Certificación CCSA
Cómo funciona la certificación: segmentos de aplicación 4, una matriz de aplicabilidad del dominio 8-, niveles 3 y una metodología de evaluación binaria.
CCSA no certifica una organización en general; certifica la protección del material criptográfico dentro de una línea de negocio específica. Un sujeto selecciona los segmentos aplicables (C.1–C.4), determina cuáles de los dominios superpuestos B de 8 son obligatorios y se audita en uno de tres niveles. El resultado se publica en el registro LVCS.
Lógica de certificación
Cuatro segmentos de aplicación
Sección C de la norma. Cada segmento define su propio conjunto de dominios obligatorios y el parámetro utilizado para elegir un nivel.
Organizaciones que mantienen los criptoactivos de los clientes bajo su propia gestión de clave privada.
Segmentos en detalleParámetro de selección de nivel
AUM (< $5M / $5M–$500M / > $500 millones)
Software y dispositivos que brindan a los usuarios autocontrol de sus claves. El sujeto de la certificación es el proveedor o fabricante, no el usuario final.
Segmentos en detalleParámetro de selección de nivel
MAU (< 10K / 10K–1M / > 1M)
Plataformas de negociación (CEX, interfaces DEX, OTC) con respecto a la protección de la infraestructura de custodia de CCM.
Segmentos en detalleParámetro de selección de nivel
Volumen diario (< $1M / $1M–$100M / > $100M)
Emisores de monedas estables, RWA, tokens fiduciarios y tokens de seguridad con respecto a la protección de claves mint/burn.
Segmentos en detalleParámetro de selección de nivel
Capitalización de mercado (< $5M / $5M–$100M / > $100 millones)
Matriz de aplicabilidad (dominios 8 x segmentos 4)
M: obligatorio, R: recomendado. En v0.2 ningún dominio no es aplicable para ningún segmento.
| B.x | C.1 | C.2 | C.3 | C.4 |
|---|---|---|---|---|
| B.1 | M | M | M | M |
| B.2 | M | M | M | M |
| B.3 | M | M | M | M |
| B.4 | M | M | M | M |
| B.5 | M | M | M | M |
| B.6 | M | R | M | R |
| B.7 | M | R | M | M |
| B.8 | M | M | M | M |
M — Obligatorio
R — Recomendado
N/A — No aplicable
Para C.2, se recomiendan los dominios B.6 y B.7 (dicotomía proveedor/dispositivo). Para C.4, se recomienda el dominio B.6 para billeteras orientadas al usuario, pero la firma múltiple para claves mint/burn siempre es obligatoria (B.6.1).
Tres niveles de certificación
L1 Foundation, L2 Standard, L3 Advanced. Metodología completa en la página de Niveles.
L1 — Cimentación: En sitio >= 90%, CC <= 10%. Startups, MVP, pequeño volumen.
En su lugar
>= 90%
CC máximo
<= 10%
No en su lugar
0%
L2 — Estándar: vigente >= 95%, CC <= 5%. VASP regulados, la mayor parte de los participantes.
En su lugar
>= 95%
CC máximo
<= 5%
No en su lugar
0%
L3 — Avanzado: vigente 100% (o <= 2.5% CC con la aprobación del Consejo), CC <= 2.5%. Infraestructura sistémicamente importante.
En su lugar
>= 100%
CC máximo
<= 2.5%
No en su lugar
0%
En todos los niveles, No implementado = 0% entre los requisitos obligatorios y todos los requisitos críticos 8 están implementados mediante el enfoque definido.
Disponibilidad de niveles por segmento (4 x 3)
Qué combinaciones de segmento x nivel se utilizan en la práctica. Todos los 12 están disponibles formalmente, pero algunos tienen una aplicabilidad limitada.
| Segmento | L1 | L2 | L3 |
|---|---|---|---|
C.1 | Pilotos | Convencional | Jugadores sistémicos |
C.2 | Convencional | Requerido por firmas de auditoría | Opcional, raro |
C.3 | Startups, solo piloto | Convencional | Principales intercambios |
C.4 | Pequeños emisores < tope de $5 millones | Media capitalización | Monedas estables sistémicas |
Metodología binaria
Cada requisito aplicable obtiene uno de cinco estados: Implementado, Implementado (personalizado), No implementado, No aplicable, Control compensatorio. No existen escalas numéricas ni estados intermedios: cualquier brecha significa No en su lugar. Consulte la página de Niveles para obtener más detalles.
8 Requisitos críticos
Ocho requisitos están marcados como críticos: el enfoque personalizado no está permitido, la transferencia no se aplica y No implementado en ninguno de ellos significa falla automática independientemente de la proporción general de implementado. Para cuatro (B.1.1, B.1.2, B.5.2, B.7.3) los controles de compensación están totalmente prohibidos; para los otros cuatro (B.2.1, B.3.1, B.4.1, B.8.1) solo se permiten en L1 con la aprobación del Consejo.
Si una organización opera en varios segmentos, se aplican los requisitos obligatorios de todos los segmentos aplicables (su unión). La infraestructura compartida se prueba una vez, se emite un único ROC dividido por segmento y el nivel general es igual al máximo de los niveles por segmento. El traspaso se aplica por requisito, no por segmento.
Lógica de certificación
CCSA no certifica una organización en general; certifica la protección del material criptográfico dentro de una línea de negocio específica. Un sujeto selecciona los segmentos aplicables (C.1–C.4), determina cuáles de los dominios superpuestos B de 8 son obligatorios y se audita en uno de tres niveles. El resultado se publica en el registro LVCS.