SEAL Certifications — программа сертификации операционной безопасности с открытым исходным кодом, опубликованная Security Alliance (SEAL). Её текущая базовая версия v0.0.1 объединяет 99 конкретных операционных требований, называемых контролями, в шесть модулей. Они охватывают людей, учётные записи, подписантов, домены, инфраструктуру, казначейские процессы и возможности реагирования, связанные с криптопротоколом [1, 2].
BlockSec — одна из первых аккредитованных оценочных организаций программы и в настоящее время единственная из них со штаб-квартирой в Азии. Как оценочная организация, аккредитованная SEAL, мы согласовываем с клиентом область оценки, проверяем выбранные контроли и подтверждающие материалы, документируем пробелы и определяем, выполнены ли требования в согласованной области. Если они выполнены, мы выпускаем ончейн-аттестацию в рамках нашей аккредитации SEAL [4].
В этой статье объясняется, зачем организации может понадобиться сертификация SEAL, что означает её результат, какие модули могут входить в область оценки, как мы проводим оценку и как команде подготовиться к работе с нами.
1. Зачем проходить сертификацию SEAL
По мнению SEAL, необходимость в этой системе связана с тем, что основной причиной эксплуатации уязвимостей в криптоиндустрии стали не уязвимости смарт-контрактов, а операционные сбои [1]. Поэтому при оценке внимание смещается на контроли, связанные с подписантами, мультиподписными кошельками, доменами, учётными данными, мониторингом инфраструктуры и реагированием на инциденты. В ходе сертификационной оценки SEAL проверяется, действуют ли эти контроли на практике и можно ли это подтвердить. Так криптоорганизация получает независимую оценку того, какие контроли соответствуют базовым требованиям, а где сохраняются пробелы [1, 3].
Сертификация SEAL отвечает на один вопрос о степени уверенности: прошли ли операционные контроли в согласованной области независимую оценку и признаны ли они соответствующими общедоступным базовым требованиям к операционной безопасности, разработанным с учётом специфики криптоиндустрии? Такая уверенность может понадобиться криптоорганизациям — например, протоколам, биржам, платёжным платформам и кастодианам, — когда инвесторы, команды листинга, специалисты по комплаенсу, внутренние органы управления, страховщики или участники проверки благонадёжности запрашивают независимые свидетельства эффективности их операционных контролей. В результате указываются оцененные модули и границы, а также фиксируется, соответствует ли эта область базовым требованиям [5, 6].
Границы такой оценки становятся понятнее при сравнении со смежными видами деятельности в сфере безопасности. Оценка может включать проверку операционных свидетельств, связанных с кодом, для контроля репозиториев, CI/CD и инфраструктуры: разрешений, настроек защиты веток, записей о проверке кода, результатов сканирования безопасности, средств контроля конвейеров и конфигураций инфраструктуры [7]. Она не предполагает проверки исходного кода для поиска уязвимостей реализации или определения корректности логики протокола [1]. Для этих и смежных задач существуют другие виды деятельности: аудит кода выявляет уязвимости реализации и ошибки логики протокола в исходном коде; тестирование на проникновение проверяет, можно ли воспроизвести пути эксплуатации в согласованной среде; программы вознаграждения за обнаружение ошибок обеспечивают постоянный канал для сообщений о находках внешних исследователей; а непрерывный мониторинг помогает постоянно выявлять угрозы и реагировать на них.
Сертификация SEAL — самостоятельная программа оценки. Сертификат выдаётся только тогда, когда выбранная область соответствует требованиям SEAL [6]. Аудит кода, тестирование на проникновение, программы вознаграждения за обнаружение ошибок и непрерывный мониторинг — отдельные виды деятельности; ни один из них не является обязательным условием сертификации.
То же разграничение относится и к более широким стандартам обеспечения доверия. Согласно публикации SEAL с запросом комментариев, SOC 2 и ISO 27001 сохраняют ценность и со временем станут необходимы многим организациям, но они не разрабатывались с учётом характерных для криптоиндустрии моделей работы — например, небольших распределённых команд, управляющих значительными ончейн-активами [5]. Система SEAL предлагает более специализированную отправную точку для оценки операционных контролей в криптоиндустрии и может применяться наряду с этими более широкими стандартами.
2. Что подтверждает сертификация
Результат сертификации SEAL относится к операционным контролям, модулям и границам, выбранным для оценки. Когда выбранные контроли соответствуют требованиям SEAL, аккредитованная SEAL оценочная организация, такая как BlockSec, выпускает через Ethereum Attestation Service ончейн-аттестацию вместе с соответствующим знаком SEAL в рамках своей аккредитации [4]. Аттестация общедоступна; подробные отчёты об оценке и подтверждающие материалы остаются конфиденциальными и доступны только оценочной организации и клиенту [1]. Таблица отделяет выводы, подтверждаемые успешным результатом, от утверждений, выходящих за его рамки.
| Успешный результат сертификации SEAL подтверждает... | Он не подтверждает... |
|---|---|
| Что оцененная организация выполнила требования SEAL для модулей и границ в согласованной области | Что модули или операционные системы, не указанные в области оценки, были оценены |
| Что независимая третья сторона проверила операционные контроли в области оценки и подтверждающие материалы | Что исходный код был проверен на ошибки реализации, что пути атак были протестированы или что в протоколе нет уязвимостей |
| Соответствие каждого контроля в согласованной области | Оценку безопасности в баллах, уровень зрелости, заключение о качестве кода или одобрение регулятора |
| Сертификацию, действительную на определённый момент и в течение ограниченного времени и требующую повторной оценки | Постоянное соответствие требованиям или гарантию отсутствия инцидентов |
Эти ограничения сохраняются и после выдачи. Аттестация SEAL не означает, что у протокола нет проблем с безопасностью [1]. Срок её действия ограничен, она требует периодической повторной оценки и может быть отозвана при длительном несоответствии требованиям; SEAL не публикует фиксированный срок действия [1].
3. Что охватывает система
Шесть модулей можно оценивать по отдельности или вместе. Текущая базовая версия содержит 99 контролей [1, 2]. Столбец Когда может применяться — редакционный ориентир, основанный на определениях модулей, а не официальное правило SEAL для определения области оценки; окончательную область мы согласовываем с клиентом в ходе работы.
| Модуль | Что охватывает | Когда может применяться |
|---|---|---|
| Операции с мультиподписными кошельками (24 контроля) | Настройка подписантов, исполнение транзакций, координация, обеспечение непрерывности работы и экстренные процедуры | Мультиподписные кошельки, группы подписантов или согласованное одобрение транзакций |
| Казначейские операции (23 контроля) | Архитектура хранения активов, управление активами, порядок утверждения транзакций, сверка, мониторинг, управление поставщиками, страхование и реагирование на казначейские инциденты | Казначейские активы, распределение активов, отношения с кастодианами или движение средств |
| Реагирование на инциденты (13 контролей) | Подготовка, эскалация, коммуникации, планы действий, учения и согласованное реагирование | Команда, которой необходимо обнаруживать инциденты безопасности, сдерживать их, обеспечивать коммуникацию и восстанавливать работу |
| DevOps и инфраструктура (15 контролей) | Управление репозиториями, контроли проверки и сканирования кода, CI/CD, управление цепочкой поставок, доступ к инфраструктуре, мониторинг и устойчивость | Репозитории кода, конвейеры развёртывания, облачная инфраструктура или администрирование производственной среды |
| DNS и регистратор (16 контролей) | Владение доменами, доступ к регистратору, конфигурация DNS, мониторинг, восстановление и реагирование на захват домена | Критически важные домены, учётные записи у регистратора, записи DNS или аутентификация электронной почты |
| Идентификация и учётные записи (8 контролей) | Учёт записей, назначение ответственных, аутентификация, устойчивая к фишингу, управление учётными данными, восстановление, проверка доступа, управление жизненным циклом, мониторинг и доступ третьих сторон | Учётные записи пользователей, сервисов или привилегированных пользователей в репозиториях, облачных платформах, системах регистраторов, кастодиальных системах или внутренних инструментах |
Модули остаются связаны на операционном уровне, даже когда оцениваются по отдельности. Некоторые контроли в модулях «DevOps и инфраструктура» и «DNS и регистратор» опираются на практики защиты учётных записей, определённые в модуле «Идентификация и учётные записи». Требования к реагированию на инциденты также встречаются в нескольких модулях — например, при координации подписантов мультиподписного кошелька или восстановлении учётных записей во время инцидента [2].
Эти межмодульные ссылки влияют на то, какие подтверждающие материалы нужны для контроля в области оценки; они не означают автоматической сертификации модуля, на который ведёт ссылка, не создают обязательного порядка сертификации и не расширяют область работы. Аттестация модуля «DNS и регистратор» не становится аттестацией модуля «Идентификация и учётные записи» только потому, что контроль DNS опирается на практики защиты учётных записей. Аттестация распространяется только на модули и границы, указанные в её области [1, 6].
4. Как проходит оценка
SEAL поддерживает систему требований и управляет программой сертификации. Как оценочная организация, аккредитованная SEAL, мы проводим оценку каждого клиента в пять этапов [1, 4]:
Рисунок 1. Работа по сертификации SEAL начинается с согласования области оценки и проходит через проверку подтверждающих материалов, устранение недостатков и повторную оценку до выдачи аттестации.
-
Определение области оценки. Вместе с клиентом мы согласовываем, какие модули, контроли, системы, операции и организационные границы входят в область оценки.
-
Сбор подтверждающих материалов. Клиент предоставляет материалы, показывающие, как контроли в области оценки разработаны, кому они поручены, как применяются и проверяются.
-
Оценка. Мы сопоставляем эти материалы с опубликованными требованиями SEAL и выявляем отсутствующие или недостаточные подтверждения.
-
Устранение недостатков при необходимости. Если согласованная область не соответствует базовым требованиям, мы предоставляем отчёт о пробелах. Клиент устраняет выявленные недостатки и передаёт обновлённые материалы для повторной оценки.
-
Сертификация. Когда согласованная область соответствует базовым требованиям, мы выпускаем официальную ончейн-аттестацию в рамках нашей аккредитации SEAL.
Сбор материалов и оценка взаимосвязаны: клиент предоставляет подтверждения, а BlockSec проверяет, показывают ли они, что каждый контроль действует на практике. В руководстве SEAL по сертификации подтверждающие материалы разделены на пять категорий. Ниже они приведены вместе с примерами из руководства и базовых требований модулей [2, 3, 7]:
| Категория подтверждающих материалов | Что помогает подтвердить |
|---|---|
| Документация по процедурам | Предусмотренный контроль, включая политики, версии и даты утверждения |
| Подтверждение применения на практике | Что процесс действительно применяется, на основании журналов, записей, заявок или бесед с членами команды |
| Тестирование/проверка | Что защитная мера или процесс реагирования применялись в ходе учений либо проверялись |
| Сведения об ответственных | Кто поддерживает контроль, как часто он пересматривается и когда обновлялся в последний раз |
| Технические артефакты | Конфигурации, снимки экрана или выгрузки из систем, включая настройки репозиториев и CI/CD, облачные конфигурации, выгрузки регистратора или DNS и другие технические материалы в области оценки |
На основании этих материалов BlockSec присваивает каждому контролю в области оценки статус «Реализован», «Частично реализован», «Не реализован» или «Не применимо» с обоснованием. Для официальной сертификации контроли в согласованной области должны иметь статус «Реализован» или обоснованный статус «Не применимо», а заявленные сведения должны подтверждаться материалами. Таким образом, итоговое решение о сертификации для всей согласованной области бинарное, хотя сама оценка проводится по каждому контролю отдельно [3, 6].
5. Как подготовиться
Прежде чем начинать работу по сертификации SEAL, подготовьте четыре составляющие:
-
Предлагаемую область оценки: модули, системы, юридические лица, команды и границы, важные для предполагаемого заявления о сертификации.
-
Самооценку по каждому контролю: какие требования представляются реализованными, частично реализованными, нереализованными или неприменимыми и на чём основан каждый ответ.
-
Реестр подтверждающих материалов: существующие процедуры, записи о работе процессов, результаты тестов, сведения об ответственных и технические артефакты, соотнесённые с предлагаемой областью.
-
Назначенных участников: людей, ответственных за решения по области оценки, сбор материалов и координацию устранения недостатков.
Поскольку система требований и контрольные списки общедоступны, команда может начать эту работу до официального взаимодействия с оценочной организацией. Самооценка помогает обнаружить незадокументированные процессы, отсутствие подтверждений их применения, контроли без назначенных ответственных и уже известные задачи по устранению недостатков. При этом она остаётся внутренним этапом проверки: её результаты не подтверждаются независимо и не приводят к выдаче аттестации SEAL [1, 3].
Эти четыре составляющие помогают первоначально определить область оценки; подробный запрос материалов зависит от выбранных модулей. Названия модулей выше обозначают предметные области, а не обязательную последовательность сертификации. По мере публикации отдельных статей в них будут представлены рекомендации по контролям каждого модуля. Свяжитесь с нами [需实证:CONTACT_OR_RELEVANT_PAGE_URL], чтобы обсудить выбор модулей, готовность подтверждающих материалов и область оценки.
Источники
-
Security Alliance, Обзор системы сертификации SEAL. Обоснование системы, модули, независимое определение области оценки, ход оценки, самооценка, аттестация и знак, конфиденциальность, повторная оценка и отзыв. https://frameworks.securityalliance.org/certs/overview/
-
Security Alliance, Экспорт всех сертификаций (XLSX). Текущее количество контролей по модулям и межмодульные ссылки; проверено по официальной выгрузке, доступной на странице обзора системы сертификации SEAL; дата обращения — сентябрь 2026 года. https://frameworks.securityalliance.org/certs/overview/
-
Security Alliance, Руководство по сертификации. Статусы отдельных контролей, критерии сертификации и категории подтверждающих материалов. https://frameworks.securityalliance.org/certs/certification-guidelines/
-
Security Alliance, Аккредитация аудиторов; и Сертификации SEAL. Процесс аккредитации, обязанности оценочных организаций, статус программы и актуальная общедоступная информация о партнёрах. https://frameworks.securityalliance.org/certs/certified-partners/ и https://securityalliance.org/our-work/certifications
-
Security Alliance Radar, Запрос комментариев: сертификации SEAL. Зрелость безопасности контрактов, место SOC 2 и ISO 27001, модульность и обоснование проверяемости. https://radar.securityalliance.org/request-for-comments-seal-certifications/
-
Security Alliance Radar, Сертификации SEAL: программа начала работу (Айзек Патка, 2 июня 2026 года). Обзор шести областей и единого решения о соответствии или несоответствии для согласованной области оценки. https://radar.securityalliance.org/seal-certifications-auditor-accreditations-protocol-assessments/
-
Security Alliance, SFC: DevOps и инфраструктура. Общедоступные базовые требования к разрешениям репозиториев, защите веток, контролям проверки и сканирования кода, CI/CD, управлению цепочкой поставок и конфигурации инфраструктуры. https://frameworks.securityalliance.org/certs/sfc-devops-infrastructure/
