Méthodologie d'évaluation
Une méthodologie binaire sans notation numérique : chaque exigence applicable reçoit l'un des cinq statuts, et le niveau de certification est fixé par le ratio En Place, le ratio Compensation-Contrôle et zéro Pas en Place.
Cinq statuts d'évaluation des exigences
Chaque exigence applicable est évaluée par l'auditeur CCSA-QSA dans l'un des cinq statuts. Il n’y a pas de statut intermédiaire (Partiellement en place, conformité partielle) : tout écart matériel signifie Pas en place.
Entièrement mis en œuvre via l'approche définie ; toutes les procédures de test réussissent sans résultat.
Mis en œuvre via l'approche personnalisée ; l’Objectif de l’Approche Personnalisée est atteint et vérifié par l’auditeur.
Non mis en œuvre ou présentant des lacunes critiques. Toute incertitude dans la mise en œuvre est traitée comme non en place.
Hors de portée selon les notes d'applicabilité de l'exigence et la matrice de segments ; nécessite une justification dans le ROC.
Une mesure de protection alternative qui répond aux critères de Front Matter §0.8.
Contrairement à PCI DSS v4.0.1, il n'y a pas de statut Non testé dans CCSA : chaque exigence applicable doit être évaluée ou explicitement déplacée vers Non applicable avec justification.
Approche définie vs approche personnalisée
Chaque exigence peut être satisfaite de deux manières.
Le chemin standard : mettre en œuvre comme décrit dans l'exigence de l'approche définie ; l'auditeur vérifie la conformité via les étapes Examiner / Interviewer / Observer / Tracer.
La voie alternative : une implémentation arbitraire dont il a été prouvé qu'elle répond à l'objectif de l'approche personnalisée. Nécessite une mise en œuvre documentée, une évaluation des risques et sa propre procédure de test.
L'approche personnalisée est interdite pour les huit exigences critiques — seule l'approche définie est autorisée pour elles (ou un CC dans des cas strictement limités).
Calcul de conformité
La certification de niveau L est obtenue si et seulement si les quatre conditions sont remplies simultanément.
Ratio En Place = (En Place + En Place avec Approche Personnalisée) / exigences obligatoires applicables
Ratio CC = Nombre de contrôles compensatoires / exigences obligatoires applicables
Conditions de certification au niveau L
Rapport en place >= seuil (L)
Rapport CC <= limite (L)
Nombre d'absences en place = 0
Toutes les exigences critiques du 8 en place
Trois niveaux de certification
Le niveau n'est pas fixé par un score moyen mais par la part des exigences obligatoires applicables en place, la part CC autorisée et zéro non en place. À chaque niveau, l'audit complet est annuel.
| Niveau | Rapport en place | Rapport CC maximum | Pas en place | Public cible |
|---|---|---|---|---|
L1 Niveau 1 — Fondation | >= 90% | <= 10% | 0 | Startups en phase de démarrage, MVP, petits projets avec AUM / capitalisation boursière < 5 M$ |
L2 Niveau 2 — Standard | >= 95% | <= 5% | 0 | Opérateurs matures, VASP réglementés — le niveau minimum requis (5 M$ à 500 M$) |
L3 Niveau 3 — Avancé | >= 100% | <= 2,5% | 0 | Acteurs d'importance systémique (> 500 millions de dollars), grands émetteurs de stablecoins, VASP dans des juridictions strictes |
À chaque niveau : audit complet chaque année, 0 % non en place parmi les obligatoires, 100 % des exigences critiques en place via l'approche définie.
Toute exigence critique non en place = échec automatique à n'importe quel niveau, quel que soit le ratio global sur place.
Calcul de conformité
La certification de niveau L est obtenue si et seulement si les quatre conditions sont remplies simultanément.
Rapport en place
95% / 100%
Conditions de certification au niveau L
>= 90% / CC <= 10%
>= 95% / CC <= 5%
>= 100% / CC <= 2,5%
Toute exigence critique non en place = échec automatique à n'importe quel niveau, quel que soit le ratio global sur place.
Limites de contrôle compensatoires et approbation
Un CC s'applique lorsqu'une exigence ne peut pas être satisfaite via l'approche définie et que l'approche personnalisée n'est pas applicable, compte tenu d'une mesure alternative équivalente ou supérieure vérifiée par l'auditeur.
| Niveau | Max CC d'obligatoire | Autorité d'approbation |
|---|---|---|
| L1 | <= 10% | CCSAC |
| L2 | <= 5% | CCSAC + revue par les pairs par un autre CCSAC |
| L3 | <= 2.5% | Chef du Conseil QA Officier |
Chaque CC est revalidé lors de l'audit annuel, sur tout changement d'infrastructure, et immédiatement après un incident que l'exigence initiale aurait évité.
Les huit exigences critiques
Exigences fondamentales selon des règles plus strictes : l'approche personnalisée est toujours interdite, le report ne s'applique jamais, et l'une d'entre elles n'est pas en place signifie un échec automatique.
B.1.1, B.1.2, B.5.2, B.7.3
B.2.1, B.3.1, B.4.1, B.8.1
Cycles de réévaluation
Le cycle de deux ans précédent pour le niveau 1 a été supprimé – le rythme de changement de l'infrastructure cryptographique est incompatible avec un intervalle d'un mois 24-.
Niveau 1 : audit complet annuel + une auto-évaluation SAQ tous les 6 mois entre les audits.
Niveau 2 : audit complet annuel + revue de conformité trimestrielle avec participation CCSAC ; Échantillonnage QA de 10% des certifications.
Niveau 3 : audit complet annuel + suivi continu + revue trimestrielle ; Échantillonnage QA de 100 % des certifications chaque année.
La certification de niveau L est obtenue si et seulement si les quatre conditions sont remplies simultanément.
Norme CCSA
Trois niveaux de certification
Le niveau n'est pas fixé par un score moyen mais par la part des exigences obligatoires applicables en place, la part CC autorisée et zéro non en place. À chaque niveau, l'audit complet est annuel.