Индивидуальный подход (PCI DSS)
Путь валидации в PCI DSS 4.0, позволяющий достичь цели требования собственными мерами вместо предписанных.
Большую часть своей истории PCI DSS был чек-листом: пароли не короче стольких-то символов, логи хранятся столько-то. Версия 4.0, опубликованная в марте 2022 года, открыла второй путь. Рядом с привычным определённым подходом (defined approach) почти каждое требование получило сформулированную цель, и тому, кто достигает её иначе, это разрешено. Компания проводит целевой анализ рисков для каждой меры, документирует всё в матрице контролей, а аудитор пишет индивидуальные процедуры тестирования для этого конкретного решения.
Для этого нужны QSA и полный отчёт о соответствии (Report on Compliance), поэтому тем, кто заполняет опросник самооценки, этот путь закрыт. Он рассчитан на зрелые организации с настоящим управлением рисками, а не на охотников за лазейками. Компания, которая не может выполнить требование из-за ограничения, по-прежнему должна применять компенсирующий контроль.