カスタマイズドアプローチ(PCI DSS)

PCI DSSは長らくチェックリストだった。パスワードはこの長さ以上、ログはこの期間保管、というように。2022年3月公開のバージョン4.0で第二の道が開かれた。従来の定義済みアプローチ(Defined Approach)と並んで、ほぼ全ての要件に目的が明記され、別の方法でその目的に到達できるなら、それが認められる。企業は統制ごとに対象を絞ったリスク分析を行い、全てを統制マトリクスに文書化し、審査員はその設計に合わせた個別のテスト手順を作成する。

QSAと完全なReport on Complianceが必要なため、自己問診(SAQ)で済ませる企業は対象外である。想定しているのはリスク管理の成熟した組織であり、抜け穴探しではない。制約があって要件を満たせない場合は、これまでどおり補完統制を使うことになる。