SAQ-C1 — auto-évaluation des portefeuilles de conservation

1.1L'entité juridique, le segment (C.1–C.4) et le niveau cible (L1/L2/L3) de l'évaluation sont-ils déclarés ?

1.2AUM / capitalisation boursière / TVL indiqué dans USD est-il équivalent aux seuils de niveau du segment ?

1.3Un contact d'évaluation et un responsable de la conformité sont-ils désignés ?

2.1Existe-t-il des certifications PCI DSS et/ou ГОСТ Р 57580 valides (avec niveau et validité indiqués) ?

2.2Existe-t-il des rapports SOC 2 (Type 1/2) et/ou une certification ISO 27001:2022 ?

2.3Existe-t-il une certification CCSS (Niveau I/II/III) ou d'autres certifications pertinentes ?

3.1Un inventaire CCM documenté est-il conservé (CMDB, chemins de coffre-fort ou équivalent) ?

3.2L'inventaire couvre-t-il toutes les catégories CCM (A à F) applicables ?

3.3Chaque entrée contient-elle une catégorie, une description, une technologie, un emplacement de stockage principal et un propriétaire ?

3.4L'environnement matériel cryptographique (CME) est-il défini et documenté ?

3.5La segmentation du réseau est-elle appliquée pour réduire le CME (pare-feu, VLAN, isolation, limite matérielle HSM) ?

3.6Des tests de segmentation sont-ils effectués chaque année ?

3.7Les flux de données sont-ils documentés pour chaque catégorie CCM applicable (génération, stockage, accès, utilisation, transmission, destruction) ?

3.8L'inventaire CCM est-il révisé trimestriellement (tous les mois 6 pour L1) ?

3.9L'inventaire est-il mis à jour dans les jours ouvrables 5 en cas de modifications déclenchées par un événement ?

4.1Une source d'entropie qualifiée est-elle utilisée (TRNG FIPS 140-3 L3+, DRBG NIST SP 800-90A, HSM interne RNG, Secure Enclave/StrongBox ou СКЗИ КС2/КС3/КВ1) ?

4.2Des tests d'entropie ont-ils été effectués (tests statistiques NIST SP 800-22, FIPS 140-2) ?

4.3Un environnement sans air est-il utilisé pour la cérémonie de génération de l'entrepôt frigorifique ?

4.4Le protocole clé de la cérémonie est-il documenté (rôles, protocole étape par étape, vérification, signature) ?

4.5La cérémonie est-elle multi-personnes (2-of-3 / 3-of-5 ; témoin indépendant pour L3) ?

4.6Une vérification post-génération est-elle effectuée (dérivation d'adresse, test de signature, test négatif MPC) ?

5.1La catégorie A (Maître) est-elle stockée via un mécanisme HSM (FIPS 140-2/3 L3+) ou MPC (≥2-of-3 pour L1/L2, ≥3-of-5 avec distribution pour L3) ?

5.2Le texte en clair CCM est-il interdit dans .env, les référentiels, les images de conteneurs, les variables d'environnement, les champs DB non chiffrés, les journaux et localStorage ?

5.3L'analyse des secrets est-elle en place (TruffleHog, gitleaks, GitGuardian) ?

5.4Un chiffrement AEAD est-il utilisé pour le cryptage CCM au repos (AES-256-GCM, AES-256-GCM-SIV, ChaCha20-Poly1305 ou Kuznyechik MGM) ?

5.5La clé de cryptage principale (MEK) est-elle stockée séparément du CCM crypté (dans un HSM/KMS/MPC, non colocalisé) ?

5.6La part de stockage frigorifique de AUM atteint-elle le seuil de niveau (L1 ≥65%, L2 ≥85%, L3 ≥95%) ?

5.7Les sauvegardes CCM sont-elles géographiquement réparties (emplacements L1 ≥2, juridictions L2 ≥2, juridictions L3 ≥3) ?

5.8La restauration des sauvegardes est-elle testée trimestriellement (pour L2+ ; annuellement pour L1) ?

6.1La clé privée ne quitte jamais sa limite de confiance (HSM / MPC / Secure Enclave / TEE) pour les opérations de signature ?

6.2L'autorisation de signature pour plusieurs personnes est-elle mise en œuvre par tranche de valeur de transaction par niveau ?

6.3Les cookies sont-ils définis avec HttpOnly + Secure + SameSite=Strict ?

6.4Les méthodes 2FA répondent-elles aux exigences (TOTP, FIDO2/WebAuthn, biométrie Secure-Enclave, jeton matériel) — avec SMS, liens de courrier électronique et push sans défi exclus ?

6.5L'authentification renforcée est-elle appliquée au-dessus du seuil (> 50 000 $ pour L3, > 100 000 $ pour L2) ?

6.6DPoP (RFC 9449) est-il implémenté – obligatoire pour L3 ?

6.7Une solution PAM est-elle utilisée pour un accès privilégié à l'infrastructure CCM ?

6.8Un mécanisme kill-switch est-il en place pour les sessions privilégiées ?

7.1La cadence de rotation est-elle définie pour les six catégories CCM (par niveau) ?

7.2La rotation déclenchée lors du débarquement est-elle effectuée dans SLA (L1 ≤24h, L2 ≤4h, L3 ≤1h) ?

7.3Un playbook de révocation est-il documenté pour chaque catégorie CCM au sein de SLA (compromission confirmée ≤15 min, suspectée ≤1h) ?

7.4La récupération a-t-elle été testée au cours des derniers mois 12, atteignant le niveau RTO (L1 ≤72h, L2 ≤24h, L3 ≤4h) ?

7.5Des procédures d'élimination sont-elles définies (effacement cryptographique, remise à zéro du HSM, destruction physique pour le L3) ?

8.1Les seuils multi-signatures sont-ils respectés par solde/contexte (stockage frigorifique : L1 2-of-3, L2 3-of-5, L3 4-of-7 avec répartition géographique) ?

8.2Les détenteurs de clés sont-ils géographiquement répartis (pour L3, dans plusieurs juridictions) ?

8.3La surveillance en mode veille uniquement est-elle connectée à tous les portefeuilles de production ?

8.4Les niveaux chaud/chaud/froid sont-ils architecturalement isolés (avec espace d'air froid, chaud restreint, chaud DMZ) ?

8.5Des délais de retrait sont-ils appliqués aux opérations de grande valeur par niveau ?

8.6La liste blanche des adresses de destination est-elle utilisée pour les comptes institutionnels, avec une approbation de plusieurs personnes et un délai de réflexion pour les nouvelles adresses ?

9.1La journalisation complète des événements CCM est-elle maintenue avec les champs requis ?

9.2L'intégrité des journaux est-elle assurée (chaînage de hachage cryptographique entre les entrées ou stockage WORM) ?

9.3La période de conservation des journaux est-elle respectée (L1 12 mo, L2 24 mo, L3 36 mo) ?

9.4La détection des anomalies est-elle mise en œuvre (basée sur des règles pour L1, lignes de base statistiques pour L2, ML pour L3) ?

9.5La réconciliation montre seule SLA est-elle respectée : temps de détection (L1 ≤5 min, L2 ≤1 min, L3 ≤30 sec) et temps de réponse (L1 ≤30 min, L2 ≤15 min, L3 ≤5 min) ?

9.6La réconciliation couvre-t-elle les écarts entre l'activité en chaîne et les journaux de signature ?

9.7Le manuel de réponse aux incidents couvre-t-il tous les scénarios requis (évacuation du portefeuille chaud, compromission HSM, compromission d'un participant MPC, fuite massive de jetons de session, exfiltration d'initiés, incident côté fournisseur, campagne de phishing) ?

9.8Un exercice théorique annuel a-t-il été mené ?

10.1Une vérification des antécédents du personnel CCM a-t-elle été effectuée avec les éléments et la périodicité requis (L1/L2 tous les ans 3, L3 tous les ans 2) ?

10.2Une politique de séparation des tâches (SoD) est-elle documentée avec une matrice et une détection automatisée des conflits ?

10.3L'accès est-il révisé tous les trimestres (pour L2+) ?

10.4L'intégration inclut-elle toutes les exigences préalables à l'accès (vérification des antécédents, NDA, formation, test de compréhension ≥80%, probation 30/60/90-day) ?

10.5Les SLA d'exclusion sont-ils respectés (désactivation du compte, révocation de l'accès physique, suspension temporaire de plusieurs signatures, rotation déclenchée) ?

10.6Les détenteurs de clés sont-ils géographiquement répartis pour L2+ (une seule juridiction est un échec pour L2+) ?

11.1Toutes les questions ci-dessus ont-elles reçu une réponse véridique ?

11.2Les preuves justificatives sont-elles conservées et prêtes à être fournies sur demande ?

11.3Les huit exigences critiques (B.1.1, B.1.2, B.2.1, B.3.1, B.4.1, B.5.2, B.7.3, B.8.1) sont-elles en place ?

11.4Les contrôles compensatoires appliqués et les objectifs d'approche personnalisée sont-ils documentés (le cas échéant) ?