Prüfung zur SEAL-Zertifizierung

BlockSec bestimmt den Umfang anhand der Systeme, betrieblichen Verantwortlichkeiten und Risiken der Organisation und bestätigt ihn mit dem Kunden. Module werden normalerweise nur ausgeschlossen, wenn sie nicht anwendbar sind.

Eine Prüfung eines einzelnen Moduls ist angemessen, wenn die anderen Module tatsächlich außerhalb der betrieblichen Tätigkeiten der Organisation liegen. Die Ergebnisse benennen die geprüften Module und erläutern Ausschlüsse.

Bereiten Sie einen Überblick über betriebliche Tätigkeiten, Systeme, zuständige Verantwortliche sowie verfügbare Richtlinien und Betriebsaufzeichnungen vor. BlockSec legt Nachweise und Verifizierungsmethoden anhand der anwendbaren Kontrollen, der Kundengröße und der Risiken fest. Zu den Nachweisen können Aufzeichnungen zu Signierenden, Zugriffsprüfungen, Konfigurationen, Interviews, Protokolle und Übungsergebnisse gehören. Die genauen Anforderungen werden für das Projekt vereinbart.

Übermitteln Sie keine privaten Schlüssel, Seed-Phrases oder Secrets aus Produktivsystemen über ein öffentliches Anfrageformular.

BlockSec identifiziert nicht erfüllte Anforderungen und empfiehlt Abhilfemaßnahmen. Der Kunde setzt Änderungen um, und BlockSec prüft die aktualisierten Nachweise innerhalb des Prüfzyklus.

Empfehlungen zur Behebung und eine erneute Prüfung innerhalb des vereinbarten Projektumfangs sind ohne zusätzliche Kosten enthalten. Für eine Zertifizierung müssen die einbezogenen Kontrollen umgesetzt oder begründet als nicht anwendbar eingestuft sein.

Teams können das öffentliche Rahmenwerk nutzen, um ihre Verfahren zu überprüfen und Lücken zu identifizieren. Eine Selbstbewertung bietet weder eine unabhängige Verifizierung durch Dritte noch eine offizielle Attestierung der SEAL-Zertifizierung. Ein akkreditiertes Unternehmen führt die Zertifizierungsprüfung durch und stellt die Zertifizierung aus, wenn die Anforderungen erfüllt sind.

• Die SEAL-Zertifizierung bewertet, ob die einbezogenen operativen Kontrollen die Anforderungen des Rahmenwerks erfüllen und ausreichend belegt sind.
• Code-Audits bewerten die Sicherheit der Implementierung, des Designs und der Architektur.
• Blockchain Penetration Testing prüft, ob ausnutzbare Pfade innerhalb einer vereinbarten Umgebung und nach festgelegten Rules of Engagement reproduzierbar sind.
• Blockchain Security Testing bewertet die Korrektheit und Resilienz der Implementierung in angepassten Infrastrukturen durch differenzielle Tests, Fuzzing sowie Node- oder Cluster-Tests.

Die Leistungen können sich bei den untersuchten Systemen und eingesetzten Methoden überschneiden, verfolgen jedoch unterschiedliche Ziele. Tests können Nachweise für Zertifizierungskontrollen liefern; sie ersetzen keine vollständige Prüfung zur SEAL-Zertifizierung. Die Leistungen können je nach Umfang kombiniert werden.

Nein. BDSS prüft öffentlich beobachtbare Konfigurationen. Für die Zertifizierung des Moduls DNS und Registrar sind außerdem betriebliche Nachweise für Registrar-Zugriffe, Änderungsfreigaben, Überwachung und Wiederherstellung erforderlich. Penetrationstests untersuchen dagegen, ob sich Schwächen zu einem ausnutzbaren Pfad kombinieren lassen.

EAS-Attestierungen können öffentlich verifizierbare Zertifizierungsnachweise liefern. Detaillierte Berichte und unterstützende Unterlagen bleiben gemäß den Projektvereinbarungen vertraulich.

Die Aufnahme in ein Verzeichnis und die Offenlegung von Informationen, die den Kunden identifizieren, bedürfen der Zustimmung des Kunden. Die Regelungen zur Offenlegung, auch von On-Chain-Informationen, werden vor der Ausstellung vereinbart.

Zertifizierungen sind zeitlich begrenzt und erfordern regelmäßige erneute Prüfungen. Gültigkeitsdauer und Modalitäten der erneuten Prüfung werden für das Projekt bestätigt. Wesentliche Änderungen an Architektur oder Betrieb sollten eine Überprüfung des Umfangs auslösen; anhaltende Nichtkonformität kann zum Widerruf führen.

Nein. Die Zertifizierung bestätigt die Konformität mit den operativen Anforderungen im vereinbarten Umfang zum Zeitpunkt der Prüfung. Sie garantiert nicht, dass Sicherheitsvorfälle verhindert werden, ersetzt keine kontinuierliche Überwachung und stellt keine behördliche Genehmigung dar.

Ein Projekt dauert üblicherweise ein bis zwei Monate, abhängig von den anwendbaren Modulen, den Nachweisanforderungen, der Vorbereitung und den erforderlichen Abhilfemaßnahmen. Dies ist eine Schätzung, keine feste Frist.

Umfang, Nachweisanforderungen, Zeitplan, zu liefernde Arbeitsergebnisse und Preise werden nach der Bestandsaufnahme im Einzelfall vereinbart.