Análisis de riesgo específico (PCI DSS)
Una evaluación de riesgo documentada para un único requisito de PCI DSS 4.0, que justifica con qué frecuencia o de qué forma se realiza un control.
Las versiones anteriores de la norma fijaban intervalos: revisar los logs a diario, inspeccionar los terminales periódicamente. La versión 4.0 reescribió varios requisitos para decir «con la frecuencia definida en el análisis de riesgo específico». El requisito 12.3.1 detalla qué debe incluir: los activos protegidos, las amenazas, qué las hace probables y cómo ese razonamiento lleva a una frecuencia. Hay que revisarlo al menos una vez al año.
El requisito 12.3.2 cubre el enfoque personalizado, donde cada control hecho a la manera propia necesita su propio análisis. Ambos pasaron a ser obligatorios el 31 de marzo de 2025. El nombre se confunde con facilidad con el análisis de riesgo de transacciones de PSD2, que trata de otra cosa por completo.