FAQ

范围仅保护关键密码材料 (CCM)：清单、生成、存储、使用、生命周期、钱包架构、泄露检测和人员控制（域 B.1–B.8）。边界故意缩小——PCI DSS 仅保护持卡人数据。故意超出范围：智能合约安全、储备证明和储备构成、AML 和链上取证、交易引擎完整性和市场操纵。这是定位边界，而不是差距：理事会不重复金融情报职能，也不审核业务逻辑。

四个部分（C 节）：C.1 — 托管钱包和托管人（所有 8 域均为强制），C.2 — 非托管钱包，其中认证主体是供应商或设备制造商，而不是最终用户，C.3 — 其托管基础设施的交易所， C.4 — 铸造/销毁密钥的发行者。每个细分市场的水平由其自身的规模指标（AUM、MAU、每日交易量、市值）驱动。跨多个部门运作的组织满足所有强制性要求的联合，并且总体水平是其部门中最严格的。

否。CCSS（加密货币安全标准）是 CCSA 的基准合作伙伴，而不是竞争对手：其要求延续，CCSS 级别 I/II/III 映射到 CCSA 级别 1/2/3。区别在于覆盖范围。 CCSS专注于钱包和交易所的密钥管理； CCSA还涵盖四个部分（钱包、交易所、托管机构、发行人），增加了监管定位、认证产品的公共注册处和认可审计师网络。我们故意引用 CCSS 而不是重写它。

加密基础设施安全是分散的：每个部分都有自己的标准化器（卡的 PCI SSC、CCSS 钱包的 C4、俄罗斯的 GOST R 57580.3 的 Rosstandart、俄罗斯的 MiCA 的 EBA/ESMA EU），但没有一个涵盖端到端的密码材料保护，并且 60–70% 的通用基础设施工作是重复的。 CCSA不取代这些标准；它通过单个控制认可矩阵将它们桥接起来，并仅为关键密码材料添加一个狭窄的增量。姿势是“参考，不要重写”。

CCSA 是 v0.2 草案阶段的市场倡议；如今，它是一个私人标准，而不是强制性的监管要求。目标定位是一项获得区域认可的全球倡议。路线图上有识别路径：v1.0 针对的是 2026-12-01，路线图列出了 2028 中的非俄罗斯司法管辖区（迪拜的 VARA、ADGM 的 FSRA）的识别申请。这些是计划目标，而不是已确认的状态。 CCSA 补充了监管机构的要求，而不是与之竞争。

该标准由 CCSA 委员会运行 - 一个仿照 PCI SSC 和 Linux 基金会的私人标准制定组织。标准决策由独立董事会（至少 7 成员：独立董事长、独立董事和无投票权的创始成员观察员席位）做出。 4pay.online 是创始成员之一，拥有七个席位之一 - 第一个参考公司，而不是标准的所有者。在此阶段，董事会和委员会的指定组成将作为保留席位和任命时间表发布，而不是作为确认的名称发布。

如果组织持有有效的基线证书（PCI DSS、GOST 57580、CCSS、SOC 2 类型 2 或 MiCA），则相应的 CCSA 要求在以下条件下延续：证书有效期不超过 12 个月评估开始，至少剩余 6 个月的有效期，与 CCM 环境的范围重叠，以及基于注册表的真实性验证。类别：完全——接受要求，无需重新测试；部分 — 仅对特定于加密货币的部分进行额外测试； N/A — 控制认可不适用。与全面审核相比，通过多基线控制认可，审核员执行大约 50% 的工作 — 这对客户来说意味着 1.5–2x 的便宜。

不会。无论基线证书的强度如何，八项关键要求永远不会延续 - 它们始终通过既定方法进行全面测试。其中包括 CCM 清单和分类（B.1.1、B.1.2）、HSM/MPC/安全区域中关键密码材料的存储（B.3.1）、安全密钥撤销和轮换（B.5.2）以及泄露检测（B.7.3）。对于其中的四个，补偿控制是完全禁止的；对于其余的，仅在获得理事会批准的情况下才允许在 1 层进行。它们在表中的映射仅供参考。

通过治理结构和正式政策。标准决策由独立董事会做出：主席和独立董事不能是理事会、会员组织或认可审计公司的雇员，并且与他们没有财务关系。董事会、首席高管和审计公司所有者必须每年披露从属关系。在激烈的冲突中，参与者回避：不讨论、不投票、不获取材料，并且事实记录在公共登记册中。未公开的冲突将受到制裁，直至撤销决定和终止参与。这是对“交易所自我监管”模式的刻意拒绝——CARC失败的教训（2019–2022）。

总额分为三部分，支付给不同的接收者，具体取决于细分和级别；以下是 v0.2- 草案指示性数字，不包括 VAT。以 2 级别为目标的交易所 (C.3) 示例：标准会员资格 ~RUB 1.0M/年，加上 LVCS L2 名录登记 ~RUB 1.2M 并享有会员折扣 - 按照第一年向理事会提交的 RUB 2.1M 的顺序。一个较小的场景——1 级别的非托管钱包供应商 (C.2)——已向理事会发出 RUB 0.58M 指令。除此之外，审计公司（CCSAC）的工作是单独支付报酬的，并且取决于数量；控制认可会减少它。所有数字均为计划目标；理事会确认您的方案的最终估计。

共有三个角色不同的付款接收者。理事会对参与组织的会员资格以及在 LVCS 注册表中列出和维护产品的费用（按级别）收费。经认可的审计公司（CCSAC）对评估本身和报告收取费用——这笔费用支付给该公司，而不是理事会。审计公司和个人专业人士依次接受认证和三角洲课程。分离接收者是利益冲突政策的一部分：运行该标准的组织不会因任何特定评估而付费。

CCSA理事会是一个私人标准制定组织，不是政府监管者，也是标准的制定者，而不是担保人。证书确认评估时符合 CCSA 方法并降低了密码材料泄露的风险，但并不能消除风险，也不能保证不会发生事件。在此阶段，CCSA 的一致性是自愿的；该标准补充了监管机构的要求，旨在作为公认的评估方法，而不是替代它们。

现在发布的是 v0.2 草案：完整的规范文本是可读的并且正在接受公众咨询，但在发布之前要求可能会发生变化。 v1.0目标日期为2026-12-01，生效2027-01-01；理事会的承诺固定为 v1.0。变更日志中跟踪正在协商的版本和要求之间的实质性变更。您已经可以依靠文本来准备 — 对于最终认证，目标为 v1.0。