Дорожная карта подготовки
Семь этапов: от самооценки готовности до публичной записи в реестре LVCS. Каждый этап содержит ответственного, длительность, итоговый артефакт и советы по подготовке.
Полный маршрут ведёт от самооценки через AOC к публичной записи в LVCS. Сроки ориентировочные и зависят от целевого уровня и текущего состояния контролей.
На этой странице
Ответственный
Длительность
Итоговый артефакт
Совет
Дорожная карта подготовки
Семь этапов: от самооценки готовности до публичной записи в реестре LVCS. Каждый этап содержит ответственного, длительность, итоговый артефакт и советы по подготовке.
Итоговый артефакт
Заполненный чек-лист готовности, список пробелов, предполагаемый уровень.
Начните с сегмента, в котором реально работаете: C.1–C.4. Сначала сопоставьте уже внедрённые контроли PCI DSS, ГОСТ 57580 и SOC 2 — часть из них можно зачесть по разделу A. Восемь критических требований B.1.1, B.1.2, B.2.1, B.3.1, B.4.1, B.5.2, B.7.3 и B.8.1 не зачитываются и всегда проверяются по стандартному подходу; начните с них.
Итоговый артефакт
Задокументированная область CCM, схема потоков данных и сопоставление с одним или несколькими базовыми стандартами.
Подготовьте инвентарь CCM из шести категорий A–F и десяти обязательных полей до прихода аудитора. B.1 содержит критические требования, а устаревшая инвентаризация ведёт к автоматическому отказу.
Итоговый артефакт
Устранённые недостатки, пакет доказательств и задокументированные компенсирующие контроли там, где они применены.
Для компенсирующих контролей установлены ограничения по уровням, а для части критических требований они полностью запрещены. Горячее, тёплое и холодное хранение и AEAD-шифрование хранимых данных по B.3 часто требуют дорогих доработок — предусмотрите бюджет заранее.
Итоговый артефакт
Подписанный договор с CCSAC; проверка, что CCSAC аккредитована именно для вашего сегмента И уровня.
Сверьтесь с публичным реестром CCSAC по сегменту C.1–C.4 и уровню L1–L3. Для L3 нужна CCSAC как минимум с пятью CCSA-QSA и двумя ведущими аудиторами. Учитывайте двухлетний период независимости: фирма, недавно консультировавшая вас, не может проводить ваш аудит.
Итоговый артефакт
Конфиденциальный отчёт о соответствии ROC. Статусы: выполнено, не выполнено, неприменимо или компенсирующий контроль; без балльной оценки.
ROC строится на фактах, а не на описаниях. Предоставляйте наблюдаемые доказательства: данные блокчейна, конфигурации и журналы церемоний. Критические требования проверяются по стандартному подходу.
Итоговый артефакт
AOC — декларация о соответствии с публичной сводкой; ROC остаётся конфиденциальным.
AOC — публичный артефакт, на который ссылается ваша запись в LVCS. Согласуйте формулировки публичной сводки до подписания.
Итоговый артефакт
Идентификатор сертификата LVCS, знак CCSA и запись в публичном реестре; право использовать знак CCSA Listed с указанием уровня.
Знак всегда показывает уровень 1, 2 или 3: общая надпись «CCSA Certified» без уровня запрещена. Ежегодный взнос за продление сохраняет активный статус. Повторная сертификация проводится ежегодно и обычно проще первого прохождения.
Сертификат действует один год. Для всех уровней проводится ежегодная переоценка по разделу D.4: после этапа 7 цикл возвращается к этапу 5.
Подготовиться к сертификации
Полный маршрут ведёт от самооценки через AOC к публичной записи в LVCS. Сроки ориентировочные и зависят от целевого уровня и текущего состояния контролей.