Черновик v0.2 -> v1.0 — релиз 1 декабря 2026 года.
Один стандарт защиты криптографического материала. Один аудит. Зачёт ваших сертификатов.
Стандарт CCSA — узкое расширение PCI DSS v4.0.1 для защиты критически важного криптографического материала: приватных ключей, мнемонических фраз, долей MPC, PIN-кодов HSM и токенов сессий. Он совместим с PCI DSS, ГОСТ Р 57580, CCSS, SOC 2 и MiCA благодаря открытому механизму зачёта.
Черновик v0.2 -> v1.0. Может измениться до 2027-01-01.
Четыре аудитории — четыре пути
CCSA адресован четырём ролям рынка. Выберите свою — и перейдите к конкретным шагам.
Один стандарт вместо пяти аудитов; зачёт существующих сертификатов; знак доверия для банков и страховых.
Подготовиться к сертификации ->Стать CCSA-QSA за двухнедельный дельта-курс и экзамен без повторной базовой сертификации.
Стать CCSA-QSA ->Аккредитация как CCSAC — новый сертификационный сервис на знакомой PCI-структуре.
Аккредитоваться как CCSAC ->Измеримая ссылочная методика, открытое сопоставление стандартов и реестр LVCS как источник доверия.
Реестр LVCS ->v0.2 -> v1.0: что меняется
Стандарт развивается публично: изменения версий, исправления и требования проходят открытое обсуждение.
Сообщить о заинтересованности
Стандарт находится в статусе черновика v0.2. Оставьте контакт, и Совет CCSA свяжется с вами при выходе v1.0.
Совет CCSA отвечает в течение 5 рабочих дней.
Письмо откроется в вашем почтовом клиенте с заполненной темой. Совет CCSA не передаёт контакты третьим лицам.
Контактные данные не собираются на сайте — письмо открывается в вашем почтовом клиенте.
Референс-площадка4pay.online — первая площадка, заявившая о применении CCSA как референс-стандарта. Это указание на интерес к стандарту, а не подтверждённое членство или сертификация.
Почему сегодня дорого и фрагментарно
Безопасность крипто-инфраструктуры в 2026 году фрагментарна. Чтобы выйти на международный рынок и заслужить доверие банков-партнёров и страховщиков, оператору приходится одновременно проходить PCI DSS, ГОСТ 57580, SOC 2, коммерческий аудит безопасности и подтверждение резервов — каждую проверку со своим аудитором, методологией и отчётом.
Кто что стандартизирует — и где пробел
| Сегмент | Кто стандартизирует | Пробел |
|---|---|---|
Карточные платежи | PCI SSC (PCI DSS) | Не покрывает крипту |
Кошельки и биржи | C4 (CCSS) | Ограниченное распространение, нет обязательного применения и сети аккредитованных аудиторов |
DLT в финорганизациях РФ | Росстандарт (ГОСТ Р 57580.3) | Только Россия; общие требования к информационной безопасности без специфики кастодиальных сервисов |
Стейблкоины и VASP в ЕС | EBA / ESMA (MiCA) | Обязательное регулирование, а не технический стандарт |
Смарт-контракты | Частные аудиторы | Нет общей методологии и реестра |
Один ссылочный стандарт
CCSA ссылается на существующие стандарты, а не переписывает их. Он добавляет только требования к защите CCM в восьми доменах — по аналогии с тем, как PCI DSS защищает только данные держателей карт.
Действующие базовые стандарты <-> дополнительные требования CCSA.
Зачёт результатов пяти базовых стандартов: PCI DSS, ГОСТ 57580, CCSS, SOC 2 и MiCA.
Открытый стандарт — текст бесплатно.
CCSA защищает только критический криптографический материал — по аналогии с PCI DSS, который защищает данные держателей карт. За рамками намеренно остаются безопасность смарт-контрактов, подтверждение резервов, AML, мониторинг блокчейна, целостность торгового движка и рыночные манипуляции. Это осознанная граница, а не пробел.
Критическое
Честная рамка
Первые принципы
Защищаем только данные, прямо дающие доступ к средствам.
Каждое требование следует структуре PCI DSS v4.0.1: требование стандартного подхода, процедуры проверки, цель индивидуального подхода, условия применимости, назначение, рекомендации и примеры.
Выполнено / не выполнено / неприменимо / компенсирующая мера. Никаких пятибалльных шкал и взвешенных средних.
Действующие сертификаты PCI DSS / ГОСТ / CCSS / SOC 2 / MiCA зачитываются. Объём аудита — примерно половина, стоимость для клиента ниже в 1,5–2 раза.
Совет CCSA сам не проводит аудиты; это делают аккредитованные CCSAC и сертифицированные CCSA-QSA.
Совет CCSA не проводит аудиты, не консультирует по подготовке и не продаёт средства защиты. Модель основана на подходе PCI SSC.
CCSA снижает риск компрометации криптографического материала, но не устраняет его полностью. Сертификация — не гарантия от инцидента. Качество аудитов контролируется выборочной проверкой ROC, экспертным рецензированием и санкциями вплоть до отзыва аккредитации.
Совет CCSA — разработчик стандарта, а не гарант.
Готовы убрать дублирующие аудиты?
Выберите свой путь: сертификацию продукта или сертификацию аудитора. Либо свяжитесь с Советом CCSA.
Совет CCSA отвечает в течение 5 рабочих дней.