Customized approach (PCI DSS)
De validatieroute in PCI DSS 4.0 waarmee een bedrijf het doel van een eis kan halen met eigen maatregelen in plaats van de voorgeschreven.
Het grootste deel van zijn bestaan was PCI DSS een afvinklijst: wachtwoorden minstens zo lang, logs zo lang bewaard. Versie 4.0, gepubliceerd in maart 2022, opende een tweede spoor. Naast de vertrouwde defined approach kreeg bijna elke eis een omschreven doelstelling, en wie dat doel op een andere manier bereikt, mag dat doen. Het bedrijf voert voor elke maatregel een targeted risk analysis uit, legt alles vast in een controlematrix, en de assessor schrijft op maat gemaakte testprocedures voor dat specifieke ontwerp.
Er is een QSA en een volledig Report on Compliance voor nodig, dus wie een zelfbeoordelingsvragenlijst invult, kan het vergeten. De aanpak is bedoeld voor volwassen organisaties met echt risicomanagement, niet voor zoekers naar achterdeurtjes. Een bedrijf dat een eis door een beperking niet kan halen, wordt nog steeds geacht een compenserende maatregel te gebruiken.