Pour les auditeurs (CCSA-QSA)
PCI DSS est un marché mature ; les clients demandent des audits cryptographiques que vous ne pouvez pas encore réaliser. CCSA est le prolongement naturel de la spécialité. Trois niveaux de certification, une structure calquée sur PCI DSS v4.0.1.
La certification est individuelle uniquement. Vous pouvez travailler en tant qu'auditeur uniquement au sein d'un cabinet d'audit accrédité (CCSAC). La structure de la norme reflète PCI DSS v4.0.1 (approche définie/personnalisée, bonnes pratiques, exemples), ce qui réduit le coût de changement pour les QSA expérimentés.
Une échelle ascendante à trois niveaux. Une personne sans certificat a accès uniquement au texte standard et ne peut pas effectuer d'audits.
Particulier sans certificat — accès au texte standard uniquement, pas de droits d'audit
Trois niveaux de certification
Une échelle ascendante à trois niveaux. Une personne sans certificat a accès uniquement au texte standard et ne peut pas effectuer d'audits.
Niveau d'entrée : participer à des audits au sein d'une équipe CCSAC. Aucun droit de signature ROC/AOC.
eLearning, ~40h d'autoformation. Examen : questions 60 / minutes 90, réussite 70%, surveillé en ligne. Validité 5 ans.
Qui est admissible : portes d'entrée
Au moins année 1 en sécurité ou conformité IT
Compréhension de base de la blockchain (Bitcoin, Ethereum)
Anglais à un niveau de lecture technique
Droits
Participer à des audits au sein d'une équipe CCSAC
Coaching SAQ pour les clients de niveau 1
Ne peut pas signer un ROC ou une attestation de conformité
Obligations
Maintenance annuelle pour conserver le statut du registre
Adhésion au Code de responsabilité professionnelle CCSA
Honoraire (indicatif)
Valeurs indicativesInitiale $600 ; Entretien $200/an ; Renouvellement $400 à l'année 5
Droit de mener des audits L1/L2 au sein d'un CCSAC et de signer un ROC sous la direction d'un auditeur principal.
Parcours standard : eLearning + dirigé par un instructeur + audit pratique, ~120h (semaines 6 à temps partiel). Cours Delta pour les QSA PCI actifs : semaines 2 à temps plein (80h). Delta pour ГОСТ 57580 : semaines 3 (120h). Examen : Questions théoriques 100 (3h) + Cas pratique 1 (4h), Théorie 80% + Pass pratique. Validité 1 année.
Qui est admissible : portes d'entrée
Actif PCI QSA (chemin prioritaire)
ISO 27001 Lead Auditor + 2 années dans des projets cryptographiques
Auditeur actif ГОСТ 57580 (licencié ФСТЭК) + connaissances de base en cryptographie
5+ années en sécurité IT + 2+ années en crypto + Praticien CCSA réussi
Documents : preuve de certification de base, références CV, 2 (une de l'employeur CCSAC actuel)
Droits
Effectue des audits de niveau 1 et de niveau 2 au sein d'un CCSAC
Participe aux audits de niveau 3 (ne peut pas signer en solo)
Signes Examens et pré-évaluation SAQ
Signe le ROC sous la direction d'un auditeur principal
Obligations
Fonctionne au sein d'exactement un CCSAC accrédité (multi-affiliation interdite)
Déclaration de conflit d'intérêts pour chaque audit
Au moins des audits 5 par an pour conserver la qualification pratique
Abonnement à la revue CCSA QA (contrôles ROC échantillonnés)
Honoraire (indicatif)
Valeurs indicativesChemin standard $3,000 ; delta PCI QSA $2,000 ; delta ГОСТ 57580 $2,500 ; requalification $700/an
Auditeur senior : signe ROC L1/L2/L3, dirige l'équipe, peer-reviews dans le programme QA.
Journées intensives encadrées par un moniteur 5 (40h). Examen : un "juge et jury" 1-day avec des cas d'ambiguïté 3, notés par un panel d'auditeurs principaux actifs 3. Validité 2 ans.
Qui est admissible : portes d'entrée
Certificat CCSA-QSA actif
Au moins des audits 10 CCSA sur des années 2, dont au moins 1 Niveau 3
Nettoyer l'historique QA sans ROC révoqué
Recommandation du conseil principal QA
Droits
Panneaux ROC au niveau 1, 2, 3
Dirige l'équipe d'audit
Décide des contrôles compensatoires (Niveau 2)
Agit à titre de pair évaluateur dans le programme du Conseil QA
Obligations
Participe au Sommet annuel des auditeurs principaux du Conseil pour le renouvellement
Examine par les pairs au moins les ROC de collègues 5 par cycle
Honoraire (indicatif)
Valeurs indicativesInitiale $3,500 ; Revalidation $1,500 tous les ans 2
Frais de reprise
Praticien : $300 (reprises max de 2)
CCSA-QSA : $900 (reprises maximales de 2) ; une troisième tentative nécessite de reprendre le cours
Certificat de remplacement : $100
Code de responsabilité professionnelle CCSA
Signé par chaque auditeur certifié.
Indépendance. Aucun intérêt financier pour le client ; il se peut qu'il n'ait pas été l'employé du client au cours des années 2.
Objectivité. Le ROC est basé sur des faits observables et non sur le récit du client.
Compétence professionnelle. Connaissances entretenues par requalification.
Confidentialité. Les informations client ne sont pas divulguées sans autorisation.
Comportement professionnel. Aucune déclaration publique désobligeante sur les clients, les concurrents ou le Conseil.
Lutte contre la corruption. Les cadeaux des clients sont plafonnés à $100 ; les affiliations sont divulguées.
Sanctions en cas de violations
| Infraction | Sanction |
|---|---|
Conflit d'intérêts sans divulgation | 6-mois de suspension |
ROC forgé | Révocation du certificat + réapplication de l'interdiction |
Fuite de données client | 1-année de suspension + responsabilité civile |
ROC systématiquement de mauvaise qualité | Suspension jusqu'à la formation de rattrapage |
Corruption | Révocation + avis public + saisine des forces de l'ordre |
Infrastructure de certification du Conseil
Un portail d'apprentissage (LMS) avec cours, vidéo et exercices pratiques.
Un bac à sable pour les examens pratiques : un cluster de test MPC, un simulateur HSM, un environnement de test entrefer, une infrastructure de surveillance uniquement.
Surveillance en ligne ; examens hors ligne trimestriels à Moscou, Saint-Pétersbourg et Almaty.
Un registre public des praticiens certifiés / CCSA-QSA / Auditeurs principaux.
Intérêt pour la certification d'auditeur
Les programmes Practitioner / CCSA-QSA / Lead Auditor s'ouvrent avec la version standard v1.0. Dites-nous votre qualification active (PCI QSA, ГОСТ 57580, ISO 27001 LA) et le Conseil vous informera de la première cohorte et du cours delta.
Le Conseil répond dans les jours ouvrables 5.
Cela ouvre un e-mail dans votre client de messagerie avec le sujet pré-rempli. Le Conseil ne partage aucun contact avec des tiers.
Aucune donnée de contact n'est collectée sur le site — l'e-mail s'ouvre dans votre propre client de messagerie.
Devenez un CCSA-QSA
La certification est individuelle uniquement. Vous pouvez travailler en tant qu'auditeur uniquement au sein d'un cabinet d'audit accrédité (CCSAC). La structure de la norme reflète PCI DSS v4.0.1 (approche définie/personnalisée, bonnes pratiques, exemples), ce qui réduit le coût de changement pour les QSA expérimentés.
La certification est individuelle uniquement : travailler en tant qu'auditeur nécessite un emploi dans un CCSAC accrédité. Le cours delta est l’entrée accélérée pour les QSA PCI DSS actifs.