SAQ-C1 — autoevaluación de carteras de custodia
La biblioteca de preguntas de referencia SAQ-C1 (Anexo 4 §A4.8). La estructura refleja los dominios B.1–B.8 del estándar. Las respuestas se almacenan localmente en su navegador; no se envía nada a un servidor.
Borrador v0.2 -> v1.0. Sujeto a cambios antes de 2027-01-01.
SAQ-C1 — autoevaluación de carteras de custodia
Registrar una evaluación para cada control. La SAQ no reemplaza la auditoría completa anual: es una herramienta de preparación y autoevaluación provisional (para el nivel 1, cada 6 meses entre auditorías).
Las herramientas son la capa interactiva del estándar: la autoevaluación, las listas de verificación y las hojas de trabajo que usted completa en el sitio. Le ayudan a prepararse para una auditoría, detectar lagunas con antelación y ver qué controles ya están cubiertos. Una autoevaluación no es una certificación: anualmente se realiza una auditoría completa para todos los niveles (Sección D.4.1).
En su lugar / No en su lugar / N/A
SAQ-C1 — autoevaluación de carteras de custodia
La biblioteca de preguntas de referencia SAQ-C1 (Anexo 4 §A4.8). La estructura refleja los dominios B.1–B.8 del estándar. Las respuestas se almacenan localmente en su navegador; no se envía nada a un servidor.
SAQ-C1
0 / 66
Sección 1 — Información de la organización
1.1¿Se declara la entidad jurídica, el segmento (C.1–C.4) y el nivel objetivo (L1/L2/L3) de la evaluación?
1.2¿AUM / capitalización de mercado / TVL indicado en USD son equivalentes frente a los umbrales de nivel del segmento?
1.3¿Se han asignado un contacto de evaluación y un responsable de cumplimiento?
Sección 2 — Certificaciones básicas
2.1¿Existen certificaciones válidas PCI DSS y/o ГОСТ Р 57580 (con nivel y validez indicados)?
2.2¿Existen informes SOC 2 (Tipo 1/2) y/o certificación ISO 27001:2022?
2.3¿Existe una certificación CCSS (Nivel I/II/III) u otras certificaciones relevantes?
Sección 3 — B.1: Inventario y clasificación CCM
3.1¿Se mantiene un inventario CCM documentado (CMDB, rutas de bóveda o equivalente)?
3.2¿El inventario cubre todas las categorías CCM aplicables (A–F)?
3.3¿Cada entrada contiene categoría, descripción, tecnología, ubicación de almacenamiento principal y propietario?
3.4¿Está definido y documentado el entorno de material criptográfico (CME)?
3.5¿Se aplica la segmentación de red para reducir el límite de hardware CME (firewall, VLAN, aislamiento, límite de hardware HSM)?
3.6¿Se realizan pruebas de segmentación anualmente?
3.7¿Están documentados los flujos de datos para cada categoría CCM aplicable (generación, almacenamiento, acceso, uso, transmisión, destrucción)?
3.8¿Se revisa trimestralmente el inventario de CCM (cada mes de 6 para L1)?
3.9¿Se actualiza el inventario dentro de los días hábiles 5 en caso de cambios provocados por eventos?
Sección 4 — B.2: Generación de CCM
4.1¿Se utiliza una fuente de entropía calificada (TRNG FIPS 140-3 L3+, DRBG NIST SP 800-90A, HSM interno RNG, Secure Enclave/StrongBox o СКЗИ? ¿КС2/КС3/КВ1)?
4.2¿Se han realizado pruebas de entropía (pruebas estadísticas NIST SP 800-22, FIPS 140-2)?
4.3¿Se utiliza un ambiente con espacios abiertos de aire para la ceremonia de generación de cámaras frigoríficas?
4.4¿Está documentado el protocolo de la ceremonia clave (roles, protocolo paso a paso, verificación, aprobación)?
4.5¿La ceremonia es multipersonal (2-of-3 / 3-of-5; testigo independiente para L3)?
4.6¿Se realiza la verificación posgeneración (derivación de dirección, prueba de firma, prueba negativa MPC)?
Sección 5 — B.3: Almacenamiento de CCM
5.1¿La categoría A (Maestro) se almacena mediante un mecanismo HSM (FIPS 140-2/3 L3+) o MPC (≥2-of-3 para L1/L2, ≥3-of-5 con distribución geográfica para ¿L3)?
5.2¿Está prohibido el texto sin formato CCM en .env, repositorios, imágenes de contenedores, variables de entorno, campos DB no cifrados, registros y almacenamiento local?
5.3¿Está implementado el escaneo de secretos (TruffleHog, gitleaks, GitGuardian)?
5.4¿Se utiliza un cifrado AEAD para el cifrado CCM en reposo (AES-256-GCM, AES-256-GCM-SIV, ChaCha20-Poly1305 o Kuznyechik MGM)?
5.5¿La clave de cifrado maestra (MEK) se almacena por separado del CCM cifrado (en un HSM/KMS/MPC, no ubicado en el mismo lugar)?
5.6¿La proporción de almacenamiento en frío de AUM cumple con el umbral de nivel (L1 ≥65%, L2 ≥85%, L3 ≥95%)?
5.7¿Las copias de seguridad de CCM están distribuidas geográficamente (ubicaciones de L1 ≥2, jurisdicciones de L2 ≥2, jurisdicciones de L3 ≥3)?
5.8¿Se prueba la restauración de la copia de seguridad trimestralmente (para L2+; anualmente para L1)?
Sección 6 — B.4: Uso de CCM
6.1¿La clave privada nunca abandona su límite de confianza (HSM / MPC / Secure Enclave / TEE) para operaciones de firma?
6.2¿Se implementa la autorización de firma de varias personas por banda de valor de transacción por nivel?
6.3¿Las cookies están configuradas con HttpOnly + Secure + SameSite=Strict?
6.4¿Los métodos 2FA cumplen con los requisitos (TOTP, FIDO2/WebAuthn, biometría Secure-Enclave, token de hardware), excluyendo SMS, enlaces de correo electrónico y envío sin desafío?
6.5¿Se aplica la autenticación incremental por encima del umbral (>$50 000 para L3, >$100 000 para L2)?
6.6¿Está implementado DPoP (RFC 9449)? ¿Es obligatorio para L3?
6.7¿Se utiliza una solución PAM para acceso privilegiado a la infraestructura CCM?
6.8¿Existe un mecanismo de interrupción para sesiones privilegiadas?
Sección 7 — B.5: Gestión del ciclo de vida
7.1¿Está definida la cadencia de rotación para las seis categorías CCM (por nivel)?
7.2¿Se realiza la rotación activada en la salida dentro de SLA (L1 ≤24h, L2 ≤4h, L3 ≤1h)?
7.3¿Se documenta un manual de revocación para cada categoría CCM dentro de SLA (compromiso confirmado ≤15 mínimo, sospecha ≤1h)?
7.4¿Se ha probado la recuperación en los últimos meses 12, cumpliendo el nivel RTO (L1 ≤72h, L2 ≤24h, L3 ≤4h)?
7.5¿Están definidos procedimientos de eliminación (borrado criptográfico, puesta a cero de HSM, destrucción física de L3)?
Sección 8 — B.6: Arquitectura de billetera
8.1¿El equilibrio/contexto cumple los umbrales de firmas múltiples (almacenamiento en frío: L1 2-of-3, L2 3-of-5, L3 4-of-7 con distribución geográfica)?
8.2¿Los poseedores de claves están distribuidos geográficamente (para L3, en múltiples jurisdicciones)?
8.3¿El monitoreo de solo visualización está conectado a todas las billeteras de producción?
8.4¿Están los niveles de calor/tibio/frío aislados arquitectónicamente (espacios de aire frío, calor restringido, calor DMZ)?
8.5¿Se aplican bloqueos de tiempo de retiro a operaciones de alto valor por nivel?
8.6¿Se utiliza la lista blanca de direcciones de destino para cuentas institucionales, con aprobación de varias personas y un período de reflexión para nuevas direcciones?
Sección 9 — B.7: Detección y monitoreo de compromisos
9.1¿Se mantiene un registro completo de los eventos CCM con los campos obligatorios?
9.2¿Se garantiza la integridad del registro (encadenamiento hash criptográfico entre entradas o almacenamiento WORM)?
9.3¿Se cumple el período de retención de registros (L1 12 mes, L2 24 mes, L3 36 mes)?
9.4¿Está implementada la detección de anomalías (basada en reglas para L1, líneas de base estadísticas para L2, ML para L3)?
9.5¿Se cumple la conciliación de solo observación SLA: tiempo de detección (L1 ≤5 min, L2 ≤1 min, L3 ≤30 sec) y tiempo de respuesta (L1 ≤30 min, ¿L2 ≤15 mínimo, L3 ≤5 mínimo)?
9.6¿La conciliación cubre las discrepancias entre la actividad en cadena y los registros de firma?
9.7¿El manual de respuesta a incidentes cubre todos los escenarios requeridos (drenaje de billetera activa, compromiso de HSM, compromiso de participante de MPC, fuga masiva de tokens de sesión, filtración de información privilegiada, incidente del lado del proveedor, campaña de phishing)?
9.8¿Se ha realizado un ejercicio teórico anual?
Sección 10 — B.8: Personal y control de accesos
10.1¿Se ha realizado una verificación de antecedentes del personal de CCM con los elementos y periodicidad requeridos (L1/L2 cada 3 años, L3 cada 2 años)?
10.2¿Está documentada una política de separación de funciones (SoD) con una matriz y detección automatizada de conflictos?
10.3¿El acceso se revisa trimestralmente (para L2+)?
10.4¿La incorporación incluye todos los requisitos previos al acceso (verificación de antecedentes, NDA, capacitación, prueba de comprensión ≥80%, período de prueba de 30/60/90-)?
10.5¿Se cumplen los SLA de baja (inhabilitación de cuenta, revocación de acceso físico, suspensión temporal de firmas múltiples, rotación activada)?
10.6¿Los poseedores de claves están distribuidos geográficamente para L2+ (una jurisdicción única es un fracaso para L2+)?
Sección 11 — Certificación final
11.1¿Se han respondido sinceramente todas las preguntas anteriores?
11.2¿Se conservan las pruebas de respaldo y están listas para proporcionarse cuando se solicite?
11.3¿Están implementados los ocho requisitos críticos (B.1.1, B.1.2, B.2.1, B.3.1, B.4.1, B.5.2, B.7.3, B.8.1)?
11.4¿Están documentados los controles de compensación aplicados y los objetivos de enfoque personalizados (si los hay)?
Las cifras son objetivos prospectivos, no el estado actual.
Sección 11 — Certificación final
¿Están implementados los ocho requisitos críticos (B.1.1, B.1.2, B.2.1, B.3.1, B.4.1, B.5.2, B.7.3, B.8.1)?
Los ocho requisitos críticos se someten a pruebas completas de enfoque definido independientemente de las certificaciones básicas; la transferencia nunca se aplica a ellos.
SAQ-C2 / C3 / C4 — estructura (talones)
El Consejo publica las bibliotecas de preguntas completas SAQ-C2, C3 y C4 como documentos separados en la versión CCSA v1.0. A continuación se muestran sus deltas estructurales en relación con SAQ-C1 (Anexo 4 §A4.9). La estructura general (Secciones 1–11) es compartida; las preguntas específicas del segmento difieren.
SAQ-C2 — billeteras sin custodia (proveedor + dispositivo)
Centrarse en el alcance del proveedor (construcción de infraestructura, gestión de versiones, controles de empleados) y el alcance del dispositivo (generación de entropía en el dispositivo, uso de Secure Enclave/StrongBox, firma y recuperación UX). Las preguntas para los dominios B.3.3 (niveles calientes/tibios/fríos) y B.4.2 (control dual) están marcadas como N/A. El sujeto es el proveedor del producto, no el usuario final.
Biblioteca completa incluida con CCSA v1.0SAQ-C3 — intercambios (frontales CEX y DEX)
Preguntas adicionales sobre la seguridad de la sesión de la billetera del cliente (B.4.3 ampliada), la conciliación en tiempo real (B.7.3), los bloqueos de tiempo de retiro (B.6.4) y la división caliente/tibia/fría AUM. Los tokens de sesión son de categoría D CCM; La 2FA en el momento de la firma es obligatoria.
Biblioteca completa incluida con CCSA v1.0SAQ-C4 — emisores (monedas estables / RWA / tokens fiduciarios)
Centrarse en la protección de claves mint/burning (B.6.1 para claves mint), bloqueos de tiempo de mint (B.6.4) y detección de mint no autorizados (B.7.3). La prueba de reservas, la composición de las reservas y los derechos de los titulares están fuera del alcance de CCSA y no están incluidos en el SAQ.
Biblioteca completa incluida con CCSA v1.0Listas de verificación
Los elementos de revisión de criptografía 9 del Anexo 2 §A2.8 que un CCSA-QSA ejecuta contra cada operación criptográfica relacionada con CCM.
Abrir la lista de verificación del auditor ->La estructura del Informe sobre cumplimiento: una hoja de trabajo de evaluación por requisito, procedimientos de prueba de enfoque definido y validación de transferencia. Plantilla de referencia del Anexo 3.
Abra la hoja de trabajo ROC ->Compacto “¿está cubierto este control?” listas para cada uno de los ocho dominios B.1–B.8, con los requisitos críticos marcados.
Ir a las listas de dominios ->¿Se conservan las pruebas de respaldo y están listas para proporcionarse cuando se solicite?
Las herramientas son la capa interactiva del estándar: la autoevaluación, las listas de verificación y las hojas de trabajo que usted completa en el sitio. Le ayudan a prepararse para una auditoría, detectar lagunas con antelación y ver qué controles ya están cubiertos. Una autoevaluación no es una certificación: anualmente se realiza una auditoría completa para todos los niveles (Sección D.4.1).