Уровни сертификации
Три уровня — L1 базовый, L2 стандартный и L3 продвинутый — и бинарная методология без балльных оценок.
CCSA определяет три уровня сертификации. Уровень не выставляет «оценку», а фиксирует долю выполненных применимых требований: чем он выше, тем больше требуемая доля выполнения и тем меньше допустимая доля компенсирующих мер. На любом уровне невыполненных обязательных требований быть не должно, а все восемь критических требований выполняются по стандартному подходу.
Пороги уровней
Минимальные требования по каждому уровню. Источник: Раздел D стандарта.
Базовый
Уровень 1 — базовый
Базовый уровень соответствия для ранней стадии и небольшого объёма средств под управлением.
Доля выполненных / Макс. CC
Выполнено не менее 90%
Компенсирующие меры — не более 10%
Не выполнено — 0%
Критические требования
Все 8 критических требований выполнены по стандартному подходу
Рекомендуется
Стартапы, MVP, пилоты и малые проекты: активы под управлением или капитализация менее $5 млн (C.1, C.3, C.4) либо менее 10 000 активных пользователей в месяц (C.2)
CCSA L1 — базовый
Применение компенсирующих мер утверждает CCSAC.
Стандартный
Уровень 2 — стандартный
Основной рабочий уровень для регулируемых участников рынка.
Доля выполненных / Макс. CC
Выполнено не менее 95%
Компенсирующие меры — не более 5%
Не выполнено — 0%
Критические требования
Все 8 критических требований выполнены по стандартному подходу
Рекомендуется
Зрелые биржи, кошельки с большой базой (10 тыс.–1 млн активных пользователей в месяц), большинство кастодианов и эмитентов с активами под управлением $5–500 млн; минимально требуемый уровень для регулируемых VASP
CCSA L2 — стандартный
Компенсирующие меры утверждает CCSAC с экспертным рецензированием другой CCSAC.
Продвинутый
Уровень 3 — продвинутый
Усиленный уровень для системно значимой инфраструктуры.
Доля выполненных / Макс. CC
Выполнено 100% (либо до 2,5% компенсирующих мер с обязательным одобрением руководителя Совета CCSA по качеству)
Компенсирующие меры — не более 2,5%
Не выполнено — 0%
Критические требования
Все 8 критических требований выполнены по стандартному подходу
Рекомендуется
Системно значимые игроки (десять крупнейших бирж, крупнейшие кастодианы), регулируемые VASP в строгих юрисдикциях и эмитенты крупных стейблкоинов с капитализацией более $100 млн
CCSA L3 — продвинутый
Компенсирующие меры утверждает руководитель Совета CCSA по качеству.
| Уровень | Доля выполненных | Макс. CC | Не выполнено | Критические требования |
|---|---|---|---|---|
| L1 | Выполнено не менее 90% | Компенсирующие меры — не более 10% | 0% | Все 8 критических требований выполнены по стандартному подходу |
| L2 | Выполнено не менее 95% | Компенсирующие меры — не более 5% | 0% | Все 8 критических требований выполнены по стандартному подходу |
| L3 | Выполнено 100% (либо до 2,5% компенсирующих мер с обязательным одобрением руководителя Совета CCSA по качеству) | Компенсирующие меры — не более 2,5% | 0% | Все 8 критических требований выполнены по стандартному подходу |
Бинарная методология оценки
Каждое применимое требование аудитор CCSA-QSA относит к одному из пяти статусов. Балльные оценки и взвешенные средние не применяются. Промежуточных статусов вроде «частично выполнено» не существует: при наличии пробела требование считается невыполненным.
Выполнено — полное соответствие по стандартному подходу; все процедуры проверки пройдены без замечаний.
Выполнено по индивидуальному подходу — его цель достигнута и подтверждена аудитором.
Не выполнено — требование не реализовано или содержит критические пробелы.
Неприменимо — следует из условий применимости и сегментной матрицы; требует обоснования в ROC.
Компенсирующий контроль — альтернативная защита, прошедшая предусмотренную процедуру.
В отличие от PCI DSS, статуса «Не проверено» в CCSA нет.
Как считается соответствие
Доля выполненных = (выполнено + выполнено по индивидуальному подходу) / применимые обязательные требования
Доля компенсирующих мер = их число / применимые обязательные требования
Сертификация уровня L выдаётся, если доля выполненных не ниже порога L, доля компенсирующих мер не выше лимита L, невыполненных требований нет и все восемь критических требований выполнены.
Лимиты и утверждение компенсирующих мер
Максимальная доля CC от обязательных требований и орган утверждения по уровням.
| Уровень | Макс. доля компенсирующих мер | Кто утверждает |
|---|---|---|
| L1 | Компенсирующие меры — не более 10% | CCSAC |
| L2 | Компенсирующие меры — не более 5% | CCSAC + экспертное рецензирование другой CCSAC |
| L3 | Компенсирующие меры — не более 2,5% | Руководитель Совета CCSA по качеству |
Компенсирующие меры полностью запрещены для B.1.1, B.1.2, B.5.2 и B.7.3. Для B.2.1, B.3.1, B.4.1 и B.8.1 они допустимы только на L1 с одобрением Совета CCSA.
Циклы переаттестации
Полный аудит проводится ежегодно на всех уровнях. Двухлетний цикл из ранних драфтов отменён.
| Уровень | Полный аудит | Промежуточные проверки |
|---|---|---|
| L1 | Полный аудит проводится ежегодно на всех уровнях. | Полный аудит ежегодно; промежуточные SAQ каждые 6 месяцев (SAQ-1 на 6-м, SAQ-2 на 12-м месяце цикла). |
| L2 | Полный аудит проводится ежегодно на всех уровнях. | Полный аудит проводится ежегодно; ROC направляется в Совет CCSA для проверки качества (выборка 10% сертификаций L2 в год); ежеквартально CCSAC проверяет соответствие и журналы обнаружения компрометации. |
| L3 | Полный аудит проводится ежегодно на всех уровнях. | Полный аудит проводится ежегодно; Совет CCSA внепланово проверяет 100% сертификаций L3 за год; ведутся непрерывный мониторинг, ежеквартальная проверка и анализ журналов. Повторный аудит начинается не позднее чем за 90 дней до истечения сертификата. |
Сертификационный знак
После прохождения аудита организация получает знак соответствующего уровня и публикуется в реестре LVCS.
Сертификационный знак
CCSA определяет три уровня сертификации. Уровень не выставляет «оценку», а фиксирует долю выполненных применимых требований: чем он выше, тем больше требуемая доля выполнения и тем меньше допустимая доля компенсирующих мер. На любом уровне невыполненных обязательных требований быть не должно, а все восемь критических требований выполняются по стандартному подходу.