |
B.8.4 | Req 12.7 | جزئي | CCSS 6. Keyholder Grant/Revoke | يعادل | CCSA يضبط SLA ويؤدي إلى التدوير عند الخروج؛ يغطي CCSS إبطال حامل المفاتيح. |
ما يضيفه CCSA إلى ما هو أبعد من PCI DSS وCCSS
المتطلبات الحاسمة الثمانية هي جوهر CCSA الذي لا يوجد خط أساسي يغطيه بالكامل. وهي لا يتم ترحيلها مطلقًا، ويتم اختبارها بموجب النهج المحدد، وأربعة منها لا تسمح بضوابط التعويض على الإطلاق.
مخزون كامل من مواد التشفير
المتطلبات الحرجةB.1.1 — حساب جميع المواد الرئيسية ذات التصنيف A–F. يقدم PCI DSS تشبيهًا فقط (جرد الوسائط، Req 9.5.1)؛ CCSS ليس لديه مخزون رسمي.
التصنيف حسب فئة الأهمية
المتطلبات الحرجةB.1.2 - تحديد مواد التشفير المهمة باعتبارها نظيرًا لـ CDE. لا PCI DSS ولا CCSS يصف مثل هذا التصنيف لمواد التشفير.
توليد المفاتيح مع إنتروبيا يمكن التحقق منها
المتطلبات الحرجةB.2.1 — مصدر إنتروبيا يمكن التحقق منه (FIPS 140-3 Level 3 / NIST SP 800-90A). إنشاء عناوين PCI وCCSS ولكن بدون حد إلزامي يمكن التحقق منه.
تخزين مواد التشفير المهمة في HSM / MPC / Secure Enclave
المتطلبات الحرجةB.3.1 — تخزين إلزامي مدعوم بالأجهزة مع شهادة آلية صريحة. تتطلب PCI وCCSS حماية للتخزين ولكن لا تحدد آلية معتمدة محددة.
التحكم في الوصول والترخيص لعمليات التشفير
المتطلبات الحرجةB.4.1 — استخدام المفتاح فقط داخل حدود موثوقة. يصف PCI الاستخدام والوصول بشكل عام؛ يقوم CCSA بتثبيت الحدود لكل عملية توقيع.
إلغاء المفتاح الآمن والتدوير بواسطة SLA
المتطلبات الحرجةB.5.2 — اتفاقيات مستوى الخدمة الخاصة بالإلغاء اعتمادًا على نوع حدث التسوية. يصف PCI وCCSS الاستجابة ولكن لا يحددان مواعيد نهائية قابلة للقياس للإلغاء.
كشف التسوية والمصالحة على السلسلة
المتطلبات الحرجةB.7.3 — التوفيق بين سجلات التوقيع والحالة الموجودة على السلسلة في وضع المشاهدة فقط. هذا عنصر تحكم خاص بالتشفير موجود في PCI DSS ولا CCSS.
الفصل بين الواجبات ومراقبة دخول الأفراد
المتطلبات الحرجةB.8.1 — فحص معزز لحاملي المفاتيح والفصل الصارم بين الواجبات. يقوم PCI بتعيين فحص الموظفين (Req 12.7) بشكل عام، دون متطلبات محسنة لحامل المفاتيح.
طبقات تخزين ساخن/دافئ/بارد
تحكم خاص بالتشفيرB.3.3 — الفصل المعماري لتخزين المفاتيح الساخنة والدافئة والباردة. تحكم هيكلي في التشفير بدون وجود نظير في PCI DSS أو CCSS.
أقفال زمنية للسحب
تحكم خاص بالتشفيرB.6.4 — الأقفال الزمنية والعتبات لعمليات السحب. عنصر تحكم في بنية المحفظة خاص بالعملات المشفرة غائب عن كلا المعيارين.
ما يعطيه هذا للمراجع والمشتري
يتم ترحيل عناصر التحكم المتداخلة من عمليات تدقيق PCI DSS وCCSS الحالية، ويركز التقييم على المتطلبات الحرجة الثمانية وتفاصيل التشفير. وهذا يقلل من العمل الجديد دون خفض المستوى.
إذا كنت تمتلك بالفعل تدقيقًا صالحًا على PCI DSS أو CCSS - فابدأ بضوابط الترحيل ووجه جهدك إلى المتطلبات الحاسمة الثمانية.
يتم ترحيل السيطرة بمجرد استيفاء شروط الترحيل (صلاحية التقرير، مطابقة النطاق، التحقق من الصحة). راجع صفحة الترحيل ورسم الخرائط للحصول على التفاصيل.
جاهز للانتقال من المقارنة إلى الإعداد
قم بإجراء التقييم الذاتي للاستعداد أو استكشف مصفوفة الترحيل الكاملة عبر خمسة خطوط أساسية.
يقوم المجلس بالرد خلال أيام عمل 5.