为什么是CCSA
没有任何现有参与者能够通过与 QSA 评估者网络相关的一种方法涵盖所有四个加密基础设施领域。 CCSA 填补了这一空白。
定位
唯一同时与 PCI DSS / GOST 57580.3 / CCSS 兼容的加密基础设施安全标准，涵盖 4 细分市场（钱包、交易所、托管机构、发行人），并通过现有 QSA 评估者网络进行交付。
密码材料行业安全标准
机会之窗
2026 中的加密基础设施安全是碎片化的：每个部分都有自己的标准化器，但没有一个涵盖整个密码材料的保护。
| 段 | 谁标准化了它 | 差距 |
|---|---|---|
卡支付 | PCI SSC (PCI DSS) | 不涵盖加密货币 |
钱包和交易所 | C4 (CCSS) | 采用范围窄，无强制执行且无认可评估员网络 |
DLT 于 RU 金融机构 | 俄罗斯标准 (GOST R 57580.3) 仅限 | RU；一般 IT-安全要求，而非保管细节 |
EU 中的稳定币和 VASP | EBA / ESMA (MiCA) | 监管要求，而非技术标准 |
智能合约 | 私人审计师 | 没有通用的方法或注册表 |
标准市场地图
轴：水平 — 从“仅 RU”到“全局”；垂直——从“市场主动”到“监管机构认可”。 仅
监管机构认可
ГОСТ 57580.3
PCI SSC
MiCA
ISO/TC 307
CCSS (C4)
EEA EthTrust
CCSA
<- RU
全球 ->
市场主动权
CCSA 的目标位置是右上象限：一项目前无人能达到的具有区域认可度的全球举措。该路径从 RU-CIS 市场倡议开始，然后走向认可。
与风景对比
CCSA 竞争客户的注意力，而不是成为标准：我们故意引用现有基线而不是替换它们。
| 玩家 | 他们有什么 | 缺少什么（出现在 CCSA 中） | CCSA 的关系 |
|---|---|---|---|
PCI SSC / PCI DSS | 通过支付品牌进行全球执法 | 加密货币特定的密钥保护要求 | 基线伙伴； CCSA 是加密层的扩展 |
C4 / CCSS v8.0 | 加密密钥管理，开放方法论 | 交易所、发行人、监管认可、产品注册 | 基线合作伙伴和映射，而不是竞争对手 |
ГОСТ Р 57580 | 金融机构RU必填 | 交易所和钱包的灵活性，国际兼容性 | RU 客户的基线；目标是公认的补充 |
ISO / TC 307 | ISO 机构权限 | 发表速度、认证、评估者注册 | 长期映射 (ISO 22739 / ISO/TR 23576) |
MiCA (EU) | EU 中的法律义务 | 技术可测量要求，EU 之外的适用性 | 不是竞争对手； CCSA 是一种 MiCA 制备方法 |
EEA EthTrust | 智能合约标准（3 级别） | 基础设施和密钥保护（智能合约不在CCSA范围内） | 补充认证，不能替代 CCSA |
Smart-contract auditors | 合同审核方面深厚的技术专长 | 标准化方法和注册表 | 他们的基础设施实践可能被认证为 CCSAC |
Big 4 / mid-tier | 机构信誉 | 加密货币的特殊性和区域适用性 | 目标是将一家中型公司认证为CCSAC（阶段3） |
CARC 课程
大型交易所（Coinbase、Kraken、Bittrex、2019–2022、CryptoAsset 评级委员会）的自我监管尝试因缺乏独立治理和监管认可而失败。 CCSA 刻意避免“交易所自我监管”模式——因此有一个独立的董事会，并且明显不存在利益冲突。
范围边界——故意缩小
CCSA 仅保护关键密码材料 — 与 PCI DSS 仅保护持卡人数据类似。故意超出范围：智能合约安全、储备证明、AML 和链上监控、交易引擎完整性。这是一个定位边界，而不是一个缺口。
智能合约安全超出范围（0.2.2 节）
储备证明和储备构成超出范围
AML 和链上取证超出范围；理事会不会重复金融情报职能
交易引擎完整性和市场操纵超出范围
诚实定位
CCSA 降低了密码材料泄露的风险，但并没有消除它。认证并不能保证不会发生事故。
CCSA 与央行的要求是补充而不是竞争；目标是成为一种公认的评估方法。
CCSA 理事会是一个私人标准组织，而不是政府监管机构。
CCSA 理事会是标准制定者，而不是保证者。
草案 v0.2 -> v1.0。在 2027-01-01 之前可能会有更改。
定位
没有玩家能够通过与 QSA 评估者社区相关的一种方法涵盖所有 4 目标细分市场。