Podejście dostosowane (PCI DSS)
Ścieżka walidacji w PCI DSS 4.0, która pozwala firmie osiągnąć cel wymagania własnymi zabezpieczeniami zamiast narzuconych.
Przez większość swojej historii PCI DSS był listą kontrolną: hasła co najmniej tej długości, logi przechowywane tak długo. Wersja 4.0, opublikowana w marcu 2022 roku, otworzyła drugą ścieżkę. Obok znanego podejścia zdefiniowanego niemal każde wymaganie zyskało opisany cel, a kto osiągnie go inaczej, ma na to przyzwolenie. Firma przeprowadza dla każdej kontroli celową analizę ryzyka, dokumentuje wszystko w macierzy kontroli, a audytor pisze indywidualne procedury testowe dla tego konkretnego rozwiązania.
Wymaga to QSA i pełnego Report on Compliance, więc nie wchodzi w grę dla tych, którzy wypełniają kwestionariusz samooceny. Jest przeznaczone dla dojrzałych organizacji z prawdziwym zarządzaniem ryzykiem, nie dla łowców luk. Firma, która nie może spełnić wymagania z powodu ograniczenia, nadal ma stosować kontrolę kompensacyjną.