Аудиторам (CCSA-QSA)
PCI DSS — зрелый рынок; клиенты просят крипто-аудиты, которые вы пока не можете оказывать. CCSA — естественное расширение специализации. Три уровня сертификации, понятная структура по образцу PCI DSS v4.0.1.
Сертификация выдаётся отдельному специалисту. Работать аудитором можно лишь в составе аккредитованной компании CCSAC. Структура стандарта повторяет PCI DSS v4.0.1: стандартный и индивидуальный подходы, рекомендации и примеры. Это снижает порог перехода для опытных QSA.
Лестница из трёх уровней (по возрастанию). Специалист без сертификата имеет доступ только к тексту стандарта и не может проводить аудит.
Специалист без сертификата — доступ только к тексту стандарта, аудит невозможен
Три уровня сертификации
Лестница из трёх уровней (по возрастанию). Специалист без сертификата имеет доступ только к тексту стандарта и не может проводить аудит.
Вход: участие в аудитах в составе команды CCSAC. Право подписи ROC/AOC отсутствует.
Около 40 часов самостоятельного онлайн-обучения. Экзамен: 60 вопросов за 90 минут, проходной результат — 70%, сдача онлайн с прокторингом. Срок действия — 5 лет.
Кто допускается: условия входа
Не менее 1 года в информационной безопасности или обеспечении соответствия
Базовое понимание блокчейна на примере Bitcoin и Ethereum
Английский на уровне чтения технической документации
Права
Участие в аудитах в составе команды CCSAC
Помощь клиентам уровня 1 с SAQ
Не может подписывать ROC или декларацию о соответствии AOC
Обязательства
Ежегодное подтверждение для сохранения статуса в реестре
Соблюдение Кодекса профессиональной ответственности CCSA
Стоимость (ориентировочно)
Ориентировочные значения50 000 ₽ за первичную сертификацию; 15 000 ₽ в год за поддержание; 30 000 ₽ за продление на пятом году
Право проводить аудиты L1/L2 в составе CCSAC и подписывать ROC под надзором ведущего аудитора.
Стандартный путь: онлайн-обучение, занятия с преподавателем и учебный аудит — около 120 часов за 6 недель с частичной занятостью. Дельта-курс для действующих PCI QSA занимает 2 недели полной занятости (80 часов), для аудиторов ГОСТ 57580 — 3 недели (120 часов). Экзамен: 100 теоретических вопросов за 3 часа и один практический пример за 4 часа; требуется 80% по теории и зачёт практики. Срок действия — 1 год.
Кто допускается: условия входа
Действующий PCI QSA (приоритетный путь)
Ведущий аудитор ISO 27001 и 2 года опыта в криптопроектах
Действующий аудитор ГОСТ 57580 (лицензиат ФСТЭК) + базовое знание крипты
Не менее 5 лет в информационной безопасности, 2 лет в криптопроектах и сертификат специалиста-практика CCSA
Документы: подтверждение базовой сертификации, резюме, 2 рекомендации (одна — от текущего работодателя CCSAC)
Права
Проводит аудиты уровней 1 и 2 в составе CCSAC
Участвует в аудитах уровня 3 без права самостоятельной подписи
Подписывает проверки SAQ и предварительные оценки
Подписывает ROC под надзором ведущего аудитора
Обязательства
Работа только в одной аккредитованной CCSAC; одновременная связь с несколькими компаниями запрещена
Декларация конфликта интересов для каждого аудита
Не менее 5 аудитов в год для поддержания практической квалификации
Участие в проверках качества CCSA, включая выборочную проверку ROC
Стоимость (ориентировочно)
Ориентировочные значенияСтандартный путь — 250 000 ₽; дельта-курс PCI QSA — 150 000 ₽; дельта-курс ГОСТ 57580 — 200 000 ₽; ежегодное подтверждение — 60 000 ₽
Старший аудитор: подпись ROC L1/L2/L3, руководство командой, экспертное рецензирование в программе QA.
Пятидневный интенсив с преподавателем (40 часов). Экзамен проходит за один день: три неоднозначных примера оценивает комиссия из трёх действующих ведущих аудиторов. Срок действия — 2 года.
Кто допускается: условия входа
Действующий сертификат CCSA-QSA
Не менее 10 проведённых аудитов CCSA за 2 года, включая хотя бы один аудит уровня 3
Чистая история без отозванных ROC в QA
Рекомендация ведущего специалиста Совета CCSA по качеству
Права
Подписывает ROC уровней 1, 2 и 3
Управляет аудиторской командой
Принимает решения по компенсирующим мерам уровня 2
Участвует в программе Совета CCSA по контролю качества как эксперт-рецензент
Обязательства
Участие в ежегодной встрече ведущих аудиторов Совета CCSA для обновления квалификации
Экспертное рецензирование не менее пяти ROC коллег за цикл
Стоимость (ориентировочно)
Ориентировочные значения300 000 ₽ за первичную сертификацию; 100 000 ₽ за подтверждение раз в 2 года
Стоимость пересдач
Специалист-практик: 25 000 ₽ (не более двух пересдач)
CCSA-QSA: 75 000 ₽ (максимум 2 пересдачи); третья попытка — после повторного прохождения курса
Дубликат сертификата: 5 000 ₽
Кодекс профессиональной ответственности CCSA
Подписывается каждым сертифицированным аудитором.
Независимость. Без финансового интереса в клиенте; нельзя быть его бывшим сотрудником в течение 2 лет.
Объективность. ROC основан на наблюдаемых фактах, а не на рассказах клиента.
Профессиональная компетентность. Регулярное подтверждение квалификации.
Конфиденциальность. Информация клиента не раскрывается без разрешения.
Профессиональное поведение. Без публичных порочащих заявлений о клиентах, конкурентах и Совете CCSA.
Антикоррупция. Подарки от клиентов лимитированы 10 000 ₽; аффилированности раскрываются.
Санкции за нарушение
| Нарушение | Санкция |
|---|---|
Нераскрытый конфликт интересов | Приостановление на 6 месяцев |
Подделка ROC | Отзыв сертификата и запрет на повторную подачу |
Утечка информации клиента | Приостановление на 1 год и гражданская ответственность |
Систематически некачественные ROC | Приостановление до прохождения корректирующего обучения |
Подкуп | Отзыв, публичное уведомление и передача материалов правоохранительным органам |
Сертификационная инфраструктура Совета CCSA
Учебный портал (LMS) с курсами, видео и практическими заданиями.
Учебная среда для практических экзаменов: тестовый кластер MPC, симулятор HSM, изолированное тестовое окружение и инфраструктура мониторинга без доступа к ключам.
Онлайн-прокторинг; офлайн-экзамены раз в квартал в Москве, Санкт-Петербурге, Алматы.
Публичный реестр сертифицированных специалистов-практиков, CCSA-QSA и ведущих аудиторов.
Зафиксировать интерес к сертификации аудитора
Программы специалиста-практика, CCSA-QSA и ведущего аудитора открываются с выходом стандарта v1.0. Укажите действующую квалификацию (PCI QSA, ГОСТ 57580 или ISO 27001 LA), и Совет CCSA сообщит о наборе на первый поток и дельта-курс.
Совет CCSA отвечает в течение 5 рабочих дней.
Письмо откроется в вашем почтовом клиенте с заполненной темой. Совет CCSA не передаёт контакты третьим лицам.
Контактные данные не собираются на сайте — письмо открывается в вашем почтовом клиенте.
Стать CCSA-QSA
Сертификация выдаётся отдельному специалисту. Работать аудитором можно лишь в составе аккредитованной компании CCSAC. Структура стандарта повторяет PCI DSS v4.0.1: стандартный и индивидуальный подходы, рекомендации и примеры. Это снижает порог перехода для опытных QSA.
Сертификация выдаётся отдельному специалисту: для работы аудитором требуется трудоустройство в аккредитованной CCSAC. Дельта-курс — ускоренный путь для действующих PCI DSS QSA.