CCSA 与 PCI DSS / CCSS
控制-ID 桥：其中 CCSA 相当于 PCI DSS 和 CCSS，它们仅部分满足要求，而 CCSA 在顶部添加了内容。
草案 v0.2 -> v1.0。在 2027-01-01 之前可能会有更改。
为什么这种比较很重要
审核员或买家问的第一个问题是“CCSA 与我们已有的有何不同？”审核员以控制 ID 进行思考，因此下表是控制级桥梁：每个 CCSA 需求都通过自己的编号映射到 PCI、DSS 和 CCSS 控制。
该表回答了三个实际问题：现有审核已涵盖并延续哪些内容、仅部分涵盖并需要额外测试的内容以及 CCSA 全部添加的内容 - 两个标准均未涉及的控制。
CCSA 并不重复 PCI、DSS 和 CCSS - 它以它们为基础：重叠的控制延续，评估侧重于加密细节。
Section A — CCSA v0.2
比较范围
PCI DSS 是支付卡数据安全标准。该映射是类比的：密钥管理、访问、日志记录和响应控制是相关的，但 PCI DSS 中缺少加密细节（钱包、链上、仪式）。
CCSS 是加密货币特定的安全标准，也是最接近的基线。密钥管理和钱包有更多重叠，但 CCSS 范围有所不同：储备证明（CCSS 域 9）超出了 CCSA 范围，并且 CCSS 中未正式规定材料清单和分类。
该映射针对 PCI DSS v4.0.1 和 CCSS v8.0。这是现有控制认可数据集到“vs”视图的说明性投影，而不是 PCI SSC 或 CCSS 指导委员会的官方认可声明。
如何解读关系
等效 — 标准具有类似的控制；当满足控制认可条件时，该要求继续有效。
部分 — 标准仅部分涵盖要求；需要额外的 CCSA 测试。
差距 — 标准未解决此要求。 仅
CCSA — 要求已全部添加；不存在对应物。这是关键要求之一，并且永远不会延续。
控制-ID 桥
每行都是 CCSA 要求及其在 PCI、DSS 和 CCSS 中的控制对应项。该关系按标准显示。关键要求标有星号，并且无论基线如何，都经过全面测试。
按域过滤
显示的要求：28
| CCSA | PCI DSS v4.0.1 | PCI 关系 | CCSS v8.0 | CCSS 关系 | 注意 |
|---|---|---|---|---|---|
B.1.1 | Req 9.5.1 — analogy | CCSA | — | 差距 | A–F 分类和 CCM 细节需要完整的 CCSA 评估。 |
B.1.2 | Req 1.4 (CDE) — analogy | CCSA | — | 差距 | CME 是 PCI DSS CDE 的概念类似物。 |
B.2.1 | Req 3.6.1 | CCSA | CCSS 1. Key/Seed Generation | CCSA | CCSA 需要可验证的熵（FIPS 140-3 级别 3 / NIST SP 800-90A）； CCSS 解决了熵源问题，但没有 CCSA 阈值。 |
B.2.2 | Req 1.4 — analogy | 差距 | CCSS 1. Key/Seed Generation | 等价 仅 | 生成-环境隔离由CCSS覆盖； PCI DSS 没有类似物。 |
B.2.3 | — | 差距 | CCSS 1. Key/Seed Generation | 等价 仅 | 仪式协议记录在CCSS中； PCI DSS 中不存在。 |
B.3.1 | Req 3.5 | CCSA | CCSS 3. Key Storage | CCSA | CCSA 需要具有明确认证的 HSM / MPC / Secure Enclave； PCI、DSS和CCSS需要存储保护，但没有CCSA机制阈值。 |
B.3.2 | Req 3.5.1 | 等价 仅 | — | 差距 | AEAD 与 PCI 强加密兼容（要求 3.5.1）。 |
B.3.3 | — | 差距 | — | 差距 | 热/暖/冷分层是特定于加密货币的； PCI、DSS 和 CCSS 均未规定。 |
B.3.4 | Req 12.10.1 | 部分 | — | 差距 | 附加检查：备份特定的 MEK 和 PCI Req 12.10.1 之上的地理分布。 |
B.4.1 | Req 3.6.7 | CCSA | CCSS 4. Key Usage | CCSA | CCSA 通过可信边界细化密钥使用； CCSS 涵盖硬件支持的签名。 |
B.4.2 | Req 7 | 部分 | CCSS 4. Key Usage | 等价 仅 | PCI 按需要知道限制访问； CCSA和CCSS设置双控制阈值。 |
B.4.3 | Req 8 | 部分 | — | 差距 | 签名操作上的2FA，不仅在登录时；没有直接的 CCSS 类似物。 |
B.4.4 | Req 7, Req 8 | 等价 仅 | — | 差距 | PAM 和 MFA 完全被 PCI DSS Req 7 和 Req 8 覆盖。 |
B.5.1 | Req 3.6.4 | 等价 仅 | CCSS 6. Keyholder Grant/Revoke | 等价 仅 | CCSA 轮换节奏严格等于 PCI 的“至少每年一次”； CCSS 覆盖轮换。 |
B.5.2 | Req 12.10 | CCSA | CCSS 5. Key Compromise Policy | CCSA | CCSA 按事件类型设置具体的撤销SLA； PCI 和 CCSS 描述了没有此类 SLA 的响应。 |
B.5.3 | Req 12.10 | 部分 | CCSS 5. Key Compromise Policy | 等价 仅 | CCSS 涵盖恢复；部分通过 Req 12.10 位于 PCI DSS 中。 |
B.5.4 | Req 3.7 | 等价 仅 | CCSS 8. Data Sanitization Policy | 等价 仅 | 加密擦除和认证处置与 PCI 要求 3.7 和 CCSS 域 8 匹配。 |
B.6.1 | — | 差距 | CCSS 2. Wallet Creation | 等价 仅 | 多重签名是特定于加密货币的；由 CCSS 钱包创建覆盖，PCI DSS 中没有。 |
B.6.3 | Req 1.4 — analogy | 部分 | CCSS 2. Wallet Creation | 等价 仅 | 热/温/冷隔离类比CDE分段； CCSS直接覆盖它。 |
B.6.4 | — | 差距 | — | 差距 | 提款时间锁定是特定于加密货币的； PCI DSS 和 CCSS 都没有规定它们。 |
B.7.1 | Req 10 | 等价 仅 | CCSS 10. Audit Logs | 等价 仅 | 全面的日志记录与保留匹配 PCI Req 10 和 CCSS 审核日志。 |
B.7.2 | Req 10.4 | 部分 | — | 差距 | CCSA 需要通过警报进行自动检测，并且 SLA 位于 PCI 请求 10.4 之上。 |
B.7.3 | Req 10.2 — analogy | CCSA | CCSS 7. Third-Party Audits — analogy | CCSA | 链上签名日志 <-> 的协调是特定于加密货币的；完整的 CCSA 评估。 |
B.7.4 | Req 12.10 | 等价 仅 | CCSS 5. Key Compromise Policy | 等价 仅 | 带有监管机构通知的记录剧本与 PCI Req 12.10 和 CCSS Domain 5 匹配。 |
B.8.1 | Req 12.7 | CCSA | — | 差距 | CCSA 需要对超出 PCI 要求 12.7 的密钥持有者进行增强筛选。 |
B.8.2 | Req 7 | 等价 仅 | — | 差距 | 带冲突检测的 RBAC 与 PCI Req 7 匹配。 |
B.8.3 | Req 12.6, Req 12.7 | 部分 | CCSS 6. Keyholder Grant/Revoke | 等价 仅 | CCSA 需要加密特定的训练； CCSS 涵盖密钥持有者入门。 |
B.8.4 | Req 12.7 | 部分 | CCSS 6. Keyholder Grant/Revoke | 等价 仅 | CCSA 设置 SLA 并触发下机轮换； CCSS 涵盖密钥持有者撤销。 |
CCSA 在 PCI DSS 和 CCSS 之外添加了什么
八项关键要求是 CCSA 的核心，没有基线能够完全涵盖。它们从不延续，在既定方法下进行测试，其中四个根本不允许补偿控制。
完整的密码材料清单
关键要求B.1.1 — 核算 A–F 类别的所有关键材料。 PCI DSS 仅提供类比（媒体清单，要求 9.5.1）； CCSS没有正规清单。
按关键程度类别分类
关键要求B.1.2 — 挑选出关键密码材料作为 CDE 的类似物。 PCI、DSS 和 CCSS 都没有规定密码材料的这种分类。
具有可验证熵的密钥生成
关键要求B.2.1 — 可验证的熵源（FIPS 140-3 级别 3 / NIST SP 800-90A）。 PCI 和 CCSS 地址生成，但没有强制可验证阈值。
在 HSM / MPC / Secure Enclave 中存储关键密码材料
关键要求B.3.1 — 具有显式机制认证的强制硬件支持存储。 PCI和CCSS需要存储保护，但没有规定具体的认证机制。
密码操作的访问控制和授权
关键要求B.4.1 — 仅在可信边界内使用密钥。 PCI 概括地描述了使用和访问； CCSA 确定每个签名操作的边界。
通过 SLA 安全密钥撤销和轮换
关键要求B.5.2 — 具体撤销 SLA，具体取决于失陷事件的类型。 PCI 和 CCSS 描述了响应，但没有设置可衡量的撤销期限。
失陷检测和链上对账
关键要求B.7.3 — 在只读模式下根据链上状态协调签名日志。这是 PCI DSS 和 CCSS 中都不存在的加密特定控制。
职责分离和人员访问控制
关键要求B.8.1 — 加强对密钥持有者的筛选和严格的职责分离。 PCI 一般性地设置人员筛选（要求 12.7），没有增强的密钥持有者要求。
热/温/冷存储分层
加密专用控制B.3.3 — 热、温、冷密钥存储的架构分离。 PCI、DSS 或 CCSS 中没有类似的结构密码控制。
提款时间锁定
加密专用控制B.6.4 — 提款操作的时间锁定和阈值。这两个标准都没有特定于加密货币的钱包架构控制。
这给审核员和买家带来了什么
重叠控制从现有的 PCI DSS 和 CCSS 审计中延续下来，评估重点关注八项关键要求和加密细节。这在不降低标准的情况下减少了新工作。
如果您已经持有有效的 PCI DSS 或 CCSS 审核 - 从控制认可控制开始，并将精力集中在八项关键要求上。