审计事务所 (CCSAC)
您的 PCI DSS 客户已经要求进行加密审计。授权一次并开设经常性收入线。理事会本身并不进行审计——所有 CCSA 审计均通过经过认可的 CCSAC 合作伙伴（类似于 PCI SSC 中的 QSA 公司）。
CCSAC 是经理事会认可执行 CCSA 审核的法人实体。只有获得 CCSAC 认可的员工才能以 CCSA 品牌提供审核服务。认证每年进行一次，并通过 QA 计划（ROC 随机抽样）进行维护。
目标受众：现有 QSA 公司、ФСТЭК ТЗКИ 被许可人、智能合约审计师、法证公司和中型全球公司（2–3 阶段）。指定公司被列为潜在候选公司。
要求：6 组
- 认可区有效法人实体（RF、KZ、BY、UZ、AM — 1 阶段；BRICS+ — 3 阶段）
- IS 审核中至少 3 年（或 1 年 + 强大的血统）
- 无未解决的诉讼、破产程序或监管机构制裁
- 注册资本至少为$12,000（对于RF）
- 3- 年财务报表或同等文件
- 未清算
- 专业责任 (E&O)：$1,150,000/事件 / $5,600,000 合计
- 一般商业责任：$560,000/事件
- 网络责任（推荐）：$1,150,000/事件
- 每年向理事会提交的保险证书
- 不得向接受审核的同一客户出售/实施安全工具
- 审计实践与咨询/集成的正式分离
- 书面独立政策
- 2-年冷静期
- 员工中至少有 2 个 CCSA-QSA（员工，而非承包商）
- 至少 1 首席审核员（可在 12 个月内添加）
- 指定质量经理
- 合规官
- 与 CCSA ROC 报告模板一致的评估方法
- QA 计划 — 在交付给客户之前对每个 ROC 进行同行评审
- 文件保留至少 5 年
- 新标准版本发布时更改控制
- 利益冲突披露程序
- 员工培训/资格认证计划
认证程序：6 阶段
认可范围（细分×级别）
C.1 — 托管钱包/托管人（需要 HSM 专业知识）
C.2 — 非托管钱包（移动/桌面安全）
C.3 — 交流（广泛的专业知识）
C.4 — 发行者（HSM/MPC 用于铸造/销毁密钥；智能合约安全和储备证明超出了 CCSA 范围，第 0.2.2 部分）
等级1：2 CCSA-QSA
2 级：3+ CCSA-QSA + 至少 1 首席审核员
3 级：5+ CCSA-QSA + 2+ 首席审核员 + 至少完成 10 级 2 审核
新段扩展：$1,500
等级扩展（L2 -> L3）：$2,500
认证费用（年份1）
数字为 v0.2 草案，仅供参考。保险范围和“RUB 3–5M”总数仅供参考。
| 项目 | 初始（年份 1） | 每年续订 |
|---|---|---|
申请费 | $3,500 | — |
年费 CCSAC | $17,000 | $17,000 |
试点审核（如果需要） | $6,000 | — |
员工培训（CCSA-QSA ×2 分钟） | $3,500（增量 PCI QSA ×2）至 $6,000（标准路径） | $700/人重新获得资格 |
保险E&O | RUB 1–3M/年（指示性） | RUB 1–3M/年（指示性） |
年-1 最小值 | RUB 3–5M（指示范围） | RUB 3–5M（指示性） |
暂停后恢复：$6,000 + 补救费用。
制裁
系统性低质量 ROC -> 90-day 补救计划
忽视补救措施 -> 暂停认可
伪造ROC /捏造证据->终止+公布
违反独立性 -> 暂停直至解决
认证区和指定公司（Информзащита、Positive Technologies、BI.ZONE、ДиалогНаука、F.A.C.C.T.、HashEx、BDO、Grant Thornton）被列为潜在候选者，而非确认的合作伙伴。