ISA (Internal Security Assessor)
Un empleado formado y certificado por el PCI Security Standards Council para evaluar el cumplimiento de PCI DSS de su propia organización.
El QSA es el evaluador externo que viene de visita y luego factura. El ISA es su equivalente interno: alguien de la plantilla que ha hecho el curso del Council, ha aprobado el examen y puede hacer evaluaciones PCI desde dentro. La certificación pertenece a la empresa, que actúa como patrocinadora. Si la persona cambia de trabajo, la certificación se queda.
El papel importa sobre todo en la franja media de tamaño. Mastercard, por ejemplo, exige a los comercios de nivel 2 que completen su autoevaluación con personal formado como ISA o que contraten a un QSA. Si un ISA puede firmar un Report on Compliance completo lo deciden la marca de tarjeta o el adquirente, no el propio ISA. La empresa gana un experto que entiende los requisitos, y el auditor un interlocutor que habla su idioma.