SAQ-C1 — самооценка кастодиальных кошельков

1.1Заявлены ли юридическое лицо, сегмент (C.1–C.4) и целевой уровень (L1/L2/L3) оценки?

1.2Указаны ли AUM / рыночная капитализация / TVL в долларовом эквиваленте в соответствии с порогами уровней сегмента?

1.3Назначены ли контактное лицо по оценке и compliance-офицер?

2.1Имеются ли действующие сертификации PCI DSS и/или ГОСТ Р 57580 (с указанием уровня и срока действия)?

2.2Имеются ли отчёты SOC 2 (Type 1/2) и/или сертификация ISO 27001:2022?

2.3Имеется ли сертификация CCSS (Level I/II/III) или иные релевантные сертификации?

3.1Поддерживается ли документированный инвентарь CCM: CMDB, пути в защищённом хранилище или эквивалент?

3.2Включает ли инвентарь все применимые категории CCM (A–F)?

3.3Содержит ли каждая запись категорию, описание, технологию, основное место хранения и владельца?

3.4Определена ли документально среда криптографического материала (CME)?

3.5Применяется ли сегментация сети для уменьшения CME (firewall, VLAN, изоляция, аппаратная граница HSM)?

3.6Проводится ли ежегодное тестирование сегментации?

3.7Документированы ли потоки данных для каждой применимой категории CCM (генерация, хранение, доступ, использование, передача, уничтожение)?

3.8Проводится ли ежеквартальный пересмотр инвентаря CCM (для L1 — раз в 6 месяцев)?

3.9Обновляется ли инвентарь в течение 5 рабочих дней при событийно-инициированных изменениях?

4.1Используется ли квалифицированный источник энтропии (TRNG FIPS 140-3 L3+, DRBG NIST SP 800-90A, внутренний RNG HSM, Secure Enclave/StrongBox или СКЗИ КС2/КС3/КВ1)?

4.2Проводилось ли тестирование энтропии (NIST SP 800-22, статистические тесты FIPS 140-2)?

4.3Используется ли изолированная от сети среда для церемонии генерации холодного хранения?

4.4Документирован ли протокол церемонии ключей: роли, пошаговая процедура, проверка и утверждение?

4.5Проводится ли церемония с участием нескольких лиц (2-of-3 / 3-of-5; независимый свидетель для L3)?

4.6Проводится ли верификация сразу после генерации (вывод адреса, тест подписи, негативный тест для MPC)?

5.1Используется ли для категории A (Master) механизм хранения уровня HSM (FIPS 140-2/3 L3+) или MPC (≥2-of-3 для L1/L2, ≥3-of-5 с географическим распределением для L3)?

5.2Запрещено ли хранение CCM в открытом виде в .env, репозиториях, образах контейнеров, переменных окружения, полях БД без шифрования, логах и localStorage?

5.3Используется ли сканирование секретов (TruffleHog, gitleaks, GitGuardian)?

5.4Применяется ли AEAD-шифр для защиты CCM при хранении (AES-256-GCM, AES-256-GCM-SIV, ChaCha20-Poly1305 или Кузнечик MGM)?

5.5Хранится ли Master Encryption Key (MEK) отдельно от зашифрованного CCM (в HSM/KMS/MPC, а не рядом с данными)?

5.6Соответствует ли доля AUM в холодном хранении целевому порогу уровня (L1 ≥65%, L2 ≥85%, L3 ≥95%)?

5.7Распределены ли резервные копии CCM географически (L1 — ≥2 локации, L2 — ≥2 юрисдикции, L3 — ≥3 юрисдикции)?

5.8Проводится ли тест восстановления из резервной копии ежеквартально (для L2+; ежегодно для L1)?

6.1Никогда ли приватный ключ не покидает доверенную границу (HSM / MPC / Secure Enclave / TEE) для операций подписи?

6.2Реализована ли многопользовательская авторизация подписи по диапазонам суммы транзакции в соответствии с уровнем?

6.3Устанавливаются ли cookies с флагами HttpOnly + Secure + SameSite=Strict?

6.4Соответствуют ли методы 2FA требованиям (TOTP, FIDO2/WebAuthn, биометрия Secure Enclave, аппаратный токен) — без SMS, ссылок по электронной почте и push-уведомлений без проверочного запроса?

6.5Применяется ли усиленная аутентификация для операций свыше порога (>$50K для L3, >$100K для L2)?

6.6Реализован ли DPoP (RFC 9449) — обязателен для L3?

6.7Используется ли решение PAM для привилегированного доступа к инфраструктуре CCM?

6.8Имеется ли механизм экстренного завершения привилегированных сессий?

7.1Определена ли периодичность ротации для всех шести категорий CCM (по уровням)?

7.2Выполняется ли инициированная ротация при увольнении в рамках SLA (L1 ≤24ч, L2 ≤4ч, L3 ≤1ч)?

7.3Документирован ли сценарий отзыва для каждой категории CCM с соблюдением SLA: подтверждённая компрометация ≤15 мин, предполагаемая ≤1 ч?

7.4Тестировалась ли процедура восстановления за последние 12 месяцев с достижением RTO уровня (L1 ≤72ч, L2 ≤24ч, L3 ≤4ч)?

7.5Определены ли процедуры уничтожения: криптографическое стирание, обнуление HSM и физическое уничтожение для L3?

8.1Соблюдены ли пороги мультиподписи по балансу/контексту (холодное хранение: L1 2-of-3, L2 3-of-5, L3 4-of-7 с географическим распределением)?

8.2Распределены ли держатели ключей географически (для L3 — по нескольким юрисдикциям)?

8.3Подключён ли мониторинг без права подписи ко всем продакшен-кошелькам?

8.4Изолированы ли архитектурно уровни горячего, тёплого и холодного хранения: холодный изолирован от сети, тёплый имеет ограниченный доступ, горячий размещён в DMZ?

8.5Применяются ли тайм-локи на вывод для операций высокой стоимости по уровням?

8.6Используется ли список разрешённых адресов назначения для институциональных счетов с многопользовательским одобрением и периодом охлаждения для новых адресов?

9.1Ведётся ли всеобъемлющее логирование событий CCM с обязательными полями?

9.2Обеспечивается ли целостность логов: криптографическая цепочка хешей между записями или WORM-хранилище?

9.3Соблюдается ли срок хранения логов (L1 — 12 мес, L2 — 24 мес, L3 — 36 мес)?

9.4Реализовано ли обнаружение аномалий: на основе правил для L1, статистических базовых линий для L2 и машинного обучения для L3?

9.5Соблюдается ли SLA сверки без права подписи: время обнаружения (L1 ≤5 мин, L2 ≤1 мин, L3 ≤30 сек) и время реакции (L1 ≤30 мин, L2 ≤15 мин, L3 ≤5 мин)?

9.6Покрывает ли сверка расхождения между активностью в блокчейне и логами подписи?

9.7Покрывает ли план реагирования на инциденты все обязательные сценарии: опустошение горячего кошелька, компрометацию HSM или участника MPC, массовую утечку токенов сессий, инсайдерскую эксфильтрацию, инцидент у поставщика и фишинговую кампанию?

9.8Проводилось ли ежегодное настольное учение?

10.1Проведена ли проверка биографии персонала CCM с требуемыми элементами и периодичностью (L1/L2 — раз в 3 года, L3 — раз в 2 года)?

10.2Документирована ли политика разделения обязанностей (SoD) с матрицей и автоматическим выявлением конфликтов?

10.3Проводится ли ежеквартальный пересмотр доступа (для L2+)?

10.4Включает ли приём сотрудника все предварительные требования: проверку биографии, NDA, обучение, тест на понимание ≥80% и испытательный срок 30/60/90 дней?

10.5Соблюдаются ли SLA офбординга (отключение учётных записей, отзыв физического доступа, временная приостановка мультиподписи, инициированная ротация)?

10.6Распределены ли держатели ключей географически для L2+ (одна юрисдикция — отказ для L2+)?

11.1Все вопросы выше отвечены правдиво?

11.2Сохранены ли подтверждающие доказательства и готовы ли они к предоставлению по запросу?

11.3Все восемь критических требований (B.1.1, B.1.2, B.2.1, B.3.1, B.4.1, B.5.2, B.7.3, B.8.1) находятся в статусе «Выполнено»?

11.4Задокументированы ли применённые компенсирующие контроли и цели индивидуального подхода, если они есть?