Приложение 5 — Шаблон AOC

Приложение 5 — Шаблон свидетельства о соответствии (AOC)#

A5.0. Назначение#

Свидетельство о соответствии (Attestation of Compliance, AOC) — публичная декларация о соответствии стандарту CCSA. Подписывается проверяемой организацией и ведущим аудитором от CCSAC и регистрируется в реестре Council Listed Validated Crypto Solutions (LVCS).

В отличие от ROC, AOC публикуется и используется для подтверждения соответствия перед клиентами, регуляторами, страховщиками и банковскими партнёрами.

A5.1. Структура AOC#

================================================
Свидетельство о соответствии CCSA (AOC)
================================================

ЧАСТЬ 1  — Идентификационные сведения
ЧАСТЬ 2  — Описание проверяемого решения
ЧАСТЬ 3  — Тип оценки
ЧАСТЬ 4  — Сведения об аудите
ЧАСТЬ 5  — Заявление о соответствии
ЧАСТЬ 6  — Публичная сводка о соответствии
ЧАСТЬ 7  — Публичная сводка результатов
ЧАСТЬ 8  — Применённый зачёт базовых стандартов
ЧАСТЬ 9  — Сводка компенсирующих мер защиты
ЧАСТЬ 10 — Сводка индивидуальных подходов
ЧАСТЬ 11 — Срок действия и статус
ЧАСТЬ 12 — План действий при несоответствии (если применимо)
ЧАСТЬ 13 — Подтверждения и подписи
ЧАСТЬ 14 — Регистрация Советом
================================================

A5.2. Шаблон AOC (полный текст)#

+===========================================================+
|                СВИДЕТЕЛЬСТВО О СООТВЕТСТВИИ CCSA         |
|             Стандарт CCSA v0.2 (проект к v1.0)            |
+===========================================================+

ЧАСТЬ 1 — Идентификационные сведения
------------------------------------
Проверяемая организация:      ____________________________________
Юридический адрес:            ____________________________________
Налоговый / регистрационный номер: _______________________________
Основное контактное лицо:     ____________________________________

Идентификатор записи CCSA:    ____________________________________
                              (присваивается Советом при внесении в реестр)

ЧАСТЬ 2 — Описание проверяемого решения
---------------------------------------
Название продукта / услуги:   ____________________________________
Версия продукта:              ____________________________________
Краткое описание:             ____________________________________
                              ____________________________________

Классификация по сегментам:
  [ ] C.1 — Кастодиальные кошельки / кастодианы
  [ ] C.2 — Некастодиальные кошельки (область поставщика)
  [ ] C.3 — Криптовалютные биржи (CEX/DEX)
  [ ] C.4 — Эмитенты (стейблкоины / RWA / фиатные токены)

Поддерживаемые блокчейны:     ____________________________________
                              ____________________________________
Поддерживаемые языки:         ____________________________________
Адрес документации:           ____________________________________
Веб-сайт:                     ____________________________________

ЧАСТЬ 3 — Тип оценки
--------------------
Тип оценки:
  [ ] Первичная сертификация
  [ ] Ежегодная повторная сертификация
  [ ] Повторная оценка после существенных изменений
  [ ] Повторная оценка после инцидента

Применённый подход:
  [ ] Только стандартный подход
  [ ] Сочетание стандартного и индивидуального подходов
  [ ] Стандартный подход и компенсирующие меры защиты
  [ ] Все три: стандартный и индивидуальный подходы и компенсирующие меры

Примечания к методологии:      ____________________________________
                              ____________________________________

ЧАСТЬ 4 — Сведения об аудите
----------------------------
CCSAC (аудиторская компания): _________________________________
Номер аккредитации CCSAC:     _________________________________
Страна CCSAC:                 _________________________________
Ведущий аудитор:              _________________________________
Номер CCSA-QSA аудитора:      _________________________________
Период аудита:                С _________ по _________
Ссылка на ROC:                _________________________________
                              (внутренняя, не публикуется)
Общая трудоёмкость аудита:    ___ человеко-дней

ЧАСТЬ 5 — Заявление о соответствии
----------------------------------
На основании оценки, проведённой в соответствии со стандартом CCSA
(указанная выше версия) и документированной в соответствующем отчёте
о соответствии, нижеподписавшийся ведущий аудитор подтверждает, что:

[Наименование проверяемой организации]
[Наименование проверяемого решения]

продемонстрировали соответствие требованиям стандарта CCSA на уровне:

  [ ] УРОВЕНЬ 1 (базовый)
        ≥ 90% выполнено; ≤ 10% компенсирующих мер; 0 невыполненных
        Все критические требования выполнены по стандартному подходу
  [ ] УРОВЕНЬ 2 (стандартный)
        ≥ 95% выполнено; ≤ 5% компенсирующих мер; 0 невыполненных
        Все критические требования выполнены по стандартному подходу
  [ ] УРОВЕНЬ 3 (расширенный)
        100% выполнено ИЛИ ≤ 2,5% компенсирующих мер с одобрения Совета;
        0 невыполненных
        Все критические требования выполнены по стандартному подходу

Результат:
  [ ] СООТВЕТСТВУЕТ (PASS)
  [ ] УСЛОВНО СООТВЕТСТВУЕТ (CONDITIONAL PASS; см. план в части 12)
  [ ] НЕ СООТВЕТСТВУЕТ (FAIL)

Настоящее свидетельство НЕ является:
- гарантией отсутствия уязвимостей за пределами области аудита;
- гарантией соответствия или безопасности в будущем;
- аудитом финансовой отчётности или достаточности резервов;
- аудитом логики смарт-контрактов (это отдельный вид проверки).

Стандарт CCSA снижает, но не устраняет риски безопасности.

ЧАСТЬ 6 — Публичная сводка о соответствии
------------------------------------------
Общий статус оценки:
  Всего применимых обязательных требований:        ___
  Выполнено (включая индивидуальный подход):         ___ (___%)
  Компенсирующая мера защиты:                        ___ (___%)
  Не выполнено:                                     ___ (___%)
  Не применимо:                                     ___

Результаты по доменам:
  B.1  Инвентаризация и классификация криптографических материалов: ___% выполнено
  B.2  Генерация криптографических материалов:                      ___% выполнено
  B.3  Хранение криптографических материалов:                       ___% выполнено
  B.4  Использование криптографических материалов:                   ___% выполнено
  B.5  Управление жизненным циклом:                                  ___% выполнено
  B.6  Архитектура кошельков для CCM:                               ___% выполнено
  B.7  Обнаружение компрометации и мониторинг:                       ___% выполнено
  B.8  Персонал и контроль доступа:                                  ___% выполнено

Критические требования (раздел D.2.5):
  [ ] Все критические требования выполнены по стандартному подходу
  [ ] [Если не все] Перечень невыполненных критических требований: ____________

ЧАСТЬ 7 — Публичная сводка результатов
--------------------------------------
Сильные стороны (3–5 основных пунктов):
1. _____________________________________________________
2. _____________________________________________________
3. _____________________________________________________

Направления дальнейшего улучшения (3–5 общих пунктов):
1. _____________________________________________________
2. _____________________________________________________
3. _____________________________________________________

(Подробные результаты приведены в отчёте о соответствии, который
является конфиденциальным согласно требованиям раздела 14 ROC.)

ЧАСТЬ 8 — Применённый зачёт базовых стандартов
----------------------------------------------
Для зачёта применены следующие базовые сертификаты (раздел A):
  [ ] PCI DSS v4.0.1: уровень ___, срок действия до __________
  [ ] ГОСТ Р 57580:   ___ уровень, дата оценки ________________
  [ ] CCSS v8.0:      уровень ___, срок действия до __________
  [ ] SOC 2:          тип ___, период _________________________
  [ ] ISO/IEC 27001:  дата ____________________________________
  [ ] MiCA:           статус __________________________________
  [ ] Другое:         _________________________________________

Доля обязательных требований с полным зачётом:    ___%
Доля обязательных требований с частичным зачётом: ___%

ЧАСТЬ 9 — Сводка компенсирующих мер защиты
------------------------------------------
Количество применённых компенсирующих мер:                ___
Доля обязательных требований с компенсирующими мерами:    ___%
                                         (максимум для уровня: ___%)
Общее описание мер без конфиденциальных подробностей:
1. _____________________________________________________
2. _____________________________________________________
3. _____________________________________________________

(Полные сведения о компенсирующих мерах приведены в ROC.)

ЧАСТЬ 10 — Сводка индивидуальных подходов
-----------------------------------------
Количество требований, выполненных с индивидуальным подходом: ___
Общее описание реализаций индивидуального подхода:
1. [Ссылка на требование] — [краткое описание достижения цели]
2. _____________________________________________________
3. _____________________________________________________

(Полная документация индивидуальных подходов — в разделе 9 ROC.)

ЧАСТЬ 11 — Срок действия и статус
---------------------------------
Свидетельство действует:
  С: _________________
  По: ________________
Повторная оценка требуется до: _________________

Текущий статус (заполняется Советом):
  [ ] Действует
  [ ] Ожидает продления (истекает в течение ___ дней)
  [ ] Приостановлено (причина: ___________________________)
  [ ] Отмечен инцидент (дата: ___________________________)
  [ ] Прекращено (причина: ______________________________)

ЧАСТЬ 12 — План действий при несоответствии
-------------------------------------------
[Заполняется ТОЛЬКО при условном соответствии или несоответствии]

Невыполненные требования:
| Требование | Статус | Мера по устранению | Целевая дата | Ответственный |
|------------|--------|--------------------|--------------|---------------|
| B.X.Y      | Не выполнено | ____________ | ГГГГ-ММ-ДД | _____ |
| ...        | ...    | ...                | ...          | ...   |

План повторной проверки:
[Описание того, когда и как будет проведена повторная проверка для
подтверждения устранения несоответствий]

ЧАСТЬ 13 — Подтверждения и подписи
----------------------------------
ПОДТВЕРЖДЕНИЕ ВЕДУЩЕГО АУДИТОРА

Подписывая документ, я подтверждаю:
(a) Я провёл оценку в соответствии со стандартом CCSA и Кодексом
    профессиональной ответственности CCSA;
(b) Результаты в данном AOC и связанном ROC основаны на доказательствах,
    собранных в период аудита;
(c) В течение последних 12 месяцев я не оказывал проверяемой организации
    консультационные услуги в областях, охваченных этим аудитом;
(d) Это свидетельство точно отражает результаты оценки;
(e) Я понимаю ограничения оценки (раздел 12 ROC «Ограничения оценки»).

  Имя:       _________________________________________
  Должность: Ведущий аудитор, [наименование CCSAC]
  CCSA-QSA: № ________________________________________
  Дата:      _________________________________________
  Подпись:   _________________________________________

ПОДТВЕРЖДЕНИЕ МЕНЕДЖЕРА ПО КАЧЕСТВУ CCSAC

Подписывая документ, я подтверждаю:
(a) Этот AOC и связанный ROC прошли внутреннюю проверку качества
    согласно процедурам управления качеством [наименование CCSAC];
(b) Ведущий аудитор имеет действующую регистрацию CCSA-QSA;
(c) Аудиторская группа обладает надлежащей квалификацией для области оценки;
(d) Хранение доказательств соответствует требованиям конфиденциальности
    раздела 14 ROC.

  Имя:       _________________________________________
  Должность: Менеджер по качеству, [наименование CCSAC]
  Дата:      _________________________________________
  Подпись:   _________________________________________

ПОДТВЕРЖДЕНИЕ РУКОВОДИТЕЛЯ ПРОВЕРЯЕМОЙ ОРГАНИЗАЦИИ

Подписывая документ, я как уполномоченный представитель проверяемой
организации подтверждаю:
(a) По нашим сведениям, информация, предоставленная ведущему аудитору,
    является полной и точной;
(b) Мы обязуемся:
    1. Поддерживать меры защиты, описанные в ROC;
    2. Незамедлительно уведомлять Совет о существенных изменениях,
       влияющих на статус соответствия, в течение 72 часов;
    3. Содействовать проверке качества, инициированной Советом
       (случайная выборка согласно разделу D.4.3);
    4. Подать заявку на повторную сертификацию к дате, указанной в части 11;
    5. Немедленно уведомлять Совет о любом инциденте безопасности,
       затрагивающем CCM (согласно уведомлению регулятора по разделу B.7.4).
(c) Мы признаём, что это свидетельство не является юридической,
    финансовой или страховой консультацией; оно лишь подтверждает
    статус соответствия требованиям безопасности на дату аудита.

  Имя:       _________________________________________
  Должность: _________________________________________
  Дата:      _________________________________________
  Подпись:   _________________________________________

ЧАСТЬ 14 — Регистрация Советом
------------------------------
Это свидетельство зарегистрировано в реестре CCSA Listed Validated
Crypto Solutions (LVCS):
  Идентификатор записи: _____________________________
  Дата регистрации:     _____________________________
  Представитель Совета: _____________________________
  Адрес реестра: https://lvcs.ccsa-council.com/[Listing-ID]
  QR-код для проверки: [место для QR-кода]

==============================================
КОНЕЦ СВИДЕТЕЛЬСТВА О СООТВЕТСТВИИ
==============================================

A5.3. Публичное раскрытие AOC#

A5.3.1. Что публикуется в реестре LVCS#

После регистрации:

• Полный текст AOC (части 1–14) — публичный PDF.
• Структурированные данные для доступа через API: наименование организации, сегмент, уровень, даты, аудиторы и доля выполненных требований по доменам.
• Знак CCSA для использования проверяемой организацией с обязательной ссылкой на актуальную запись в реестре.

A5.3.2. Что НЕ публикуется#

• ROC (полный отчёт) — конфиденциальный документ.
• Рабочие материалы.
• Подробности компенсирующих мер защиты (только общая сводка в части 9).
• Подробности реализации индивидуального подхода (только общая сводка в части 10).
• Конфиденциальная коммерческая информация.
• Персональные данные сотрудников или клиентов.
• Конкретные адреса холодного хранения (если применимо для C.1 и C.3).

A5.4. Обновление AOC#

A5.4.1. Незначительные обновления#

При незначительных изменениях, например обновлении контактных лиц или адреса сайта, AOC обновляется через портал Совета без полного перевыпуска.

A5.4.2. Существенные изменения#

При существенных изменениях — новых продуктах или сегментах, значительном изменении инфраструктуры или новых интеграциях с блокчейнами — требуются повторная оценка и выпуск нового AOC.

A5.4.3. Изменения статуса#

Совет вправе обновить статус (действует, ожидает продления, приостановлен, отмечен инцидент или прекращён) при наступлении соответствующих событий. Изменение статуса публикуется в реестре LVCS в течение 24 часов с момента решения.

A5.5. Проверка AOC#

Третьи стороны могут проверить AOC:

1. В реестре LVCS на сайте Совета — по идентификатору записи или названию организации.
2. Через API — автоматизированная проверка (REST, ответ JSON).
3. По QR-коду в PDF-файле AOC — прямая ссылка на запись в реестре.

A5.6. Обнаружение подделки AOC#

При обнаружении подделки или искажения сведений AOC:

• Совет удаляет запись из реестра.
• Публикуется пресс-релиз с описанием результатов без чувствительных подробностей оценки.
• Возможно гражданское судебное разбирательство в соответствующей юрисдикции.
• Нарушитель включается в чёрный список; сведения передаются другим органам стандартизации в рамках официального меморандума о взаимопонимании.

A5.7. Публикация на разных языках#

AOC выпускается:

• На русском языке (основной для CCSAC, работающих в РФ).
• На английском языке (международная версия).
• На других языках по запросу; казахский и узбекский планируются начиная с IV квартала 2027 года.

Все языковые версии имеют равную силу. Совет сверяет переводы для обеспечения согласованности.

Связанные#

• Приложение 4 — Варианты SAQ — предыдущий раздел
• Приложение 3 — Шаблон ROC — конфиденциальный документ, дополняющий AOC
• 12 — Раздел D — Уровни сертификации — методология определения уровня

Источники#

См. нормативные ссылки в разделе 0.4 вводной части.

Концептуальная основа: PCI DSS AOC v4.0.1 (PCI SSC) — структура свидетельства о соответствии.