样本工件
每个片段的最终文档的说明性只读示例：SAQ、ROC 摘录、AOC 和 LVCS 注册表列表。目前还没有真正的认证。
为了清楚您在认证路径结束时实际收到的内容，下面的示例显示了最终文件的结构和格式。它们不包含真实数据。
对于四个部分 (C.1–C.4) 中的每一个，都有一个单独的端到端虚构案例。在一个案例中，四个工件（SAQ、ROC、AOC 和注册表列表）通过一个实体、产品和目标级别联系在一起。
选择一个片段，然后在该案例的工件之间切换。
实体、产品、审核员名称和所有标识符均为虚构。尚未颁发 CCSA 认证 - 真正的条目将在发布后出现 (2027+)。
草案 v0.2 -> v1.0。在 2027-01-01 之前可能会有更改。
样本工件
每个片段的最终文档的说明性只读示例：SAQ、ROC 摘录、AOC 和 LVCS 注册表列表。目前还没有真正的认证。
注册表行只是示例，并不反映真实的认证。
C.1 — 托管人
目标水平
L3Acme Custody Ltd / Acme Vault，目标级别 L3。托管人将客户私钥置于自己的控制之下。
完成SAQ-C1（摘录）
说明性C.1（托管钱包）部分的自我评估调查问卷，由实体在审计前完成。显示了十一个部分中的一些部分。
部分 1 — 组织信息
组织
Acme 托管有限公司
产品/服务
Acme Vault v3.2
段
C.1 — 托管钱包
目标水平
L3（高级）
自评期
2027-01-01 — 2027-02-15
准备者
内部安全团队
部分 3、5、6 — 跨域摘录 B.1 / B.3 / B.4
3.1 维护密码材料的完整清单（★ 严重 B.1.1）
3.2 每个材料单位按灵敏度分类（★ Critical B.1.2）
5.1 私钥加密存储（信封加密）（★ 严重 B.3.1）
6.2 所有出站交易都需要多重签名或阈值批准
11 部分 — 最终证明
11.3 所有适用的关键要求均通过既定方法落实（★ 关键）
签字人
实体的授权人员
ROC 需求工作表（摘录）
说明性ROC 中的一份重复要求评估工作表（附件 3 §A3.7） — 针对关键要求 B.3.1。
要求
要求
B.3.1
域
B.3 — 密码材料的存储
适用范围
必填
声明
私钥和助记词仅以加密形式存储；材料加密密钥 (MEK) 与受保护的材料隔离。
评估工作表 (A3.7)
评估状态
测试程序
检查、访谈、观察、追踪
收集的证据
HSM 配置、密钥管理策略 KMP-04、90 天的保管库访问日志、MEK 部署图。
采样
3 的 3 金库； 12 金库操作员的 5。
审计结果
证据证实信封加密； MEK 被隔离在单独的 HSM 中。没有发现任何偏差。
基线控制认可（A 部分）
PCI DSS Req 3.x 的部分控制认可 — 操作部分已确认；加密特定部分是单独评估的（关键要求不会延续）。
合规证明 (AOC)
说明性公开合规声明 — 由实体和首席审核员签署并在 LVCS 注册表中注册。与 ROC 不同，AOC 是公共的。
零件 1 — 标识
组织
Acme 托管有限公司
产品
Acme Vault v3.2
段
C.1 — 托管钱包
注册列表 ID
LVCS-2027-0002
4 部分 — 审核信息
审核公司（CCSAC）
CCSAC-002（认可审核公司）
首席审核员
CCSA-QSA 首席审核员
审核期
2027-04-01 — 2027-05-20
评估类型
初始认证（既定方法+补偿控制）
6 部分 — 合规摘要
达到等级
等级 3（高级）
落实
100% 适用强制性
补偿控制
0%（L3上限：<= 2.5%）
未落实
0%
关键要求
通过既定方法落实所有关键要求
部分 8 — 应用基线控制认可
PCI DSS v4.0.1
等级1，有效期至2027-11-30
SOC 2
类型 II，周期 2026-04 — 2027-03
强制控制认可
≈ 48% 控制认可所涵盖的强制要求
部分 11 — 有效性和状态
有效期自
2027-06-01
有效期至
2028-05-31
当前状态
活跃
LVCS 注册表列表（详细视图）
说明性列出的已验证加密解决方案注册表中经过认证的解决方案的公共记录。银行、保险公司和监管机构在审查供应商时都会参考它。
记录
名录登记ID
LVCS-2027-0002
供应商
Acme 托管有限公司
产品
Acme Vault v3.2
段
C.1 — 托管钱包
等级
L3（高级）
有效性和状态
认证日期
2027-06-01
有效期
2028-05-31
状态
活跃
事件记录
无事故
审计和范围
审计公司
CCSAC-002
AOC 参考
AOC LVCS-2027-0002（公共）
认证范围
Acme Vault v3.2；域 B.1–B.8；区块链 BTC、ETH、TRON。
C.2 — 非托管供应商
目标水平
L24pay.online OOO / HethWallet，目标级别L2。非托管钱包的软件供应商；最终用户永远不是认证主体。
完成SAQ-C2（摘录）
说明性C.2 部分（非托管钱包，供应商范围）的自我评估调查问卷，由软件供应商在审核前完成。
部分 1 — 组织信息
组织
4pay.online OOO
产品/服务
HethWallet v2.4
段
C.2 — 非托管钱包（供应商范围）
目标水平
L2（标准）
自评期
2027-01-10 — 2027-02-20
准备者
内部安全团队
部分 3、6、8 — 跨域摘录 B.1 / B.4 / B.6
3.1 维护产品范围内密码材料的完整清单（★ 严重 B.1.1）
6.1 密钥生成和存储发生在设备/用户侧；供应商无法访问该材料（★ 严重 B.4.1）
8.2 钱包架构已记录；供应商范围和设备范围保持分离
6.4 恢复不会创建隐藏的密钥导出通道
11 部分 — 最终证明
11.3 所有适用的关键要求均通过既定方法落实（★ 关键）
签字人
实体的授权人员
ROC 需求工作表（摘录）
说明性一份需求评估工作表 — 适用于关键需求 B.4.1（非托管模型：密钥永远不会离开设备）。
要求
要求
B.4.1
域
B.4 — 密码材料的使用
适用范围
必填
声明
签名发生在用户的设备上；私钥永远不会被导出，软件供应商也无法访问。
评估工作表 (A3.7)
评估状态
测试程序
检查、观察、追踪
收集的证据
签名模块源代码（审查）、应用程序构建、静态分析报告、设备上密钥派生图。
采样
2 平台（iOS、Android）； 4 签名流程中的 4。
审计结果
已确认：密钥在设备安全存储内生成并使用；没有找到导出路径。
基线控制认可（A 部分）
CCSS 控制认可不适用于通过既定方法单独评估的关键要求。
合规证明 (AOC)
说明性供应商范围合规性公开声明。由供应商和首席审核员签署并在 LVCS 注册表中注册。
零件 1 — 标识
组织
4pay.online OOO
产品
HethWallet v2.4
段
C.2 — 非托管钱包（供应商范围）
注册列表 ID
LVCS-2027-0001
4 部分 — 审核信息
审核公司（CCSAC）
CCSAC-001（认可审核公司）
首席审核员
CCSA-QSA 首席审核员
审核期
2027-02-01 — 2027-03-05
评估类型
初始认证（既定方法）
6 部分 — 合规摘要
达到等级
级别 2（标准）
落实
100% 适用强制性
补偿控制
2%（L2上限：<= 5%）
未落实
0%
关键要求
通过既定方法落实所有适用的关键要求
部分 8 — 应用基线控制认可
CCSS
等级2，有效期至2027-12-31
ISO 27001
证书至2028-01-31
强制控制认可
≈ 40% 控制认可所涵盖的强制要求
部分 11 — 有效性和状态
有效期自
2027-03-15
有效期至
2028-03-14
当前状态
活跃
LVCS 注册表列表（详细视图）
说明性LVCS 注册表中经过认证的解决方案的公共记录。合作伙伴和监管机构在审查钱包供应商时会参考它。
记录
名录登记ID
LVCS-2027-0001
供应商
4pay.online OOO
产品
HethWallet v2.4
段
C.2 — 非托管钱包（供应商范围）
等级
L2（标准）
有效性和状态
认证日期
2027-03-15
有效期
2028-03-14
状态
活跃
事件记录
无事故
审计和范围
审计公司
CCSAC-001
AOC 参考
AOC LVCS-2027-0001（公共）
认证范围
HethWallet v2.4（供应商范围）；域 B.1、B.4、B.6、B.7；区块链 ETH、TRON。
C.3 — 加密货币交易所
目标水平
L1DEX 实验室/DEXFront，目标级别 L1。仅交易所的 CCM 托管基础设施（DEX 前端）在范围内。
完成SAQ-C3（摘录）
说明性C.3（加密货币交易所）部分的自我评估调查问卷，由运营商在审计前完成。只有托管基础设施在范围内。
部分 1 — 组织信息
组织
DEX 实验室
产品/服务
DEXFront v1.0
段
C.3 — 加密货币交易所（托管范围）
目标水平
L1（基础）
自评期
2026-10-01 — 2026-11-10
准备者
内部安全团队
部分 5、7、9 — 跨域摘录 B.3 / B.5 / B.7
5.1 热、暖、冷库分开；热点限制受策略限制（★ Critical B.3.1）
7.3 只读监视所有托管地址，并定义响应 SLA（★ 严重 B.7.3）
5.2 任何介质上都不存在明文密钥存储
9.1 失陷的密钥轮换过程已被记录和测试
11 部分 — 最终证明
11.3 所有适用的关键要求均通过既定方法落实（★ 关键）
签字人
实体的授权人员
ROC 需求工作表（摘录）
说明性一份需求评估工作表 — 适用于关键需求 B.7.3（只读监控，响应为 SLA）。
要求
要求
B.7.3
域
B.7 — 失陷检测和监控
适用范围
必填
声明
所有托管地址均处于只读监控状态；如果发生未经授权的资金转移，则会在定义的 SLA 内触发警报。
评估工作表 (A3.7)
评估状态
落实（通过补偿控制）
测试程序
检查、访谈、观察
收集的证据
监控系统配置、60 天的警报日志、补偿控制描述 CC-07（每小时手动对账待自动化）、响应操作手册。
采样
所有热门地址； 3 或 5 冷地址。
审计结果
L1 的自动化 SLA 尚未完全实现；该差距通过记录在案的补偿控制 CC-07 来弥补。没有发现实质性偏差。
基线控制认可（A 部分）
SOC 2 (CC7.x) 的部分控制认可 — 一般监测得到确认；加密特定部分单独评估。
合规证明 (AOC)
说明性交易所托管基础设施合规性公开声明。由操作员和首席审核员签署并在 LVCS 注册表中注册。
零件 1 — 标识
组织
DEX 实验室
产品
DEXFront v1.0
段
C.3 — 加密货币交易所（托管范围）
注册列表 ID
LVCS-2026-0004
4 部分 — 审核信息
审核公司（CCSAC）
CCSAC-001（认可审核公司）
首席审核员
CCSA-QSA 首席审核员
审核期
2026-11-15 — 2026-12-15
评估类型
初始认证（既定方法+补偿控制）
6 部分 — 合规摘要
达到等级
级别 1（基础）
落实
100% 适用强制性
补偿控制
8%（L1上限：<= 10%）
未落实
0%
关键要求
所有适用的关键要求均已落实； B.7.3 通过补偿控制
部分 8 — 应用基线控制认可
SOC 2
类型 II，周期 2025-12 — 2026-11
PCI DSS v4.0.1
等级2，有效期至2027-06-30
强制控制认可
≈ 35% 控制认可所涵盖的强制要求
部分 11 — 有效性和状态
有效期自
2026-12-20
有效期至
2027-12-19
当前状态
活跃（发行时）
LVCS 注册表列表（详细视图）
说明性LVCS 注册表中经过认证的解决方案的公共记录。它显示到期状态和交易对手检查的跟踪记录标志。
记录
名录登记ID
LVCS-2026-0004
供应商
DEX 实验室
产品
DEXFront v1.0
段
C.3 — 加密货币交易所（托管范围）
等级
L1（基础）
有效性和状态
认证日期
2026-12-20
有效期
2027-12-19
状态
已过期（需要重新认证）
事件记录
事件已标记（正在调查中）
审计和范围
审计公司
CCSAC-001
AOC 参考
AOC LVCS-2026-0004（公共）
认证范围
DEXFront v1.0 托管基础设施；域 B.1、B.3、B.5、B.7；区块链 ETH。
C.4 — 发行人
目标水平
L2RegioToken LLC / RegioCoin 发行人，目标级别 L2。仅铸造/销毁密钥和相关的 CCM 位于范围内；发行的多重签名是强制性的。
完成SAQ-C4（摘录）
说明性C.4 部分（稳定币、RWA、法定代币发行人）的自我评估调查问卷，由发行人在审核前完成。铸造/销毁密钥在范围内。
部分 1 — 组织信息
组织
RegioToken LLC
产品/服务
RegioCoin 发行者 v1.5
段
C.4 — 发行人
目标水平
L2（标准）
自评期
2027-06-01 — 2027-07-10
准备者
内部安全团队
部分 4、6、10 — 跨域摘录 B.2 / B.4 / B.8
4.1 铸造/销毁密钥在安全边界内生成，并具有经过验证的熵（★ 关键 B.2.1）
6.1 每个铸币和销毁都需要多重签名，无论市值如何（★ 关键 B.4.1）
10.1 关键股东按角色划分，不合并不兼容的职责（★ 关键 B.8.1）
10.5 主要股东的地理分布（B.8.5）
11 部分 — 最终证明
11.3 所有适用的关键要求均通过既定方法落实（★ 关键）
签字人
实体的授权人员
ROC 需求工作表（摘录）
说明性一份需求评估工作表 — 适用于关键需求 B.4.1（用于铸造/销毁操作的多重签名）。
要求
要求
B.4.1
域
B.4 — 密码材料的使用
适用范围
必填
声明
代币发行和销毁仅通过多重签名（m-of-n 阈值）进行；铸币/销毁密钥的单方使用是不可能的。
评估工作表 (A3.7)
评估状态
测试程序
检查、访谈、观察、追踪
收集的证据
多重签名配置（3-of-5），发行智能合约（审计报告），90天的铸造/销毁日志，职责分离政策。
采样
所有5关键股东；期内6、6的发行操作。
审计结果
已确认：如果没有达到所需的签名阈值，则不会进行任何操作。没有发现任何偏差。
基线控制认可（A 部分）
MiCA 控制的部分控制认可 — 总体治理得到确认；加密特定部分（签名阈值）单独评估。
合规证明 (AOC)
说明性发行人铸币/销毁基础设施的合规公开声明。由发行人和首席审计师签署并在 LVCS 注册表中注册。
零件 1 — 标识
组织
RegioToken LLC
产品
RegioCoin 发行者 v1.5
段
C.4 — 发行人
注册列表 ID
LVCS-2027-0003
4 部分 — 审核信息
审核公司（CCSAC）
CCSAC-003（认可审核公司）
首席审核员
CCSA-QSA 首席审核员
审核期
2027-07-20 — 2027-08-25
评估类型
初始认证（既定方法+补偿控制）
6 部分 — 合规摘要
达到等级
级别 2（标准）
落实
100% 适用强制性
补偿控制
4%（L2上限：<= 5%）
未落实
0%
关键要求
通过既定方法落实所有适用的关键要求
部分 8 — 应用基线控制认可
MiCA（组织控制）
确认合规直至 2028-06-30
ISO 27001
证书至2028-02-28
强制控制认可
≈ 42% 控制认可所涵盖的强制要求
部分 11 — 有效性和状态
有效期自
2027-09-10
有效期至
2028-09-09
当前状态
有效（预计重新认证）
LVCS 注册表列表（详细视图）
说明性LVCS 注册表中经过认证的解决方案的公共记录。它显示到期前的待续订状态。
记录
名录登记ID
LVCS-2027-0003
供应商
RegioToken LLC
产品
RegioCoin 发行者 v1.5
段
C.4 — 发行人
等级
L2（标准）
有效性和状态
认证日期
2027-09-10
有效期
2028-09-09
状态
待续订
事件记录
无事故
审计和范围
审计公司
CCSAC-003
AOC 参考
AOC LVCS-2027-0003（公共）
认证范围
RegioCoin 发行者 v1.5；铸币/销毁 CCM；域 B.2、B.4、B.8；区块链 ETH、TRON。
工作工具
以上示例是静态的。交互式版本和规范模板位于 CCSA 工具中。
机器可读的变更日志提要
该标准的版本历史记录还可以作为机器可读的源 (JSON) 提供，用于与外部跟踪系统集成。