Autoevaluación de preparación
Una breve autoevaluación con preguntas 15- extraídas de los ocho requisitos críticos y los puntos de paso obligatorios del estándar. El resultado es un nivel de preparación indicativo (L1/L2/L3, o "aún no está listo") con enlaces a las partes relevantes del estándar. No es una certificación ni el SAQ.
Responda "Sí / Parcial / No" para cada elemento. Las preguntas cubren los ocho requisitos críticos (B.1.1, B.1.2, B.2.1, B.3.1, B.4.1, B.5.2, B.7.3, B.8.1) y las puertas de paso obligado: cero hallazgos de "No en el lugar", la proporción de almacenamiento en frío, la prohibición de almacenamiento de claves en texto plano, la revocación SLA y el monitoreo de solo vigilancia SLA. Cualquier puerta no cumplida significa que la organización aún no está lista para certificarse en ningún nivel.
El resultado es orientativo y no es una declaración de cumplimiento. Se realiza una evaluación completa a través de SAQ-C1 y la auditoría anual CCSA-QSA.
Una respuesta "parcial" a una pregunta de acceso cuenta como reprobar el acceso.
Autoevaluación de preparación
Una respuesta "parcial" a una pregunta de acceso cuenta como reprobar el acceso.
Preguntas respondidas
0 / 15
01¿Mantiene un inventario vivo y completo de todo el material criptográfico (CCM), clasificado en las categorías A a F? (B.1.1)
02¿Está definido, documentado y segmentado el Entorno de Material Criptográfico (CME)? (B.1.2)
03¿Las claves se generan a partir de una fuente de entropía calificada y verificable (TRNG/DRBG/HSM/Secure Enclave/СКЗИ), sin Math.random(), semillas basadas en tiempo o entropía de usuario no aumentada? (B.2.1)
04¿El material criptográfico crítico se almacena en un sobre HSM, un sobre MPC o un Secure Enclave según el nivel? (B.3.1)
05¿Se excluye el almacenamiento de claves en texto plano de .env, repositorios, imágenes de contenedores, registros y almacenamiento local?
06¿La proporción de almacenamiento en frío de AUM cumple con el umbral de nivel objetivo (L1 ≥65%, L2 ≥85%, L3 ≥95%)?
07¿La firma se realiza dentro del límite confiable para que la clave privada nunca salga de él (HSM / MPC / Secure Enclave / TEE)? (B.4.1)
08¿Están excluidos SMS, enlaces de correo electrónico y push without-challenge como métodos 2FA para operaciones de firma?
09¿Está documentado un manual de revocación con el SLA: compromiso confirmado ≤15 minutos, sospecha ≤1 hora? (B.5.2)
10¿Se alcanzan los umbrales de firma múltiple por saldo/contexto (no hay billetera de firma única por encima de $1 millón)?
11¿El monitoreo de solo observación está conectado a todas las billeteras de producción con un SLA de detección de discrepancia (L1 ≤5 min, L2 ≤1 min, L3 ≤30 sec)? (B.7.3)
12¿La conciliación cubre las discrepancias entre la actividad en cadena y los registros de firma?
13¿Se ha realizado una verificación de antecedentes del personal con acceso CCM con la periodicidad requerida? (B.8.1)
14¿Confirma que ningún requisito obligatorio es "No implementado" (se requiere el 0% No implementado en todos los niveles)?
15¿Está la organización preparada para someterse a una auditoría completa anual (evidencias recopiladas y disponibles previa solicitud)?
Resultado indicativo
Responda "Sí / Parcial / No" para cada elemento. Las preguntas cubren los ocho requisitos críticos (B.1.1, B.1.2, B.2.1, B.3.1, B.4.1, B.5.2, B.7.3, B.8.1) y las puertas de paso obligado: cero hallazgos de "No en el lugar", la proporción de almacenamiento en frío, la prohibición de almacenamiento de claves en texto plano, la revocación SLA y el monitoreo de solo vigilancia SLA. Cualquier puerta no cumplida significa que la organización aún no está lista para certificarse en ningún nivel.
El resultado es orientativo y no es una declaración de cumplimiento. Se realiza una evaluación completa a través de SAQ-C1 y la auditoría anual CCSA-QSA.
Obtenga la certificación
Una breve autoevaluación con preguntas 15- extraídas de los ocho requisitos críticos y los puntos de paso obligatorios del estándar. El resultado es un nivel de preparación indicativo (L1/L2/L3, o "aún no está listo") con enlaces a las partes relevantes del estándar. No es una certificación ni el SAQ.