PCI DSS QSA 的 Delta 航线
活跃 PCI DSS QSA 的转化路径：在 2 周内赚取 CCSA-QSA，而不是整个周期。七个带有小时权重的模块；该课程反映了标准的结构和 PCI DSS v4.0.1 格式。
Delta 课程重点关注 B 部分（覆盖）、C（段）和 D（级别），并且不会重复经验丰富的 QSA 已经熟悉的一般审核方法。形式：讲师指导+电子学习。费用$2,000；考试与标准 CCSA-QSA 相同。
80 小时总计超过 2 周全职时间。
课程大纲：7 模块
主题
6 / 80 小时
CCM 范围（相对于 PCI DSS 中的持卡人数据）；超出范围：PoR、AML、智能合约
评估方法：已落实/未落实/N/A/CC（二进制，无数字评分）
既定方法与定制方法（0.7.2 节）
补偿控制：每级限制、完全禁止与受限 CC
8 关键要求
角色：理事会、CCSAC、CCSA-QSA、评估实体
主题
10 / 80 小时
映射矩阵：PCI DSS、ГОСТ 57580、CCSS、SOC 2、MiCA
控制认可验证程序（A.7.2 节）
关键要求：始终不适用于控制认可（A.0.3 部分）
多基线控制认可和范围交叉（A.8 部分）
在 ROC 中记录控制认可
主题
16 / 80 小时
B.1：CCM 清单 — 6 类别 (A–F) 和 10 必填字段；数据流；审核周期
B.2：熵源（FIPS 140-3、NIST SP 800-90A、СКЗИ）；生成环境隔离（气隙、Cloud TEE、Faraday）；仪式文件；验证
B.3：按类别存储机制； AEAD 休息时；热/暖/冷分层；备份
B.4：硬件支持的签名；带阈值表的双重控制；会话安全（DPoP、2FA）； PAM 带终止开关
主题
16 / 80 小时
B.5：轮换；撤销（严重）；使用 RPO/RTO 恢复；处置
B.6：多重签名方案；只读监控；架构隔离；时间锁定；白名单
B.7：记录；异常检测；只读协调（严重）；事件响应手册
B.8：背景调查；草皮;入职/离职；地理分布
主题
8 / 80 小时
4 段（C.1 托管、C.2 具有供应商/设备范围的非托管、C.3 交易所、C.4 发行人）
3 级别（L1 ≥90%、L2 ≥95%、L3 100%）；就地比率； CC比率
关键要求规则
重新评估周期（所有级别每年一次）
主题
16 / 80 小时
具有 PCI DSS 级别 1 基线的托管人 L2 案例（多基线控制认可）
填写附件3 ROC模板（需求评估工作表）
定制方法验证
补偿控制文档
主题
8 / 80 小时
CCSA 职业责任守则
俄罗斯细节：СКЗИ、ФинЦЕРТ、ФЗ-115、ФЗ-152，法律草案编号 1194918-8
国际认可：MiCA，IOSCO。 FATF / 行程规则 — 仅上下文，超出 CCSA 范围
道德与制裁
模块 7 涵盖职业责任准则（独立性、客观性、能力、保密性、职业行为、反腐败；礼品限额 $100）。
未披露的利益冲突 -> 6- 暂停一个月
伪造ROC -> 撤销+重新申请禁令
客户数据泄露 -> 1-年暂停+民事责任
贿赂->撤销+公示+移交执法
考试基础设施
在线监考；每季度在莫斯科、圣彼得堡、阿拉木图进行线下考试。
CCSA-QSA 的其他路径
活跃 ГОСТ 57580 审核员的增量：3 周（120 小时）、$2,500；增加了国际标准和英文术语。
标准路径（无活动 QSA）：~120 小时（6 周兼职），$3,000。
数字是前瞻性目标，而不是当前状态。
80 小时总计超过 2 周全职时间。
CCSA 标准
PCI DSS QSA 的 Delta 航线
Delta 课程重点关注 B 部分（覆盖）、C（段）和 D（级别），并且不会重复经验丰富的 QSA 已经熟悉的一般审核方法。形式：讲师指导+电子学习。费用$2,000；考试与标准 CCSA-QSA 相同。