Аттестат соответствия (AOC)
Короткое подписанное заявление о том, что организация соответствует PCI DSS, — та часть аудита, которую на самом деле читают.
Форму выпускает PCI Security Standards Council, отдельные версии существуют для торгово-сервисных предприятий и для поставщиков услуг. В ней кратко указано, какая среда проверялась, каким способом и выполнено ли каждое требование, неприменимо или не выполнено. Основание — либо полный Report on Compliance, написанный QSA, либо опросник для самооценки; подписывают документ и аудитор, и руководитель проверяемой компании.
Эквайер требует аттестат раз в год. Дальше он идёт по цепочке: PCI DSS обязывает следить за соответствием собственных поставщиков, поэтому клиенты платёжного шлюза или облачного хостера запрашивают их AOC. Несколько страниц PDF стали в закупках отдельной валютой — нередко их просит тот, кто никогда не видел ROC, на котором они держатся.