Методология оценки
Бинарная методология без балльной оценки: каждое применимое требование получает один из пяти статусов, а уровень сертификации определяется долей выполненных требований, долей компенсирующих контролей и отсутствием невыполненных требований.
Пять статусов оценки требования
Аудитор CCSA-QSA присваивает каждому применимому требованию один из пяти статусов. Промежуточного статуса «частично выполнено» нет: любой существенный пробел означает, что требование не выполнено.
Требование полностью реализовано по стандартному подходу; все процедуры проверки пройдены без замечаний.
Цель индивидуального подхода достигнута и подтверждена аудитором.
Требование не реализовано или содержит существенные пробелы. Любая неопределённость в реализации трактуется как невыполнение.
Требование неприменимо согласно примечаниям и сегментной матрице; это решение нужно обосновать в ROC.
Применена альтернативная мера защиты, соответствующая критериям §0.8 вводной части.
В отличие от PCI DSS v4.0.1, в CCSA нет статуса «не проверено»: все применимые требования оцениваются, а неприменимость явно обосновывается.
Стандартный и индивидуальный подходы
Каждое требование можно выполнить двумя путями.
Требование реализуется в описанной стандартом форме. Аудитор изучает документы, проводит интервью, наблюдает процесс и прослеживает операции.
Альтернативная реализация должна доказуемо достигать цели требования. Нужны описание реализации, оценка рисков и собственная процедура проверки.
Индивидуальный подход запрещён для всех восьми критических требований. Для них допустим только стандартный подход или, в строго ограниченных случаях, компенсирующий контроль.
Расчёт соответствия
Сертификация на уровне L достигается тогда и только тогда, когда выполнены все четыре условия одновременно.
Доля выполнения = (выполнено + выполнено по индивидуальному подходу) / применимые обязательные требования
Доля компенсирующих контролей = их количество / применимые обязательные требования
Условия сертификации на уровне L
Доля выполнения не ниже порога уровня L
Доля компенсирующих контролей не выше лимита уровня L
Невыполненных требований нет
Все восемь критических требований выполнены
Три уровня сертификации
Уровень определяется не средним баллом, а долей выполненных обязательных требований, допустимой долей компенсирующих контролей и отсутствием невыполненных требований. Полный аудит для всех уровней проводится ежегодно.
| Уровень | Доля выполненных | Макс. доля компенсирующих контролей | Не выполнено | Целевая аудитория |
|---|---|---|---|---|
L1 Уровень 1 — базовый | >= 90% | <= 10% | 0 | Стартапы на ранней стадии, минимально жизнеспособные продукты и малые проекты с активами или капитализацией менее $5 млн |
L2 Уровень 2 — стандартный | >= 95% | <= 5% | 0 | Зрелые операторы и регулируемые VASP с объёмом от $5 млн до $500 млн |
L3 Уровень 3 — усиленный | >= 100% | <= 2,5% | 0 | Системно значимые игроки (> $500M), эмитенты крупных стейблкоинов, VASP в строгих юрисдикциях |
Для всех уровней: ежегодный полный аудит, отсутствие невыполненных обязательных требований и выполнение всех критических требований по стандартному подходу.
Любое невыполненное критическое требование означает автоматический отказ на любом уровне независимо от общей доли выполнения.
Расчёт соответствия
Сертификация на уровне L достигается тогда и только тогда, когда выполнены все четыре условия одновременно.
Доля выполненных
95% / 100%
Условия сертификации на уровне L
>= 90% / CC <= 10%
>= 95% / CC <= 5%
>= 100% / CC <= 2,5%
Любое невыполненное критическое требование означает автоматический отказ на любом уровне независимо от общей доли выполнения.
Ограничения и одобрение компенсирующих контролей
Компенсирующий контроль применяется, если требование нельзя выполнить стандартным способом, индивидуальный подход неприменим, а аудитор подтвердил эквивалентную или более сильную альтернативную меру.
| Уровень | Макс. доля от обязательных требований | Орган одобрения |
|---|---|---|
| L1 | <= 10% | CCSAC |
| L2 | <= 5% | CCSAC + экспертное рецензирование другой CCSAC |
| L3 | <= 2,5% | Руководитель Совета CCSA по качеству |
Каждый компенсирующий контроль пересматривается при ежегодном аудите, изменении инфраструктуры и немедленно после инцидента, который могло предотвратить исходное требование.
Восемь критических требований
К фундаментальным требованиям применяются строгие правила: индивидуальный подход запрещён, зачёт результатов не применяется, а невыполнение любого требования означает автоматический отказ.
B.1.1, B.1.2, B.5.2, B.7.3
B.2.1, B.3.1, B.4.1, B.8.1
Циклы переоценки
Двухлетний цикл прежних версий для уровня 1 отменён: криптографическая инфраструктура меняется слишком быстро для интервала в 24 месяца.
Уровень 1: полный аудит ежегодно + самооценочный SAQ каждые 6 месяцев между аудитами.
Уровень 2: ежегодный полный аудит, ежеквартальный обзор соответствия с участием CCSAC и проверка качества выборки из 10% сертификаций.
Уровень 3: ежегодный полный аудит, непрерывный мониторинг, ежеквартальный обзор и ежегодная проверка качества всех сертификаций.
Сертификация на уровне L достигается тогда и только тогда, когда выполнены все четыре условия одновременно.
Стандарт CCSA
Три уровня сертификации
Уровень определяется не средним баллом, а долей выполненных обязательных требований, допустимой долей компенсирующих контролей и отсутствием невыполненных требований. Полный аудит для всех уровней проводится ежегодно.