Report on Compliance (ROC)
El informe de auditoría anual que demuestra que un gran negocio con tarjetas cumple de verdad PCI DSS, requisito por requisito.
Los comercios pequeños se las arreglan con un cuestionario de autoevaluación, el PCI SAQ. Quien procesa más de seis millones de transacciones Visa al año, o es un proveedor de servicios de cierto tamaño, necesita en cambio que un QSA externo recorra el entorno in situ y redacte un ROC. La plantilla la publica el PCI Security Standards Council y supera sin esfuerzo varios cientos de páginas: para cada requisito de PCI DSS, el auditor anota qué se probó, qué pruebas se examinaron y a quién se entrevistó.
El informe en sí casi no lo lee nadie. Adquirentes y redes de tarjetas quieren la Attestation of Compliance (AOC), dos páginas que resumen el resultado y que firman tanto el auditor como la dirección de la empresa. Más de una compañía tenía un ROC impecable poco antes de sufrir una brecha, lo que dice bastante sobre la distancia entre cumplir y estar seguro.