Hoja de ruta de preparación
Siete etapas: desde una autoevaluación de preparación hasta una entrada de registro público LVCS. Cada etapa enumera su propietario, duración, artefacto de salida y consejos de preparación.
El camino es de principio a fin: autoevaluación -> AOC -> listado público LVCS. Las duraciones son indicativas y dependen del nivel objetivo y del estado actual de los controles.
En esta página
Propietario
Duración
Artefacto de salida
Consejo
Hoja de ruta de preparación
Siete etapas: desde una autoevaluación de preparación hasta una entrada de registro público LVCS. Cada etapa enumera su propietario, duración, artefacto de salida y consejos de preparación.
Artefacto de salida
Lista de verificación de preparación completada, lista de brechas, nivel de candidato.
Comienza desde el segmento en el que realmente operas (C.1–C.4). Primero asigne sus controles PCI DSS / ГОСТ 57580 / SOC 2 existentes; algunos se transfieren (Sección A). Los requisitos críticos de 8 (B.1.1, B.1.2, B.2.1, B.3.1, B.4.1, B.5.2, B.7.3, B.8.1) nunca se transfieren y deben pasar por el enfoque definido; verifíquelos primero.
Artefacto de salida
Alcance de CCM documentado, flujo de datos, mapeo de línea de base (línea de base múltiple si PCI + ГОСТ).
Mantenga un inventario CCM (categorías 6 A–F, campos obligatorios 10) antes de que llegue el auditor: B.1 es un dominio crítico y un inventario obsoleto falla rápidamente.
Artefacto de salida
Controles remediados, paquete de evidencia, controles compensatorios documentados cuando se usaron.
Los controles de compensación tienen límites por nivel y algunos están completamente prohibidos; no planifique CC para requisitos críticos. Los niveles frío/tibio/caliente y AEAD en reposo (B.3) son soluciones comunes y costosas: presupuesta con anticipación.
Artefacto de salida
Compromiso CCSAC firmado; Verifique que el CCSAC esté acreditado para el nivel AND de su segmento.
Verifique el registro público CCSAC para conocer el alcance del segmento (C.1–C.4) y del nivel (L1/L2/L3). L3 necesita un CCSAC con 5+ CCSA-QSA y 2+ Auditores principales. Tenga cuidado con el enfriamiento del año 2-: una empresa que lo consultó recientemente no puede auditarlo.
Artefacto de salida
ROC (Informe de Cumplimiento) — confidencial. Metodología Implementada / No implementada / N/A / CC, sin puntuación numérica.
El ROC se basa en hechos, no en narrativas: proporciona evidencia observable (datos en cadena, configuraciones, registros de ceremonias). Para los requisitos críticos, el camino seguro es el enfoque definido.
Artefacto de salida
AOC (Certificación de Cumplimiento) con resumen público; el ROC se mantiene confidencial.
El AOC es el artefacto público al que se vincula su entrada LVCS: revise el texto del resumen público antes de aprobarlo.
Artefacto de salida
Certificado LVCS ID + Insignia CCSA + entrada de registro público; el derecho a utilizar el logotipo listado CCSA con el nivel.
La insignia siempre debe mostrar el nivel (Nivel 1/2/3); está prohibido un "Certificado CCSA" genérico sin nivel. La tarifa de mantenimiento anual mantiene el estado activo. La recertificación es anual y suele ser más ligera que la primera pasada.
Un certificado tiene una validez de un año. La reevaluación anual se aplica a todos los niveles (Sección D.4): la etapa 7 regresa a la etapa 5.
Obtenga la certificación
El camino es de principio a fin: autoevaluación -> AOC -> listado público LVCS. Las duraciones son indicativas y dependen del nivel objetivo y del estado actual de los controles.