À propos du Conseil
Une organisation de normalisation industrielle pour la sécurité des infrastructures cryptographiques. Elle possède le standard et le IP ; l'audit et le conseil font partie d'un réseau de partenaires externes.
Qu'est-ce que le Conseil CCSA
Le Conseil CCSA (Crypto Custody & Security Assurance Council) est une organisation de normalisation industrielle pour la sécurité des infrastructures cryptographiques. Sa forme juridique est une société anonyme (RF) ; elle possède la norme et la propriété intellectuelle. L'audit et le conseil sont placés dans un réseau de partenaires externes.
Brouillon v0.2 -> v1.0. Sous réserve de modifications avant 2027-01-01.
Ce que possède le Conseil
Ce que fait le Conseil
- 01
La norme CCSA (copyright).
- 02
Les marques de logo répertoriées CCSA, CCSA-QSA, CCSAC, LVCS et CCSA.
- 03
Les registres : Organisations participantes, CCSAC, CCSA-QSA, LVCS.
- 04
Programmes de formation et d'examens.
- 01
Rédige et maintient la norme.
- 02
Certifie les auditeurs individuels (CCSA-QSA).
- 03
Accrédite les cabinets d'audit (CCSAC).
- 04
Certifie les produits et plateformes (LVCS).
- 05
Organise des formations et des examens.
- 06
Assure la qualité (Programme QA : échantillonnage aléatoire ROC — Niveau 2 un échantillon 10%, Niveau 3 100 %).
- 07
Tient à jour le registre des membres et résout les litiges.
Ce que le Conseil ne fait pas : la promesse de non-conflit
Il n'audite pas les clients.
Il ne consulte pas sur la préparation de l'audit.
Il ne construit pas d'outils de sécurité commerciaux.
Supprimer la duplication des audits de conformité pour les entreprises de cryptographie grâce à une norme qui fait référence plutôt que de réécrire les lignes de base existantes, en ajoutant uniquement des exigences spécifiques à la cryptographie. Rendre la sécurité des infrastructures cryptographiques prévisible et mesurable pour les clients, les régulateurs, les assureurs et les investisseurs.
Le Conseil CCSA est un organisme de normalisation et non un garant. Un organisme de normalisation privé, pas un régulateur étatique.
Vision 2030
À la fin de 2030 — cibles, pas état actuel.
Reconnaissance de la Banque de Russie : la certification CCSA compte pour la conformité aux réglementations de la Banque de Russie pour les acteurs du marché des monnaies numériques.
Au moins un assureur RF émet une crypto-assurance qui nécessite la certification CCSA.
Mission
Supprimer la duplication des audits de conformité pour les entreprises de cryptographie grâce à une norme qui fait référence plutôt que de réécrire les lignes de base existantes, en ajoutant uniquement des exigences spécifiques à la cryptographie. Rendre la sécurité des infrastructures cryptographiques prévisible et mesurable pour les clients, les régulateurs, les assureurs et les investisseurs.
Sept principes de fonctionnement
Un certificat PCI DSS valide transporte les domaines CCSA correspondants via le mappage. Nous complétons, pas remplaçons.
Le Conseil gagne de l'argent grâce à l'adhésion et à la certification des auditeurs et des produits, et non grâce à l'audit. Le modèle PCI SSC.
La matrice CCSA <-> PCI DSS / ГОСТ / CCSS / MiCA est publiée ouvertement et mise à jour à chaque version. Pas de « méthodologie fermée ».
Un cours delta et un examen de deux semaines, sans répétition de la certification de base.
Les organisations participantes consultent les versions préliminaires avant publication et soumettent leurs commentaires ; le conseil d'administration comprend des représentants de tous les segments 4.
Exigences fonctionnelles, pas de produits spécifiques. HSM, MPC et multisig sont traités de manière neutre.
CCSA s'inscrit sous la réglementation (ЦБ/ФСТЭК dans RF, АРРФР au Kazakhstan), pas au-dessus. L’objectif est de devenir une méthodologie d’évaluation reconnue.
Valeurs
Chaque exigence est mesurable. Si une exigence ne peut pas être testée, elle ne figure pas dans la norme.
Le Conseil cite PCI SSC et C4 comme sources, sans prétendre réinventer la roue.
Le standard est ouvert ; le texte est téléchargeable gratuitement sur le site. L'adhésion et la certification sont payantes.
Les mises à jour standard sur un cycle 3-year, comme PCI DSS. Pas de « révolutions » chaque année.
Les certificats achetés, les ROC tamponnés et les audits copiés-collés entraînent la révocation immédiate de l'accréditation.
Ce que nous ne faisons pas
- 01
Nous ne revendiquons pas un rôle de régulateur : l’application appartient à l’État et aux contrats de marché.
- 02
Nous ne sommes pas en concurrence avec PCI SSC — nous le complétons pour le segment crypto.
- 03
Nous ne créons pas de « norme russe » — la juridiction de base est RF, le contenu est mondial.
- 04
Nous ne vendons pas de « conseil fermé » sur la norme — le texte est public ; l’adhésion, la certification et la formation sont payantes.
- 05
Nous ne vendons pas d'« indulgences » — tenter d'acheter un certificat signifie bannir le client, l'auditeur et le CCSAC.
Déclarations de fiducie
CCSA réduit, mais n'élimine pas, le risque de compromission du matériel cryptographique. La certification ne constitue pas une garantie contre un incident.
Le Conseil CCSA est un organisme de normalisation et non un garant. Un organisme de normalisation privé, pas un régulateur étatique.
Premier site de référence
Au stade du projet v0.2, la seule partie identifiable est le sponsor fondateur ; les autres participants à la gouvernance sont divulgués au fur et à mesure des nominations.
4pay.online est le sponsor fondateur du Conseil et la première implémentation de référence de la norme CCSA. Les exigences sont validées sur une infrastructure de cryptographie en direct avant la version v1.0.
Le Conseil n'audite pas 4pay.online et ne le consulte pas en préparation. La certification des produits 4pay s'effectue par l'intermédiaire d'un organisme indépendant accrédité CCSAC ; sur les décisions touchant 4pay, les dirigeants fondateurs se récusent.
Qu'est-ce que le Conseil CCSA
Supprimer la duplication des audits de conformité pour les entreprises de cryptographie grâce à une norme qui fait référence plutôt que de réécrire les lignes de base existantes, en ajoutant uniquement des exigences spécifiques à la cryptographie. Rendre la sécurité des infrastructures cryptographiques prévisible et mesurable pour les clients, les régulateurs, les assureurs et les investisseurs.