Report on Compliance (ROC)
Roczny raport z audytu, który dowodzi, że duża firma kartowa naprawdę spełnia PCI DSS, wymaganie po wymaganiu.
Mali akceptanci radzą sobie z kwestionariuszem samooceny, czyli PCI SAQ. Kto obsługuje ponad sześć milionów transakcji Visa rocznie, albo spory dostawca usług, potrzebuje zewnętrznego QSA, który przejdzie środowisko na miejscu i napisze ROC. Szablon pochodzi od PCI Security Standards Council i łatwo liczy kilkaset stron: dla każdego wymagania PCI DSS audytor odnotowuje, co przetestowano, jakie dowody zbadano i kogo przepytano.
Prawie nikt nie czyta samego raportu. Acquirerzy i sieci kartowe chcą dwustronicowego Attestation of Compliance (AOC), który streszcza wynik i jest podpisany przez audytora oraz zarząd firmy. Nie jedna firma miała czyste ROC na krótko przed włamaniem, co sporo mówi o różnicy między zgodnością a bezpieczeństwem.