CCSA vs PCI DSS / CCSS
Un puente control-ID: donde CCSA equivale a PCI DSS y CCSS, donde cubren un requerimiento solo parcialmente, y lo que suma CCSA encima.
Borrador v0.2 -> v1.0. Sujeto a cambios antes de 2027-01-01.
Por qué es importante esta comparación
La primera pregunta que hace un auditor o un comprador es "¿en qué se diferencia CCSA de lo que ya tenemos?" Los auditores piensan en ID de control, por lo que la siguiente tabla es un puente a nivel de control: cada requisito de CCSA se asigna a un control PCI DSS y a un control CCSS mediante sus propios números.
La tabla responde a tres preguntas prácticas: qué cubre y traslada una auditoría existente, qué está cubierto solo parcialmente y necesita pruebas adicionales, y qué agrega CCSA en su totalidad: controles que ninguno de los estándares aborda.
CCSA no duplica PCI DSS y CCSS; se basa en ellos como base: los controles superpuestos se transfieren y la evaluación se centra en los aspectos específicos de las criptomonedas.
Section A — CCSA v0.2
Alcance de la comparación
PCI DSS es un estándar de seguridad de datos de tarjetas de pago. El mapeo es por analogía: los controles de administración de claves, acceso, registro y respuesta son relevantes, pero los detalles criptográficos (billeteras, en cadena, ceremonia) están ausentes en PCI DSS.
CCSS es un estándar de seguridad criptográfico específico y la base de referencia más cercana. Hay más superposición en la administración de claves y billeteras, pero el alcance de CCSS difiere: la prueba de reserva (dominio CCSS 9) está fuera del alcance de CCSA, y el inventario y la clasificación de materiales no están formalizados en CCSS.
El mapeo es contra PCI DSS v4.0.1 y CCSS v8.0. Esta es una proyección ilustrativa del conjunto de datos remanentes existente en una vista "vs", no una declaración de reconocimiento oficial por parte del PCI SSC o el Comité Directivo del CCSS.
Cómo leer las relaciones
Equivalente — el estándar tiene un control análogo; el requisito se traslada cuando se cumplen las condiciones de traspaso.
Parcial: la norma cubre el requisito solo en parte; Se necesitan pruebas adicionales de CCSA.
Brecha: la norma no aborda este requisito.
Solo CCSA: el requisito se agrega por completo; no existe ninguna contraparte. Es uno de los requisitos críticos y nunca se transfiere.
Puente Control-ID
Cada fila es un requisito de CCSA y su contraparte de control en PCI, DSS y CCSS. La relación se muestra por estándar. Los requisitos críticos están marcados con una estrella y se prueban en su totalidad independientemente de la línea de base.
Filtrar por dominio
Requisitos mostrados: 28
| CCSA | PCI DSS v4.0.1 | Relación PCI | CCSS v8.0 | Relación CCSS | Nota |
|---|---|---|---|---|---|
B.1.1 | Req 9.5.1 — analogy | Solo CCSA | — | Brecha | La categorización A–F y los detalles específicos de CCM requieren una evaluación completa de CCSA. |
B.1.2 | Req 1.4 (CDE) — analogy | Solo CCSA | — | Brecha | CME es un análogo conceptual del PCI DSS CDE. |
B.2.1 | Req 3.6.1 | Solo CCSA | CCSS 1. Key/Seed Generation | Solo CCSA | CCSA requiere entropía verificable (FIPS 140-3 Nivel 3 / NIST SP 800-90A); CCSS aborda la fuente de entropía pero sin el umbral CCSA. |
B.2.2 | Req 1.4 — analogy | Brecha | CCSS 1. Key/Seed Generation | Equivalente | El aislamiento generación-ambiente está cubierto por CCSS; PCI DSS no tiene análogo. |
B.2.3 | — | Brecha | CCSS 1. Key/Seed Generation | Equivalente | El protocolo de la ceremonia está documentado en CCSS; ausente de PCI DSS. |
B.3.1 | Req 3.5 | Solo CCSA | CCSS 3. Key Storage | Solo CCSA | CCSA requiere HSM / MPC / Secure Enclave con certificación explícita; PCI DSS y CCSS requieren protección de almacenamiento pero sin el umbral del mecanismo CCSA. |
B.3.2 | Req 3.5.1 | Equivalente | — | Brecha | AEAD es compatible con criptografía fuerte PCI (Req 3.5.1). |
B.3.3 | — | Brecha | — | Brecha | Los niveles Caliente/Tibio/Frío son específicos de criptografía; ni PCI DSS ni CCSS lo prescriben. |
B.3.4 | Req 12.10.1 | Parcial | — | Brecha | Comprobaciones adicionales: MEK específico de la copia de seguridad y distribución geográfica además de PCI Req 12.10.1. |
B.4.1 | Req 3.6.7 | Solo CCSA | CCSS 4. Key Usage | Solo CCSA | CCSA refina el uso de claves a través de un límite confiable; CCSS cubre la firma respaldada por hardware. |
B.4.2 | Req 7 | Parcial | CCSS 4. Key Usage | Equivalente | PCI restringe el acceso por necesidad de saber; CCSA y CCSS establecen umbrales de control dual. |
B.4.3 | Req 8 | Parcial | — | Brecha | 2FA en la operación de firma, no solo al iniciar sesión; ningún análogo directo de CCSS. |
B.4.4 | Req 7, Req 8 | Equivalente | — | Brecha | PAM con MFA está completamente cubierto por PCI DSS Req 7 y Req 8. |
B.5.1 | Req 3.6.4 | Equivalente | CCSS 6. Keyholder Grant/Revoke | Equivalente | La cadencia de rotación de CCSA es más estricta o igual a la de PCI “al menos anualmente”; CCSS cubre la rotación. |
B.5.2 | Req 12.10 | Solo CCSA | CCSS 5. Key Compromise Policy | Solo CCSA | CCSA establece SLA de revocación específicos por tipo de evento; PCI y CCSS describen la respuesta sin dichos SLA. |
B.5.3 | Req 12.10 | Parcial | CCSS 5. Key Compromise Policy | Equivalente | La recuperación está cubierta por CCSS; parcialmente en PCI DSS vía Req 12.10. |
B.5.4 | Req 3.7 | Equivalente | CCSS 8. Data Sanitization Policy | Equivalente | El borrado criptográfico y la eliminación certificada coinciden con PCI Req 3.7 y CCSS Dominio 8. |
B.6.1 | — | Brecha | CCSS 2. Wallet Creation | Equivalente | La firma múltiple es criptoespecífica; cubierto por CCSS Wallet Creation, ausente en PCI DSS. |
B.6.3 | Req 1.4 — analogy | Parcial | CCSS 2. Wallet Creation | Equivalente | Aislamiento caliente/tibio/frío por analogía con la segmentación CDE; CCSS lo cubre directamente. |
B.6.4 | — | Brecha | — | Brecha | Los bloqueos de tiempo de retiro son específicos de criptografía; ni PCI DSS ni CCSS los prescriben. |
B.7.1 | Req 10 | Equivalente | CCSS 10. Audit Logs | Equivalente | Registro completo con retención que coincide con los registros de auditoría PCI Req 10 y CCSS. |
B.7.2 | Req 10.4 | Parcial | — | Brecha | CCSA requiere detección automatizada con alertas y SLA además de PCI Req 10.4. |
B.7.3 | Req 10.2 — analogy | Solo CCSA | CCSS 7. Third-Party Audits — analogy | Solo CCSA | La conciliación de los registros de firma <-> en cadena es criptoespecífica; una evaluación completa de CCSA. |
B.7.4 | Req 12.10 | Equivalente | CCSS 5. Key Compromise Policy | Equivalente | Un manual documentado con notificación del regulador coincide con PCI Req 12.10 y CCSS Dominio 5. |
B.8.1 | Req 12.7 | Solo CCSA | — | Brecha | CCSA requiere una evaluación mejorada para los titulares de claves más allá de PCI Req 12.7. |
B.8.2 | Req 7 | Equivalente | — | Brecha | RBAC con detección de conflicto coincide con PCI Req 7. |
B.8.3 | Req 12.6, Req 12.7 | Parcial | CCSS 6. Keyholder Grant/Revoke | Equivalente | CCSA requiere capacitación específica en criptografía; CCSS cubre la incorporación de llaveros. |
B.8.4 | Req 12.7 | Parcial | CCSS 6. Keyholder Grant/Revoke | Equivalente | CCSA establece un SLA y activa la rotación al salir; CCSS cubre la revocación del llavero. |
Lo que añade CCSA más allá de PCI, DSS y CCSS
Los ocho requisitos críticos son el núcleo de CCSA que ninguna línea de base cubre por completo. Nunca se trasladan, se prueban según el Enfoque Definido y cuatro de ellos no permiten controles compensatorios en absoluto.
Inventario completo de material criptográfico
Requisito críticoB.1.1: contabiliza todo el material clave con categorización A-F. PCI DSS ofrece sólo una analogía (inventario de medios, Req 9.5.1); CCSS no tiene inventario formalizado.
Clasificación por categoría de criticidad
Requisito críticoB.1.2: destacando el material criptográfico crítico como análogo del CDE. Ni PCI DSS ni CCSS prescriben tal clasificación de material criptográfico.
Generación de claves con entropía verificable
Requisito críticoB.2.1 — una fuente de entropía verificable (FIPS 140-3 Nivel 3 / NIST SP 800-90A). Generación de direcciones PCI y CCSS pero sin un umbral verificable obligatorio.
Almacenamiento de material criptográfico crítico en HSM / MPC / Secure Enclave
Requisito críticoB.3.1: almacenamiento obligatorio respaldado por hardware con certificación de mecanismo explícito. PCI y CCSS requieren protección de almacenamiento pero no prescriben un mecanismo certificado específico.
Control de acceso y autorización de operaciones criptográficas
Requisito críticoB.4.1: usar la clave solo dentro de un límite confiable. PCI describe el uso y acceso en general; CCSA fija los límites de cada operación de firma.
Revocación y rotación de claves seguras por SLA
Requisito críticoB.5.2: SLA de revocación específicos según el tipo de evento de compromiso. PCI y CCSS describen la respuesta pero no establecen plazos de revocación mensurables.
Detección de compromisos y conciliación en cadena
Requisito críticoB.7.3: conciliación de registros de firma con el estado en cadena en modo de solo observación. Este es un control criptográfico específico que no está presente ni en PCI, DSS ni en CCSS.
Separación de funciones y control de acceso del personal
Requisito críticoB.8.1: selección mejorada de titulares de claves y estricta separación de funciones. PCI establece la selección de personal (Req 12.7) de forma genérica, sin requisitos mejorados para los titulares de claves.
Niveles de almacenamiento en caliente/tibio/frío
Control criptoespecíficoB.3.3: separación arquitectónica del almacenamiento de claves frías, calientes y calientes. Un control criptográfico estructural sin análogo en PCI DSS o CCSS.
Bloqueos de tiempo de retiro
Control criptoespecíficoB.6.4: bloqueos de tiempo y umbrales en operaciones de retiro. Un control de arquitectura de billetera criptoespecífica ausente en ambos estándares.
Qué le da esto al auditor y al comprador
Los controles superpuestos se transfieren de las auditorías PCI DSS y CCSS existentes, y la evaluación se centra en los ocho requisitos críticos y los detalles criptográficos. Esto reduce el trabajo nuevo sin bajar el listón.
Si ya tiene una auditoría PCI DSS o CCSS válida, comience con los controles de transferencia y dirija su esfuerzo a los ocho requisitos críticos.
Un control se transfiere una vez que se cumplen las condiciones de transferencia (validez del informe, coincidencia del alcance, validación). Consulte la página de transferencia y mapeo para obtener más detalles.
Listo para pasar de la comparación a la preparación
Ejecute la autoevaluación de preparación o explore la matriz de transferencia completa en cinco líneas de base.
El Consejo responde dentro de los días hábiles 5.