Segmentos de aplicación
Aplicabilidad de los ocho dominios criptográficos a cuatro segmentos de mercado a través de una matriz M/R/N-A. El nivel en cada segmento lo establece su propia métrica de escala.
Segmentos de aplicación
Aplicabilidad de los ocho dominios criptográficos a cuatro segmentos de mercado a través de una matriz M/R/N-A. El nivel en cada segmento lo establece su propia métrica de escala.
La organización mantiene las claves privadas de los clientes bajo su propio control. Todos los dominios 8 Obligatorio: el segmento más estricto.
El sujeto de la certificación es el proveedor de software o el fabricante del dispositivo, nunca el usuario final. Doble alcance: proveedor y dispositivo.
Solo el CCM de la infraestructura de custodia está dentro del alcance. Todos los dominios 8 Obligatorio, al igual que C.1.
Solo las claves mint/burn y CCM relacionadas están dentro del alcance. Mint multi-sig es obligatorio independientemente de la capitalización de mercado.
Matriz de aplicabilidad (dominios 8 x segmentos 4)
M: Obligatorio, R: Recomendado, N-A: No aplicable. La aplicabilidad se muestra en la tabla resumen de cada dominio B.1-B.8 y se consolida en la Sección C.
| B.x | C.1 | C.2 | C.3 | C.4 |
|---|---|---|---|---|
| B.1 | M | M | M | M |
| B.2 | M | M | M | M |
| B.3 | M | M | M | M |
| B.4 | M | M | M | M |
| B.5 | M | M | M | M |
| B.6 | M | R | M | R |
| B.7 | M | R | M | M |
| B.8 | M | M | M | M |
Obligatorio
Recomendado
No aplicable
Definición de segmento
C.1 — Carteras de custodia y custodios
Definición de segmento
Organizaciones que mantienen criptoactivos de clientes bajo su propio control de claves privadas: billeteras de custodia de intercambio, custodios dedicados, billeteras criptográficas bancarias de operadores DFA, custodia de marca blanca. Todos los dominios 8 son obligatorios.
Aplicabilidad del dominio
Requisitos de nivel
Métrica de nivel:
Nivel por AUM: < $5M (L1) / $5M-$500M (L2) / > $500M (L3).
Requisitos específicos del segmento
Almacenamiento en frío % AUM: L1 >= 65%, L2 >= 85%, L3 >= 95%. Almacenamiento en frío multifirma: L1 2-of-3, L2 3-of-5, L3 4-of-7 con geodistribución. Detección de compromiso SLA: L1 <= 5 min, L2 <= 1 min, L3 <= 30 sec. Recuperación RTO: L1 <= 72h, L2 <= 24h, L3 <= 4h.
C.2 — Carteras sin custodia (proveedor + dispositivo)
Definición de segmento
Software o dispositivos para la autocustodia de claves por parte del usuario: extensión de navegador, billeteras móviles, de escritorio y de hardware, billetera inteligente / Abstracción de cuenta. El sujeto de la certificación es el proveedor o fabricante del dispositivo; el usuario final no está certificado ni auditado.
Aplicabilidad del dominio
Requisitos de nivel
Métrica de nivel:
Nivel por MAU: < 10K (L1) / 10K-1M (L2) / > 1M (L3).
Requisitos específicos del segmento
Seguridad del código: preferido de código abierto, compilaciones reproducibles, firma de código. Antiextracción: antimanipulación, anticaptura de pantalla en visualización de semillas, detección de jailbreak/root, antidepuración. Recompensa por errores: grupo L2 desde $ 25 000, L3 desde $ 100 000. Secure Enclave / StrongBox: Obligatorio desde L2, + atestación remota en L3.
Doble alcance. Alcance del proveedor: la organización desarrolladora (incorporación, baja, SoD, verificación de antecedentes, seguridad de la infraestructura de construcción, gestión de lanzamientos). Alcance del dispositivo: la arquitectura de billetera en el dispositivo (entropía en el dispositivo, Secure Enclave/StrongBox, firma dentro del límite confiable, recuperación UX). Ninguno de los alcances se aplica al usuario: el proveedor proporciona mecanismos y documentación pero no impone políticas al usuario. Aquí se recomiendan B.6 y B.7.
C.3 — Intercambios (frontales CEX, DEX, OTC)
Definición de segmento
Plataformas de negociación con respecto al CCM de su infraestructura de custodia: intercambios centralizados (lado de custodia), front-end DEX (claves de firma de función de administrador), plataformas OTC (caliente/tibia/fría). Todos los dominios 8 son obligatorios, al igual que C.1.
Aplicabilidad del dominio
Requisitos de nivel
Métrica de nivel:
Nivel por volumen diario: < $1M (L1) / $1M-$100M (L2) / > $100M (L3).
Requisitos específicos del segmento
Los tokens de sesión están protegidos como Categoría D CCM. 2FA obligatorio al momento de la firma; autenticación reforzada para operaciones de alto valor (L2+). Cartera caliente % AUM: L1 <= 10%, L2 <= 5%, L3 <= 1%. Monitoreo en tiempo real de todas las billeteras calientes/templadas; SLA: L1 <= 5 min, L2 <= 1 min, L3 <= 30 seg.
Solo está dentro del alcance la protección del CCM de la infraestructura de intercambio. La integridad del motor de negociación, la prevención de la manipulación del mercado, la seguridad del libro de órdenes, los estándares de cotización y el acceso justo son procesos de negocio e integridad del mercado que están fuera del alcance de CCSA (§0.2.2).
C.4 — Emisores (monedas estables, RWA, tokens fiduciarios)
Definición de segmento
Organizaciones que emiten tokens con respecto al CCM de su infraestructura de emisión: stablecoins, tokens RWA, fiat-tokens, tokens de seguridad. Solo está dentro del alcance la protección de claves mint/burn y CCM relacionados.
Aplicabilidad del dominio
Requisitos de nivel
Métrica de nivel:
Nivel por capitalización de mercado: < $5M (L1) / $5M-$100M (L2) / > $100M (L3).
Requisitos específicos del segmento
Mint/burn multi-sig es obligatorio independientemente de la capitalización de mercado: L1 2-of-3, L2 3-of-5, L3 4-of-7 o superior. Bloqueo temporal de acuñación: 24 horas para acuñación > 1% de suministro (L2), 72 horas + aprobación de gobierno (L3). Mint-key HSM: Obligatorio a partir de L2, + geodistribución en L3. Detección de acuñación/quema no autorizada; SLA: L1 <= 5 min, L2 <= 1 min, L3 <= 30 seg.
Fuera de alcance: composición de reservas, Prueba de reservas, gobernanza, divulgación regulatoria, derechos de los poseedores de tokens, auditoría del contrato inteligente de emisión. Estos son los dominios de finanzas, gobernanza, regulación y seguridad de códigos (§0.2.2).
Crítico
Para todos los requisitos críticos de 8, la transferencia no se aplica en ningún segmento: se requiere una prueba completa de CCSA mediante el enfoque definido para cada segmento dentro del alcance.
Reglas de segmentos cruzados (C.5)
Si una organización opera en varios segmentos, se aplican los requisitos de todos los segmentos aplicables.
Multisegmento: conformidad con la unión de todos los requisitos obligatorios; requisitos de infraestructura compartida probados una vez; un único ROC dividido por segmento.
Nivel de entidad general = máximo (niveles por segmento). Se toma el nivel más estricto entre segmentos y métricas. En la certificación por segmento, cada unidad de negocio se emite a su propio nivel.
El traspaso se aplica por requisito, no por segmento: una línea base (por ejemplo, PCI DSS Nivel 1) puede cubrir los mismos requisitos de infraestructura compartida en todos los segmentos a la vez.
Para todos los requisitos críticos de 8, la transferencia no se aplica en ningún segmento: se requiere una prueba completa de CCSA mediante el enfoque definido para cada segmento dentro del alcance.