v0.2, черновик -> v1.0

Аккредитация CCSAC

Компаниям-аудиторам (CCSAC)

Ваши клиенты по PCI DSS уже спрашивают криптоаудиты. Пройдите аккредитацию и откройте новое регулярное направление выручки. Совет CCSA сам не проводит аудиты — это делают аккредитованные партнёры CCSAC, аналог компаний QSA в PCI SSC.

CCSAC — юридическое лицо, аккредитованное Советом CCSA на проведение аудитов. Только сотрудники аккредитованной CCSAC могут оказывать аудиторские услуги под брендом CCSA. Аккредитация подтверждается ежегодно и сопровождается программой контроля качества с выборочной проверкой ROC.

Потенциальные кандидаты (иллюстративно)

Целевая аудитория: действующие компании QSA, лицензиаты ФСТЭК на ТЗКИ, аудиторы смарт-контрактов, форензик-компании и международные фирмы среднего уровня на этапах 2–3. Конкретные названия приведены только как потенциальные кандидаты.

01 —Состав

Требования: 6 групп

1. Юридические

Действующее юридическое лицо в зоне аккредитации (РФ, KZ, BY, UZ, AM — фаза 1; БРИКС+ — фаза 3)
Не менее 3 лет в аудите информационной безопасности либо 1 год и подтверждённый сильный опыт специалистов
Отсутствие неурегулированных исков, банкротных процедур, санкций регуляторов

2. Финансовые

Уставный капитал не менее 1 000 000 ₽ (для РФ)
Финансовая отчётность за 3 года или эквивалент
Не находится в процессе ликвидации

3. Страхование (на каждое требование, не агрегированно)

Профессиональная ответственность (E&O): 100 000 000 ₽ на инцидент / 500 000 000 ₽ совокупно
Общая коммерческая ответственность: 50 000 000 ₽ на инцидент
Ответственность за киберриски (рекомендуется): 100 000 000 ₽ на инцидент
Подтверждение страхования ежегодно подаётся в Совет CCSA

4. Независимость

Нельзя продавать/внедрять средства защиты тому же клиенту, которого аудируешь
Формальная сегрегация аудиторской практики от консалтинговой/интеграторской
Документированная политика независимости
Двухлетний период независимости после оказания консультационных услуг

5. Персонал

Минимум 2 индивидуальных CCSA-QSA в штате (трудовой договор, не подрядчики)
Минимум один ведущий аудитор (можно добавить в течение 12 месяцев)
Назначенный руководитель по качеству
Ответственный за соблюдение требований

6. Процессы (QMS)

Методология оценки, согласованная с шаблоном отчёта ROC CCSA
Программа контроля качества — экспертное рецензирование каждого ROC до отправки клиенту
Хранение рабочих документов не менее 5 лет
Управление изменениями при выходе новых версий стандарта
Процедура раскрытия конфликта интересов
Программа поддержания квалификации сотрудников

02 —Итог

Процедура аккредитации: 6 этапов

Этап 1. Заявка

Итог

Форма заявки CCSAC, невозвратный сбор 300 000 ₽ и соглашение о неразглашении.

Этап 2. Проверка документов

Итог

Регистрация, отчётность за 3 года, страховки, внутренние политики, резюме сотрудников, подтверждение как минимум двух CCSA-QSA, примеры отчётов (PCI ROC / SOC 2 / ISO 27001 / ГОСТ 57580) и бизнес-план на 12 месяцев. Срок проверки — 6–10 недель.

Этап 3. Проверка рекомендаций

Итог

Рекомендации от 2–3 клиентов, запросы в PCI SSC и ФСТЭК, проверка биографии руководителей и владельцев.

Этап 4. Пилотный аудит (при необходимости для новых компаний)

Итог

Пробный аудит синтетического примера; ведущий специалист Совета CCSA по качеству оценивает ROC. Стоимость — 500 000 ₽; при успехе до 250 000 ₽ засчитывается в счёт первого ежегодного взноса CCSAC. Сбор за заявку не возвращается.

Этап 5. Подписание соглашения

Итог

Соглашение об аккредитации CCSAC на один год с автоматическим продлением при соблюдении условий.

Этап 6. Публикация в реестре

Итог

Запись в публичном реестре CCSAC: название, юрисдикция, аккредитованные сегменты (C.1–C.4), уровни (L1–L3), штат CCSA-QSA, статус.

03 —

Область аккредитации (сегмент × уровень)

По сегментам

C.1

C.1 — кастодиальные кошельки/кастодианы (требуется HSM-экспертиза)

C.2

C.2 — некастодиальные кошельки (безопасность мобильных и настольных приложений)

C.3

C.3 — биржи (широкий набор экспертиз)

C.4

C.4 — эмитенты (HSM/MPC для ключей выпуска и погашения; безопасность смарт-контрактов и аттестация резервов не входят в область действия CCSA, §0.2.2)

По уровням

Уровень 1: 2 CCSA-QSA

Уровень 2: не менее 3 CCSA-QSA и одного ведущего аудитора

Уровень 3: не менее 5 CCSA-QSA, двух ведущих аудиторов и 10 проведённых аудитов уровня 2

Изменение области аккредитации

Расширение на новый сегмент: 100 000 ₽

Расширение уровня (L2 -> L3): 200 000 ₽

04 —

Стоимость аккредитации (год 1)

Ориентировочные значения

Числа — черновик v0.2, ориентировочные. Страховые диапазоны и итог «3–5 млн ₽» — индикативные.

Стоимость аккредитации (год 1)
Статья	Первичная (год 1)	Ежегодное продление
Сбор за заявку	300 000 ₽	—
Ежегодный взнос CCSAC	1 500 000 ₽	1 500 000 ₽
Пилотный аудит (если требуется)	500 000 ₽	—
Обучение персонала (минимум два CCSA-QSA)	от 300 000 ₽ за два дельта-курса PCI QSA до 500 000 ₽ по стандартному пути	60 000 ₽ за человека в год
Страхование E&O	1–3 млн ₽/год (ориентировочно)	1–3 млн ₽/год (ориентировочно)
Минимум за год 1	3–5 млн ₽ (ориентировочный диапазон)	3–5 млн ₽ (ориентировочно)

Восстановление после приостановления: 500 000 ₽ плюс расходы на устранение нарушений.

05 —

Санкции

Систематически некачественные ROC -> план исправлений на 90 дней

Игнорирование плана исправлений -> приостановление аккредитации

Подделка ROC или свидетельств -> прекращение аккредитации и публикация решения

Нарушение независимости -> приостановление до устранения

Иллюстративные данные

Зона аккредитации и названия компаний (Информзащита, Positive Technologies, BI.ZONE, ДиалогНаука, F.A.C.C.T., HashEx, BDO, Grant Thornton) приводятся как потенциальные кандидаты, а не подтверждённые партнёры.

Индивидуальные сертификации CCSA-QSA ->Программа контроля качества (QA) ->Реестр аккредитованных CCSAC ->Полные цены аккредитации ->

Зафиксировать интерес к аккредитации CCSAC

Аккредитация компаний-аудиторов открывается с выходом стандарта v1.0. Оставьте контакт компании, и Совет CCSA сообщит о старте набора в первую волну и пришлёт пакет требований CCSAC.

Совет CCSA отвечает в течение 5 рабочих дней.

Письмо откроется в вашем почтовом клиенте с заполненной темой. Совет CCSA не передаёт контакты третьим лицам.

Контактные данные не собираются на сайте — письмо открывается в вашем почтовом клиенте.

Запросить аккредитацию CCSAC

Совет CCSA не проводит аудиты сам — все CCSA-аудиты идут через аккредитованных партнёров. Цифры стоимости и сроков ориентировочные и уточняются при выходе v1.0.