Глоссарий

Authenticated Encryption with Associated Data — режим симметричного шифрования со встроенной аутентификацией данных (AES-GCM, ChaCha20-Poly1305, Kuznyechik-MGM). См. Section B.3.2.

Attestation of Compliance — итоговая публичная декларация о соответствии стандарту. Шаблон — Annex 5.

Организация, проходящая CCSA-аудит. Единый нормативный термин стандарта, обязательный в нормативных разделах, ROC и AOC.

Проверка биографии лица перед получением доступа к CCM. См. Section B.8.1.

Действующий сертификат соответствия одному из baseline-стандартов (PCI DSS, ГОСТ 57580, CCSS, SOC 2 Type 2, MiCA), пригодный для carry-over в CCSA. См. Section A.

Программа поощрения внешних исследователей за обнаружение и ответственное раскрытие уязвимостей.

Процедура, при которой требование CCSA считается достигнутым (In Place) при наличии действующего baseline-сертификата. К Critical Requirements carry-over не применяется. Детали — Section A.

Critical Cryptographic Material — основной термин стандарта. Данные, компрометация которых даёт прямой или производный доступ к управлению криптоактивами. Определение и категории — Section B.1.1.

Crypto Custody & Security Assurance — настоящий стандарт.

CCSA Company — аудиторская компания, аккредитованная Council для проведения CCSA-аудитов.

Старший уровень индивидуальной CCSA-сертификации; даёт право подписи ROC и AOC.

Базовый уровень индивидуальной CCSA-сертификации; даёт право участвовать в аудитах в составе CCSAC, но не подписывать ROC/AOC.

Qualified Security Assessor — индивидуальный аудитор, сертифицированный Council; средний уровень между Practitioner и Lead Auditor.

CryptoCurrency Security Standard — отраслевой стандарт C4 для управления криптографическими ключами.

Cardholder Data Environment — термин PCI DSS, описывающий среду обработки данных платёжных карт. CME в CCSA — концептуальный аналог CDE.

Cryptographic Material Environment — границы среды, в которой обрабатывается CCM. См. Section B.1.2.

Хранение CCM без постоянного online-подключения. См. Section B.3.3.

Альтернативная мера защиты при невозможности выполнить стандартное требование и применить Customized Approach. См. Section 0.8.

Организация, издающая, обновляющая и интерпретирующая стандарт CCSA. См. Section 0.1, 0.13.1.

Требование, помеченное как critical: Customized Approach запрещён; для fully-forbidden CC (B.1.1, B.1.2, B.5.2, B.7.3) CC запрещён полностью; для restricted CC (B.2.1, B.3.1, B.4.1, B.8.1) CC допустим только на Level 1 с approval Council Chief QA Officer. Перечень — Section D.2.5.

Кошелёк, в котором приватные ключи находятся под управлением провайдера. Сегмент C.1.

Конечный пользователь Assessed Entity или сторона, опирающаяся на CCSA-сертификацию (регулятор, страховая, клиент LVCS). См. Section 0.13.5.

Альтернативный путь соответствия: произвольная реализация, доказательно достигающая Customized Approach Objective. Введён по образцу PCI DSS v4.0. См. Section 0.7.2.

Формулировка цели, которая должна быть достигнута при использовании Customized Approach.

Стандартный путь соответствия: реализация в форме Defined Approach Requirement и подтверждение через Defined Approach Testing Procedures. См. Section 0.7.2.

Формализованная нормативная формулировка требования (что должно быть реализовано).

Пронумерованные шаги проверки соответствия (Examine, Interview, Observe, Trace), выполняемые CCSA-QSA. См. Section 0.7.2.

Demonstrating Proof of Possession (IETF RFC 9449) — механизм proof of possession для session tokens. См. Section B.4.3.

Принцип, при котором операция требует совместного действия двух или более лиц. См. Section B.4.2.

Стандарт NIST для cryptographic modules. См. Annex 2.

Кошелёк с постоянным online-подключением. Низкая физическая защита, высокая operational availability.

Hardware Security Module (аппаратный модуль безопасности) — защищённое аппаратное устройство для генерации, хранения и использования криптографических ключей. См. Section B.3.1.

Статус оценки: требование полностью реализовано через Defined Approach; все Testing Procedures пройдены без findings. См. Section 0.7.1.

Статус оценки: требование реализовано через Customized Approach; Customized Approach Objective достигнут и подтверждён аудитором. См. Section 0.7.1.

Формализованная процедура генерации, разделения, активации или уничтожения CCM с фиксацией ролей, шагов, верификации и видеозаписи (для L2+). См. Section B.2.3.

Listed Validated Crypto Solutions — публичный реестр сертифицированных продуктов и платформ, ведомый Council. Включение требует CCSA-сертификации.

Master Encryption Key — корневой ключ, защищающий другие ключи через cryptographic key hierarchy. Категория A CCM.

Multi-Party Computation — техника разделения приватного ключа на shares между несколькими сторонами с совместным использованием без реконструкции единого ключа в одном месте.

Схема подписания, требующая m-of-n подписей. См. Section B.6.1.

Кошелёк с единоличным контролем приватных ключей пользователем. Сегмент C.2.

Статус оценки: требование не применимо к данному Assessed Entity согласно Applicability Notes и сегментной матрице. См. Section 0.7.1.

Статус оценки: требование не реализовано или реализовано с критическими пробелами. См. Section 0.7.1.

Записанное или происходящее вне блокчейна.

Процедура прекращения доступа при увольнении. См. Section B.8.4.

Записанное или происходящее на блокчейне.

Процедура предоставления доступа новому сотруднику. См. Section B.8.3.

Privileged Access Management — система централизованного управления привилегированными учётными записями и сессиями. См. Section B.4.5.

Payment Card Industry Data Security Standard — основной baseline-стандарт для CCSA. См. Section A.1.

Personally Identifiable Information — данные, идентифицирующие лицо. Защищается отдельно по ФЗ-152 / GDPR. Не относится к CCM.

Post-Quantum Cryptography — криптография, устойчивая к атакам квантовых компьютеров; стандарты NIST ML-KEM (FIPS 203), ML-DSA (FIPS 204), SLH-DSA (FIPS 205). См. Annex 2 A2.3.

Секретный криптографический ключ для подписания транзакций. Категория A CCM.

Открытая часть пары ключей. Не относится к CCM.

Программа Council по контролю качества ROC, проводимых CCSAC; включает peer review, sampling и санкции. См. Section 0.13.1.

Процедура восстановления CCM после loss или compromise. См. Section B.5.3.

Немедленное прекращение действия CCM при компрометации или подозрении на неё. См. Section B.5.2.

Report on Compliance — детальный отчёт о соответствии стандарту, формируемый CCSA-QSA. Шаблон — Annex 3.

Периодическая замена CCM на новый. См. Section B.5.1.

Recovery Point Objective — максимально допустимое время потери данных. См. Section B.5.3.

Recovery Time Objective — максимально допустимое время восстановления.

Self-Assessment Questionnaire — самооценочный опросник. См. Annex 4.

Последовательность слов (BIP-39), представляющая master entropy для деривации приватных ключей. Категория A CCM.

Разделение обязанностей. См. Section B.8.2.

Временный credential, дающий операционный доступ к custodial wallet от имени пользователя. Категория D CCM.

Схема разделения секрета между n сторонами с восстановлением порога k из n. Применяется для backup ключей и MPC shares.

Security Information and Event Management — система централизованного управления событиями безопасности. См. Section B.7.1.

Trusted Execution Environment — изолированная аппаратная среда выполнения. См. Section B.3.1 и B.4.1.

Схема, требующая совместного подписания k-of-n сторонами.

Задержка выполнения операции на защитный период. См. Section B.6.4.

Критерии AICPA для SOC 2 (Security, Availability, Processing Integrity, Confidentiality, Privacy). См. Section A.4.

Virtual Asset Service Provider — поставщик услуг с виртуальными активами; термин FATF, используется в MiCA и национальном крипто-регулировании.

Отслеживающий кошелёк, имеющий только публичные ключи и не способный подписывать. См. Section B.6.2.

Сертифицированный специалист, проводящий CCSA-аудит. См. CCSA-QSA, CCSA Lead Auditor.

Центральный банк Российской Федерации.

Серия российских стандартов защиты информации финансовых организаций. См. Section A.2.

Средства криптографической защиты информации. Сертифицируются ФСБ России. См. Annex 2 A2.2.

Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере Банка России.

Федеральная служба по техническому и экспортному контролю России.