ISA (Internal Security Assessor)
Сотрудник, обученный и сертифицированный PCI Security Standards Council для оценки соответствия PCI DSS в собственной организации.
QSA — это внешний аудитор, который приезжает и присылает счёт. ISA — его внутренний аналог: штатный сотрудник, прошедший курс Совета, сдавший экзамен и способный проводить оценки PCI изнутри. Сертификация принадлежит работодателю, выступающему спонсором. Сменили работу — она остаётся на старом месте.
Эта роль важнее всего в середине шкалы размеров. Mastercard, например, требует от продавцов уровня 2 либо проходить самооценку силами обученных ISA сотрудников, либо привлекать QSA. Вправе ли ISA подписывать полный Report on Compliance, решают платёжная система или эквайер, а не сам ISA. Компания получает собственного эксперта, понимающего требования, а аудитор — собеседника, говорящего на том же языке.