Niveles de certificación
Tres niveles: L1 Foundation, L2 Standard, L3 Advanced y una metodología de evaluación binaria sin puntuación numérica.
CCSA define tres niveles de certificación. Un nivel no es una puntuación; registra la proporción de requisitos aplicables que se cumplen: cuanto mayor es el nivel, mayor es el índice In Place requerido y menor es la proporción permitida de controles compensatorios. En todos los niveles, entre los requisitos obligatorios No vigentes se encuentra el 0%, y todos los requisitos críticos 8 deben cumplirse mediante el enfoque definido.
Umbrales de nivel
Requisitos mínimos por nivel. Fuente: Sección D de la norma.
Fundación
Nivel 1 — Fundación
Nivel de cumplimiento básico para activos en etapa inicial y pequeños bajo administración.
Relación in situ / Máximo CC
Relación in situ >= 90%
Control compensador <= 10%
No implementado = 0%
Requisitos críticos
Todos los requisitos críticos de 8 implementados mediante el enfoque definido
Recomendado
Startups, MVP, pilotos y proyectos pequeños: AUM o capitalización de mercado inferior a $5 millones (C.1, C.3, C.4) o menos de 10,000 MAU (C.2)
Fundación CCSA
Los controles compensadores están aprobados por el CCSAC.
Estándar
Nivel 2 — Estándar
El principal nivel de trabajo para los participantes del mercado regulado.
Relación in situ / Máximo CC
Relación in situ >= 95%
Control compensador <= 5%
No implementado = 0%
Requisitos críticos
Todos los requisitos críticos de 8 implementados mediante el enfoque definido
Recomendado
Exchanges maduros, billeteras con una base grande (10K–1M MAU), la mayoría de los custodios y emisores ($5M–$500M AUM); el nivel mínimo requerido para VASP regulados
Estándar CCSA
Los controles de compensación son aprobados por el CCSAC con revisión por pares de otro CCSAC.
Avanzado
Nivel 3 — Avanzado
Un nivel mejorado para infraestructura de importancia sistémica.
Relación in situ / Máximo CC
Proporción in situ 100% (o <= 2.5% CC con la aprobación obligatoria del director del consejo QA)
Control compensador <= 2.5%
No implementado = 0%
Requisitos críticos
Todos los requisitos críticos de 8 implementados mediante el enfoque definido
Recomendado
Actores sistémicamente importantes (principales intercambios 10, los custodios más grandes), VASP regulados en jurisdicciones estrictas, grandes emisores de monedas estables (capitalización de mercado > $100 millones)
CCSA Avanzado
Los controles compensatorios son aprobados por el Director General del Consejo QA.
| Nivel | Relación in situ | Máximo CC | No en su lugar | Requisitos críticos |
|---|---|---|---|---|
| L1 | Relación in situ >= 90% | Control compensador <= 10% | 0% | Todos los requisitos críticos de 8 implementados mediante el enfoque definido |
| L2 | Relación in situ >= 95% | Control compensador <= 5% | 0% | Todos los requisitos críticos de 8 implementados mediante el enfoque definido |
| L3 | Proporción in situ 100% (o <= 2.5% CC con la aprobación obligatoria del director del consejo QA) | Control compensador <= 2.5% | 0% | Todos los requisitos críticos de 8 implementados mediante el enfoque definido |
Metodología de evaluación binaria
Un CCSA-QSA asigna a cada requisito aplicable uno de cinco estados. No se utilizan escalas numéricas (puntajes 5-, promedios ponderados). No existe ningún estado intermedio ("Parcialmente implementado", "50% implementado"): cualquier brecha significa No implementado.
En vigor: cumplimiento total mediante el enfoque definido; Todos los procedimientos de prueba pasan sin resultados.
Implementado con un enfoque personalizado: el auditor cumple y verifica el objetivo del enfoque personalizado.
No implementado: no implementado o con brechas críticas.
No aplicable: fuera del alcance según las Notas de aplicabilidad y la matriz de segmentos (requiere justificación en ROC).
Control compensatorio: una medida de protección alternativa; Se pasa el procedimiento CC.
A diferencia de PCI DSS, CCSA no tiene el estado "No probado".
Cómo se calcula el cumplimiento
Relación In Place = (In Place + In Place con Personalizado) / requisitos obligatorios aplicables
Relación CC = número de Controles Compensadores / requisitos obligatorios aplicables
La certificación en el nivel L se otorga si: Relación vigente >= umbral(L) AND Relación CC <= límite(L) AND No implementado = 0 AND todos los requisitos críticos 8 implementados.
Límites de control compensatorio y aprobación
Participación máxima de CC de requisitos obligatorios y autoridad de aprobación por nivel.
| Nivel | Max CC de obligatorio | Autoridad de aprobación |
|---|---|---|
| L1 | Control compensador <= 10% | CCSAC |
| L2 | Control compensador <= 5% | CCSAC + revisión por pares realizada por otro CCSAC |
| L3 | Control compensador <= 2.5% | Director del Consejo QA |
CC está totalmente prohibido para B.1.1, B.1.2, B.5.2, B.7.3. CC está restringido (solo L1, con la aprobación del Consejo) para B.2.1, B.3.1, B.4.1, B.8.1.
Ciclos de reevaluación
Anualmente se realiza una auditoría completa en todos los niveles. Se ha eliminado el ciclo de dos años de los primeros borradores.
| Nivel | Auditoría completa | Controles provisionales |
|---|---|---|
| L1 | Anualmente se realiza una auditoría completa en todos los niveles. | Auditoría completa anualmente; SAQ interino cada mes 6 (SAQ-1 en el mes 6, SAQ-2 en el mes 12 del ciclo). |
| L2 | Anualmente se realiza una auditoría completa en todos los niveles. | Auditoría completa anualmente; el ROC se presenta al Consejo para su revisión QA (% de muestreo 10 de las certificaciones L2 por año); revisión trimestral de cumplimiento con el CCSAC y revisión de registros de detección de incidentes de seguridad. |
| L3 | Anualmente se realiza una auditoría completa en todos los niveles. | Auditoría completa anualmente; revisiones no programadas del Consejo (% de muestreo aleatorio 100 de certificaciones L3 por año); seguimiento continuo, revisión trimestral y revisión de registros; vuelva a realizar la auditoría a más tardar 90 días antes de que caduque el certificado. |
Marca de certificación
Después de pasar la auditoría, una organización recibe la calificación de su nivel y figura en el registro LVCS.
Marca de certificación
CCSA define tres niveles de certificación. Un nivel no es una puntuación; registra la proporción de requisitos aplicables que se cumplen: cuanto mayor es el nivel, mayor es el índice In Place requerido y menor es la proporción permitida de controles compensatorios. En todos los niveles, entre los requisitos obligatorios No vigentes se encuentra el 0%, y todos los requisitos críticos 8 deben cumplirse mediante el enfoque definido.