Mapeo y transferencia
Abrir matriz de mapeo CCSA <-> PCI DSS, GOST R 57580, CCSS, SOC 2, MiCA. Un certificado básico válido incluye parte de los requisitos de CCSA, lo que hace que la auditoría sea más económica y rápida.
Borrador v0.2 -> v1.0. Sujeto a cambios antes de 2027-01-01.
Qué significa traspaso
Si una entidad posee un certificado básico válido y vigente, los requisitos CCSA marcados como Completo o Parcial se acreditan, sujeto a condiciones. La transferencia hace referencia a un control ya verificado en lugar de volver a probarlo.
Referencias de CCSA en lugar de reescrituras. Se agrega un delta estrecho solo para proteger el material criptográfico crítico, por analogía con cómo PCI DSS protege solo los datos de los titulares de tarjetas.
Sección A.7 — CCSA v0.2
Tres categorías de transferencia
Completo: la línea de base cubre completamente el requisito; Una vez confirmada la validez del certificado, el estado es En vigor sin necesidad de realizar más pruebas.
Parcial: la cobertura es parcial; la parte criptoespecífica se prueba adicionalmente a través de los Procedimientos de prueba de enfoque definido pertinentes.
N/A: la línea de base no cubre el requisito (o CCSA es más estricto); la transferencia no se aplica y se realizan pruebas completas.
Crítico: uno de los requisitos críticos 8; el traspaso nunca se aplica, independientemente de la fortaleza de la línea base.
Condiciones de transferencia (Sección A.7.2)
El certificado de referencia no tiene más de 12 meses en la fecha de inicio de la evaluación CCSA.
El certificado de referencia tiene al menos 6 meses de validez restante en la fecha de inicio de la evaluación.
El alcance del certificado intersecta el Entorno de Material Criptográfico (CME, Sección B.1.2).
Validación vía registro: autenticidad de certificados, alineación de alcances, continuidad de controles.
Además para SOC 2: Tipo 2 únicamente; período de cobertura del informe de al menos 6 meses; fecha de finalización del período no más de 12 meses antes del inicio de la evaluación; Los criterios incluyen Seguridad (obligatorio) y Confidencialidad.
Adicionalmente para MiCA: la entidad está en el registro EU VASP; entre sus actividades registradas se encuentran los servicios de custodia de criptoactivos.
Los requisitos críticos 8 nunca se transfieren
La transferencia nunca se aplica a los requisitos críticos 8, independientemente de la solidez de la línea base. Siempre requieren pruebas completas de enfoque definido. Su mapeo en las tablas es solo de contexto de referencia.
Control Compensante totalmente prohibido
Control Compensador solo en el Nivel 1 con aprobación del Consejo
Matriz de mapeo interactivo
Seleccione una línea de base y filtre por categoría de transferencia. La matriz PCI DSS (dominios 8 B.1–B.8) es el conjunto más detallado; Se proporcionan asignaciones de claves para GOST, CCSS, SOC 2 y MiCA.
| Requisito CCSA | Referencia de referencia | Transferencia | Nota |
|---|---|---|---|
| B.1.1 | Req 9.5.1 (Media Inventory) — analogy | Crítico | A–F categorisation and CCM specifics require a full CCSA assessment |
| B.1.2 | Req 1.4 (CDE Definition) — analogy | Crítico | CME is a conceptual analogue of the CDE |
| B.2.1 | Req 3.6.1 (Key Generation) | Crítico | CCSA requires FIPS 140-3 Level 3 / NIST SP 800-90A |
| B.2.2 | Req 1.4 — analogy | N/A | CCSA requires air-gap (L2) / shielding (L3) |
| B.2.3 | — | N/A | Ceremony protocol is a CCSA-specific requirement |
| B.2.4 | — | N/A | Verification of generated material is CCSA-specific |
| B.3.1 | Req 3.5 (Protect Stored Account Data) | Crítico | CCSA requires HSM / MPC / Secure Enclave with explicit certification |
| B.3.2 | Req 3.5.1 (Strong Cryptography) | Completo | AEAD is compatible with PCI Strong Cryptography |
| B.3.3 | — | N/A | Hot/Warm/Cold tiering is a CCSA-specific requirement |
| B.3.4 | Req 12.10.1 (Disaster Recovery) | Parcial | Additional checks: backup-specific MEK, geographic distribution |
| B.4.1 | Req 3.6.7 (Key Usage) | Crítico | CCSA refines this through a trusted boundary |
| B.4.2 | Req 7 (Restrict Access by Need to Know) | Parcial | CCSA refines this through a dual-control threshold table |
| B.4.3 | Req 8 (Authentication) | Parcial | 2FA on the signing operation, not only login |
| B.4.4 | Req 7, Req 8 (Access Control + Auth) | Completo | PAM with MFA is fully covered |
| B.5.1 | Req 3.6.4 (Key Rotation) | Completo | CCSA cadence is stricter than or equal to PCI "at least annually" |
| B.5.2 | Req 12.10 (Incident Response) | Crítico | CCSA sets specific revocation SLAs by event type |
| B.5.3 | Req 12.10 (Business Continuity) | Parcial | CCSA refines the scenarios and RPO/RTO |
| B.5.4 | Req 3.7 (Key Destruction) | Completo | Cryptographic erasure and certified disposal |
| B.6.1 | — | N/A | Multi-signature is a crypto-specific concept |
| B.6.2 | Req 10 (Logging) — analogy | Parcial | Watch-only via on-chain is crypto-specific |
| B.6.3 | Req 1.4 — analogy | Parcial | CDE segmentation analogy for hot/warm/cold isolation |
| B.6.4 | — | N/A | Withdrawal time-locks are a crypto-specific concept |
| B.6.5 | Req 1.2 — analogy | Parcial | Allowlist analogy for withdrawal whitelisting |
| B.7.1 | Req 10 (Logging and Monitoring) | Completo | Comprehensive logging with retention |
| B.7.2 | Req 10.4 | Parcial | CCSA requires automated detection with alerting and SLA |
| B.7.3 | Req 10.2 — analogy | Crítico | Reconciliation of signing logs <-> on-chain is crypto-specific |
| B.7.4 | Req 12.10 (Incident Response) | Completo | Documented playbook with regulatory notification |
| B.8.1 | Req 12.7 (Personnel Screening) | Crítico | CCSA requires enhanced screening for keyholders |
| B.8.2 | Req 7 (Restrict Access by Need to Know) | Completo | RBAC with conflict detection |
| B.8.3 | Req 12.6, Req 12.7 | Parcial | CCSA requires crypto-specific training |
| B.8.4 | Req 12.7 (Personnel) | Parcial | CCSA sets an SLA + triggered rotation on offboarding |
| B.8.5 | — | N/A | Geographic distribution of keyholders is crypto-specific |
Condiciones especiales para clientes RU (Sección A.2.3): algoritmos SKZI certificados por FSB, GOST para DFA, conexión de informes FinCERT.
Niveles: CCSS Nivel I -> CCSA Nivel 1; Nivel II -> Nivel 2; Nivel III -> Nivel 3. La prueba de reserva (dominio CCSS 9) está fuera del alcance de CCSA.
El arrastre de SOC 2 es limitado: una evaluación basada en opiniones durante un período en lugar del cumplimiento binario de CCSA. La transferencia total de SOC 2 no es posible: solo parcial.
El mapeo se limita a los artículos de MiCA sobre protección de material criptográfico. La gobernanza, la emisión, AML, la divulgación y los seguros (Art. 69, 70, 76) están fuera del alcance de CCSA. El valor clave es B.3.3 (almacenamiento sin conexión).
Resumen de cobertura por línea de base
Proporción de requisitos CCSA que se trasladan (completos y parciales) de cada línea base. Los valores son orientativos.
| Línea de base | Completo | Parcial | Crítico N/A | N/A (no crítico) | Se traslada (indicativo) |
|---|---|---|---|---|---|
| PCI DSS v4.0.1 | 7 | 10 | 8 | 7 | ~58% |
| ГОСТ Р 57580 | 6 | 3 | 8 | 0 | ~36% |
| CCSS v8.0 | 12 | 0 | 5 | 0 | ~65% |
| SOC 2 Type 2 | 0 | 8 | 8 | 0 | ~30% |
| MiCA | 0 | 7 | 2 | 0 | ~35% |
PCI DSS v4.0.1
~58%
ГОСТ Р 57580
~36%
CCSS v8.0
~65%
SOC 2 Type 2
~30%
MiCA
~35%
CCSS v8.0 es la línea de base más cercana para CCM, como se esperaba de un estándar criptográfico específico.
PCI DSS v4.0.1 es una base sólida para los requisitos de infraestructura común (B.5.1, B.5.4, B.7.1, B.7.4, B.8.2, B.4.4).
GOST 57580 es fundamental para los clientes rusos; Cubre partes de la gestión de acceso y la gestión de incidentes.
SOC 2 está limitado por su metodología basada en opiniones; Sólo es posible parcialmente.
MiCA atiende el segmento EU; su valor principal está en B.3.3 (política de almacenamiento fuera de línea).
Efecto económico
Con el traspaso de múltiples líneas de base, el evaluador realiza aproximadamente el 50% del trabajo de una auditoría completa, neto de los requisitos críticos 8, que se prueban en su totalidad independientemente de la línea de base. El costo de la auditoría para el cliente es 1.5–2x menor.
Para cada requisito, se elige el mejor traspaso entre las líneas base cuyo alcance intersecta el CME (Sección A.8).
Efecto económico
Abrir matriz de mapeo CCSA <-> PCI DSS, GOST R 57580, CCSS, SOC 2, MiCA. Un certificado básico válido incluye parte de los requisitos de CCSA, lo que hace que la auditoría sea más económica y rápida.