Approccio personalizzato (PCI DSS)
Il percorso di convalida di PCI DSS 4.0 che consente a un'azienda di raggiungere l'obiettivo di un requisito con controlli propri invece di quelli prescritti.
Per gran parte della sua storia PCI DSS è stato un elenco di controllo: password lunghe almeno così, log conservati per così tanto tempo. La versione 4.0, pubblicata nel marzo 2022, ha aperto un secondo binario. Accanto al familiare approccio definito, quasi ogni requisito ha ottenuto un obiettivo dichiarato, e chi lo raggiunge in un altro modo è autorizzato a farlo. L'azienda svolge un'analisi del rischio mirata per ciascun controllo, documenta tutto in una matrice dei controlli e il valutatore redige procedure di verifica su misura per quella specifica soluzione.
Richiede un QSA e un Report on Compliance completo, quindi è esclusa per chi compila un questionario di autovalutazione. È pensato per organizzazioni mature con una vera gestione del rischio, non per cacciatori di scappatoie. Un'azienda che non riesce a soddisfare un requisito a causa di un vincolo deve comunque ricorrere a un controllo compensativo.