Сопоставление и зачёт
Открытая матрица соответствий CCSA с PCI DSS, ГОСТ Р 57580, CCSS, SOC 2 и MiCA. Действующий базовый сертификат позволяет зачесть часть требований CCSA, поэтому аудит проходит быстрее и стоит дешевле.
Черновик v0.2 -> v1.0. Может измениться до 2027-01-01.
Что такое зачёт результатов
Если у организации есть действующий сертификат базового стандарта, некоторые требования CCSA можно зачесть полностью или частично при соблюдении условий. Зачёт опирается на уже подтверждённый контроль вместо его повторной проверки.
CCSA ссылается, а не переписывает. Дополнительные требования относятся только к защите критического криптографического материала — по аналогии с PCI DSS, который защищает данные держателей карт.
Раздел A.7 — CCSA v0.2
Категории зачёта
Полный — базовый стандарт полностью покрывает требование; после подтверждения сертификата требование считается выполненным без дополнительной проверки.
Частичный — покрытие неполное; криптографическая часть требования дополнительно проверяется по соответствующим шагам стандартного подхода.
Неприменимо — базовый стандарт не покрывает требование или CCSA строже; проводится полная проверка.
Критическое — одно из восьми критических требований; зачёт не применяется независимо от силы базового сертификата.
Условия зачёта (§A.7.2)
Базовому сертификату не более 12 месяцев на дату начала оценки CCSA.
До окончания срока действия базового сертификата остаётся не менее 6 месяцев на дату начала оценки.
Область сертификата пересекается со средой обработки CCM — CME по разделу B.1.2.
По реестру подтверждены подлинность сертификата, совпадение областей и непрерывность контролей.
Дополнительно для SOC 2: только Type 2; период покрытия отчёта не менее 6 месяцев; дата окончания периода — не более 12 месяцев до старта оценки; критерии включают Security (обязательно) и Confidentiality.
Дополнительно для MiCA: организация в реестре VASP ЕС; зарегистрированный вид деятельности включает оказание услуг по хранению криптоактивов.
Восемь критических требований не зачитываются
Зачёт не применяется к восьми критическим требованиям независимо от силы базового сертификата. Они всегда проверяются полностью по стандартному подходу; сопоставление в таблицах приведено только для справки.
Компенсирующий контроль полностью запрещён
Компенсирующая мера допустима только на уровне 1 с одобрением Совета CCSA
Интерактивная матрица соответствий
Выберите базовый стандарт и категорию зачёта. Матрица PCI DSS охватывает все восемь доменов B.1–B.8; для ГОСТ, CCSS, SOC 2 и MiCA приведены ключевые соответствия.
| Требование CCSA | Базовый стандарт | Зачёт | Примечание |
|---|---|---|---|
| B.1.1 | Требование 9.5.1 (инвентаризация носителей) — аналогия | Критическое | Категоризация A–F и CCM-специфика требуют полной CCSA-проверки |
| B.1.2 | Требование 1.4 (определение CDE) — аналогия | Критическое | CME — концептуальный аналог CDE |
| B.2.1 | Требование 3.6.1 (генерация ключей) | Критическое | CCSA требует FIPS 140-3 Level 3 / NIST SP 800-90A |
| B.2.2 | Требование 1.4 — аналогия | Неприменимо | CCSA требует воздушный зазор на L2 или экранирование на L3 |
| B.2.3 | — | Неприменимо | Протокол церемонии — специальное требование CCSA |
| B.2.4 | — | Неприменимо | Верификация сгенерированного материала — CCSA-специфика |
| B.3.1 | Требование 3.5 (защита хранимых данных учётных записей) | Критическое | CCSA требует HSM / MPC / Secure Enclave с явной сертификацией |
| B.3.2 | Требование 3.5.1 (стойкая криптография) | Полный | AEAD соответствует понятию стойкой криптографии PCI |
| B.3.3 | — | Неприменимо | Горячий, тёплый и холодный уровни — специальное требование CCSA |
| B.3.4 | Требование 12.10.1 (аварийное восстановление) | Частичный | Дополнительная проверка: отдельный MEK для резервных копий и географическое распределение |
| B.4.1 | Требование 3.6.7 (использование ключей) | Критическое | CCSA конкретизирует требование через доверенную границу |
| B.4.2 | Требование 7 (доступ только по служебной необходимости) | Частичный | CCSA конкретизирует требование таблицей порогов двойного контроля |
| B.4.3 | Требование 8 (аутентификация) | Частичный | 2FA применяется при подписании операции, а не только при входе |
| B.4.4 | Требования 7 и 8 (контроль доступа и аутентификация) | Полный | PAM с MFA полностью покрыт |
| B.5.1 | Требование 3.6.4 (ротация ключей) | Полный | Периодичность CCSA не реже требования PCI «не менее раза в год» |
| B.5.2 | Требование 12.10 (реагирование на инциденты) | Критическое | CCSA задаёт конкретные SLA отзыва по типу события |
| B.5.3 | Требование 12.10 (непрерывность деятельности) | Частичный | CCSA конкретизирует сценарии и RPO/RTO |
| B.5.4 | Требование 3.7 (уничтожение ключей) | Полный | Криптографическое стирание и подтверждённое уничтожение |
| B.6.1 | — | Неприменимо | Мультиподпись — специальное понятие для криптоактивов |
| B.6.2 | Требование 10 (журналирование) — аналогия | Частичный | Независимое наблюдение за операциями в блокчейне — специфика криптоактивов |
| B.6.3 | Требование 1.4 — аналогия | Частичный | Аналог сегментации CDE для изоляции горячего, тёплого и холодного хранения |
| B.6.4 | — | Неприменимо | Временная блокировка вывода — специальное понятие для криптоактивов |
| B.6.5 | Требование 1.2 — аналогия | Частичный | Аналог списка разрешений для адресов вывода |
| B.7.1 | Требование 10 (журналирование и мониторинг) | Полный | Полное журналирование с установленным сроком хранения |
| B.7.2 | Требование 10.4 | Частичный | CCSA требует автоматического обнаружения, оповещений и SLA |
| B.7.3 | Требование 10.2 — аналогия | Критическое | Сверка журналов подписи с операциями в блокчейне — специфика криптоактивов |
| B.7.4 | Требование 12.10 (реагирование на инциденты) | Полный | Документированный план действий с уведомлением регулятора |
| B.8.1 | Требование 12.7 (проверка персонала) | Критическое | CCSA требует усиленной проверки держателей ключей |
| B.8.2 | Требование 7 (доступ только по служебной необходимости) | Полный | RBAC с выявлением конфликтов |
| B.8.3 | Требования 12.6 и 12.7 | Частичный | CCSA требует крипто-специфичного обучения |
| B.8.4 | Требование 12.7 (персонал) | Частичный | CCSA задаёт SLA и обязательную ротацию при прекращении доступа |
| B.8.5 | — | Неприменимо | Географическое распределение держателей ключей — специфика криптоактивов |
Особые условия для российских клиентов по разделу A.2.3: сертифицированные ФСБ СКЗИ, алгоритмы ГОСТ для ЦФА и подключение к ФинЦЕРТ для отчётности.
Соответствие уровней: CCSS Level I — CCSA уровень 1; Level II — уровень 2; Level III — уровень 3. Подтверждение резервов из домена 9 CCSS находится вне области CCSA.
Зачёт SOC 2 ограничен: это оценка мнения за период, а не бинарное соответствие CCSA. Возможен только частичный, но не полный зачёт.
Сопоставление ограничено статьями MiCA о защите криптографического материала. Управление, выпуск, AML, раскрытие и страхование по статьям 69, 70 и 76 находятся вне области CCSA. Ключевое соответствие — B.3.3 о холодном хранении.
Сводное покрытие по базовым стандартам
Доля требований CCSA, которые можно зачесть полностью или частично по соответствующему базовому стандарту. Значения ориентировочные.
| Базовый стандарт | Полный | Частичный | Критическое, без зачёта | Без зачёта, некритическое | Зачитывается (ориентир) |
|---|---|---|---|---|---|
| PCI DSS v4.0.1 | 7 | 10 | 8 | 7 | ~58% |
| ГОСТ Р 57580 | 6 | 3 | 8 | 0 | ~36% |
| CCSS v8.0 | 12 | 0 | 5 | 0 | ~65% |
| SOC 2 Type 2 | 0 | 8 | 8 | 0 | ~30% |
| MiCA | 0 | 7 | 2 | 0 | ~35% |
PCI DSS v4.0.1
~58%
ГОСТ Р 57580
~36%
CCSS v8.0
~65%
SOC 2 Type 2
~30%
MiCA
~35%
CCSS v8.0 — ближайший базовый стандарт для CCM, как и ожидается от специализированного криптографического стандарта.
PCI DSS v4.0.1 — сильный базовый стандарт для требований общей инфраструктуры B.5.1, B.5.4, B.7.1, B.7.4, B.8.2 и B.4.4.
ГОСТ 57580 — критичен для российских клиентов; покрывает части УЗП и УИЗ.
SOC 2 ограничен из-за методологии, основанной на профессиональном мнении; возможен только частичный зачёт.
MiCA применяется к сегменту ЕС; основное соответствие — политика холодного хранения в B.3.3.
Экономический эффект
При зачёте результатов нескольких базовых стандартов аудитор выполняет около 50% объёма полного аудита. Восемь критических требований всё равно проверяются полностью. Для клиента аудит ориентировочно стоит в 1,5–2 раза дешевле.
Для каждого требования выбирается лучший вариант зачёта среди базовых стандартов, область которых пересекается с CME по разделу A.8.
Экономический эффект
Открытая матрица соответствий CCSA с PCI DSS, ГОСТ Р 57580, CCSS, SOC 2 и MiCA. Действующий базовый сертификат позволяет зачесть часть требований CCSA, поэтому аудит проходит быстрее и стоит дешевле.