Gerichte risicoanalyse (PCI DSS)
Een gedocumenteerde risicobeoordeling voor één PCI DSS 4.0-eis, die onderbouwt hoe vaak of hoe een maatregel wordt uitgevoerd.
Eerdere versies van de standaard gaven vaste intervallen: logs dagelijks nalopen, terminals periodiek inspecteren. Versie 4.0 herschreef meerdere eisen tot “met de frequentie die is vastgelegd in de gerichte risicoanalyse van de entiteit”. Eis 12.3.1 schrijft voor wat de analyse moet omvatten: de te beschermen assets, de dreigingen, wat die waarschijnlijk maakt en hoe die redenering tot een frequentie leidt. Ze moet minstens eens per jaar worden herzien.
Eis 12.3.2 betreft de customized approach, waarbij elke maatregel die op eigen wijze wordt uitgevoerd een eigen gerichte analyse nodig heeft. Beide werden verplicht op 31 maart 2025. De naam wordt gemakkelijk verward met de transaction risk analysis van PSD2, die over iets heel anders gaat.