Celowana analiza ryzyka (PCI DSS)
Udokumentowana ocena ryzyka dla pojedynczego wymagania PCI DSS 4.0, uzasadniająca, jak często lub w jaki sposób wykonuje się dany środek kontrolny.
Wcześniejsze wersje standardu podawały stałe interwały: przeglądaj logi codziennie, kontroluj terminale okresowo. Wersja 4.0 przepisała kilka wymagań tak, by mówiły o wykonywaniu „z częstotliwością określoną w celowanej analizie ryzyka podmiotu”. Wymaganie 12.3.1 precyzuje, co analiza musi obejmować: chronione zasoby, zagrożenia, czynniki zwiększające ich prawdopodobieństwo oraz tok rozumowania prowadzący do ustalonej częstotliwości. Trzeba ją przeglądać co najmniej raz w roku.
Wymaganie 12.3.2 dotyczy podejścia dostosowanego, w którym każdy środek wdrożony po swojemu wymaga własnej celowanej analizy. Oba stały się obowiązkowe 31 marca 2025 r. Nazwę łatwo pomylić z analizą ryzyka transakcji z PSD2, która dotyczy zupełnie czegoś innego.