Cartographie et report
Matrice de cartographie ouverte CCSA <-> PCI DSS, GOST R 57580, CCSS, SOC 2, MiCA. Un certificat de base valide reprend une partie des exigences CCSA, ce qui rend l'audit moins cher et plus rapide.
Brouillon v0.2 -> v1.0. Sous réserve de modifications avant 2027-01-01.
Que signifie le report
Si une entité détient un certificat de base valide et actuel, les exigences CCSA marquées Complètes ou Partielles sont créditées, sous conditions. Le report fait référence à un contrôle déjà vérifié plutôt que de le tester à nouveau.
Références CCSA plutôt que réécritures. Un delta étroit est ajouté uniquement pour protéger le matériel cryptographique critique – par analogie avec la façon dont PCI DSS protège uniquement les données des titulaires de carte.
Rubrique A.7 — CCSA v0.2
Trois catégories reportées
Complet — la référence couvre entièrement l'exigence ; une fois la validité du certificat confirmée, le statut est En place sans autre test.
Partielle — la couverture est partielle ; la partie spécifique à la cryptographie est en outre testée via les procédures de test de l'approche définie pertinentes.
N/A — la ligne de base ne couvre pas l'exigence (ou CCSA est plus stricte) ; le report ne s’applique pas et des tests complets sont effectués.
Critique — l'une des exigences critiques 8 ; le report ne s’applique jamais, quelle que soit la force de la ligne de base.
Conditions de report (Section A.7.2)
Le certificat de base ne date pas de plus de mois 12 à la date de début de l'évaluation CCSA.
Le certificat de base a au moins 6 mois de validité restante à la date de début de l'évaluation.
La portée du certificat recoupe l'environnement matériel cryptographique (CME, section B.1.2).
Validation via registre : authenticité du certificat, alignement du périmètre, continuité des contrôles.
En outre pour SOC 2 : type 2 uniquement ; déclarer une période de couverture d'au moins 6 mois ; date de fin de période au plus tard 12 mois avant le début de l'évaluation ; les critères incluent la sécurité (obligatoire) et la confidentialité.
De plus pour MiCA : l'entité est dans le registre EU VASP ; ses activités enregistrées comprennent les services de conservation de crypto-actifs.
Les exigences critiques 8 ne sont jamais reportées
Le report ne s'applique jamais aux exigences critiques 8, quelle que soit la force de base. Ils nécessitent toujours des tests complets d’approche définie. Leur mappage dans les tableaux est uniquement un contexte de référence.
Contrôle Compensatoire totalement interdit
Contrôle compensatoire uniquement au niveau 1 avec approbation du Conseil
Matrice de cartographie interactive
Sélectionnez une référence et filtrez par catégorie de report. La matrice PCI DSS (domaines 8 B.1–B.8) est l'ensemble le plus détaillé ; des mappages de touches sont fournis pour GOST, CCSS, SOC 2 et MiCA.
| Exigence CCSA | Référence de base | Report | Remarque |
|---|---|---|---|
| B.1.1 | Req 9.5.1 (Media Inventory) — analogy | Critique | A–F categorisation and CCM specifics require a full CCSA assessment |
| B.1.2 | Req 1.4 (CDE Definition) — analogy | Critique | CME is a conceptual analogue of the CDE |
| B.2.1 | Req 3.6.1 (Key Generation) | Critique | CCSA requires FIPS 140-3 Level 3 / NIST SP 800-90A |
| B.2.2 | Req 1.4 — analogy | N/A | CCSA requires air-gap (L2) / shielding (L3) |
| B.2.3 | — | N/A | Ceremony protocol is a CCSA-specific requirement |
| B.2.4 | — | N/A | Verification of generated material is CCSA-specific |
| B.3.1 | Req 3.5 (Protect Stored Account Data) | Critique | CCSA requires HSM / MPC / Secure Enclave with explicit certification |
| B.3.2 | Req 3.5.1 (Strong Cryptography) | Complet | AEAD is compatible with PCI Strong Cryptography |
| B.3.3 | — | N/A | Hot/Warm/Cold tiering is a CCSA-specific requirement |
| B.3.4 | Req 12.10.1 (Disaster Recovery) | Partiel | Additional checks: backup-specific MEK, geographic distribution |
| B.4.1 | Req 3.6.7 (Key Usage) | Critique | CCSA refines this through a trusted boundary |
| B.4.2 | Req 7 (Restrict Access by Need to Know) | Partiel | CCSA refines this through a dual-control threshold table |
| B.4.3 | Req 8 (Authentication) | Partiel | 2FA on the signing operation, not only login |
| B.4.4 | Req 7, Req 8 (Access Control + Auth) | Complet | PAM with MFA is fully covered |
| B.5.1 | Req 3.6.4 (Key Rotation) | Complet | CCSA cadence is stricter than or equal to PCI "at least annually" |
| B.5.2 | Req 12.10 (Incident Response) | Critique | CCSA sets specific revocation SLAs by event type |
| B.5.3 | Req 12.10 (Business Continuity) | Partiel | CCSA refines the scenarios and RPO/RTO |
| B.5.4 | Req 3.7 (Key Destruction) | Complet | Cryptographic erasure and certified disposal |
| B.6.1 | — | N/A | Multi-signature is a crypto-specific concept |
| B.6.2 | Req 10 (Logging) — analogy | Partiel | Watch-only via on-chain is crypto-specific |
| B.6.3 | Req 1.4 — analogy | Partiel | CDE segmentation analogy for hot/warm/cold isolation |
| B.6.4 | — | N/A | Withdrawal time-locks are a crypto-specific concept |
| B.6.5 | Req 1.2 — analogy | Partiel | Allowlist analogy for withdrawal whitelisting |
| B.7.1 | Req 10 (Logging and Monitoring) | Complet | Comprehensive logging with retention |
| B.7.2 | Req 10.4 | Partiel | CCSA requires automated detection with alerting and SLA |
| B.7.3 | Req 10.2 — analogy | Critique | Reconciliation of signing logs <-> on-chain is crypto-specific |
| B.7.4 | Req 12.10 (Incident Response) | Complet | Documented playbook with regulatory notification |
| B.8.1 | Req 12.7 (Personnel Screening) | Critique | CCSA requires enhanced screening for keyholders |
| B.8.2 | Req 7 (Restrict Access by Need to Know) | Complet | RBAC with conflict detection |
| B.8.3 | Req 12.6, Req 12.7 | Partiel | CCSA requires crypto-specific training |
| B.8.4 | Req 12.7 (Personnel) | Partiel | CCSA sets an SLA + triggered rotation on offboarding |
| B.8.5 | — | N/A | Geographic distribution of keyholders is crypto-specific |
Conditions particulières pour les clients RU (Section A.2.3) : SKZI certifié FSB, algorithmes GOST pour DFA, connexion de reporting FinCERT.
Niveaux : CCSS Niveau I -> CCSA Niveau 1 ; Niveau II -> Niveau 2 ; Niveau III -> Niveau 3. La preuve de réserve (domaine CCSS 9) n'entre pas dans la portée de CCSA.
Le report de SOC 2 est limité : une évaluation basée sur une opinion sur une période plutôt qu'une conformité binaire de CCSA. Le report complet de SOC 2 n’est pas possible – Partiellement uniquement.
Le mappage est limité aux articles MiCA sur la protection du matériel cryptographique. La gouvernance, l'émission, le AML, la divulgation et l'assurance (Art. 69, 70, 76) ne relèvent pas du champ d'application du CCSA. La valeur clé est B.3.3 (stockage hors ligne).
Résumé de la couverture par référence
Part des exigences CCSA reportées (complètes et partielles) de chaque référence. Les valeurs sont indicatives.
| Ligne de base | Complet | Partiel | Critique N/A | N/A (non critique) | Report (indicatif) |
|---|---|---|---|---|---|
| PCI DSS v4.0.1 | 7 | 10 | 8 | 7 | ~58% |
| ГОСТ Р 57580 | 6 | 3 | 8 | 0 | ~36% |
| CCSS v8.0 | 12 | 0 | 5 | 0 | ~65% |
| SOC 2 Type 2 | 0 | 8 | 8 | 0 | ~30% |
| MiCA | 0 | 7 | 2 | 0 | ~35% |
PCI DSS v4.0.1
~58%
ГОСТ Р 57580
~36%
CCSS v8.0
~65%
SOC 2 Type 2
~30%
MiCA
~35%
CCSS v8.0 est la référence la plus proche pour CCM, comme on peut s'y attendre d'une norme spécifique à la cryptographie.
PCI DSS v4.0.1 est une base de référence solide pour les exigences d'infrastructure commune (B.5.1, B.5.4, B.7.1, B.7.4, B.8.2, B.4.4).
GOST 57580 est essentiel pour les clients russes ; il couvre des parties de la gestion des accès et de la gestion des incidents.
SOC 2 est limité par sa méthodologie basée sur l'opinion ; Seule une partie partielle est possible.
MiCA dessert le segment EU ; sa valeur principale est dans B.3.3 (politique de stockage hors ligne).
Effet économique
Avec le report de plusieurs références, l'évaluateur effectue environ 50 % du travail d'un audit complet – net des exigences critiques 8, qui sont testées dans leur intégralité quelle que soit la référence. Le coût de l’audit pour le client est 1.5–2x inférieur.
Pour chaque exigence, le meilleur report est choisi parmi les lignes de base dont le périmètre recoupe le CME (Section A.8).
Effet économique
Matrice de cartographie ouverte CCSA <-> PCI DSS, GOST R 57580, CCSS, SOC 2, MiCA. Un certificat de base valide reprend une partie des exigences CCSA, ce qui rend l'audit moins cher et plus rapide.