QSA (Qualified Security Assessor)
Un auditor certificado por el consejo PCI para evaluar el cumplimiento de PCI DSS, cuya firma es lo que de verdad miran adquirentes y redes de tarjetas.
El QSA trabaja para una firma evaluadora aprobada y lo certifica el PCI Security Standards Council. Los comercios más grandes, en la clasificación de Visa los que superan seis millones de transacciones con tarjeta al año, y la mayoría de proveedores de servicios de pago necesitan una evaluación presencial cada año. El resultado es un Report on Compliance (ROC) en el que cada requisito debe estar respaldado por pruebas. Una empresa grande puede formar en su lugar evaluadores internos, llamados ISA.
Un certificado solo describe el día de la evaluación. Heartland Payment Systems había sido aprobada poco antes de que Albert Gonzalez y sus cómplices le sustrajeran en 2008 más de 100 millones de números de tarjeta, y Target estaba certificada antes de su brecha de 2013. La respuesta del sector ha sido insistir en que el cumplimiento es un estado continuo. La auditoría sigue siendo anual.