ISA (Internal Security Assessor)
Pracownik przeszkolony i certyfikowany przez PCI Security Standards Council do oceny zgodności własnej organizacji z PCI DSS.
QSA to zewnętrzny audytor, który przyjeżdża i wystawia fakturę. ISA jest jego odpowiednikiem we własnym domu: pracownikiem, który przeszedł kurs Rady, zdał egzamin i może prowadzić oceny PCI od środka. Certyfikat należy do pracodawcy, który pełni rolę sponsora. Kto zmieni pracę, zostawia go za sobą.
Rola ma największe znaczenie w środku skali wielkości. Mastercard wymaga na przykład, by sprzedawcy poziomu 2 albo wykonali samoocenę z udziałem przeszkolonych ISA, albo zatrudnili QSA. To, czy ISA może podpisać pełny Report on Compliance, rozstrzyga organizacja kartowa lub acquirer, a nie sam ISA. Firma zyskuje własnego eksperta, który rozumie wymagania, a audytor rozmówcę mówiącego tym samym językiem.