Отчёт о соответствии (ROC)
Ежегодный аудиторский отчёт, доказывающий, что крупный карточный бизнес действительно соблюдает PCI DSS — требование за требованием.
Мелкие торговцы обходятся самооценочной анкетой — PCI SAQ. Тем, кто обрабатывает более шести миллионов транзакций Visa в год, и крупным сервис-провайдерам нужен внешний QSA, который проверит среду на месте и составит ROC. Шаблон задаёт PCI Security Standards Council, и отчёт запросто занимает несколько сотен страниц: по каждому требованию PCI DSS аудитор фиксирует, что проверялось, какие доказательства изучены и с кем беседовали.
Сам отчёт почти никто не читает. Эквайерам и платёжным сетям нужен двухстраничный Attestation of Compliance (AOC) с итогом, подписанный и аудитором, и руководством компании. Не одна компания имела безупречный ROC незадолго до утечки, что многое говорит о расстоянии между соответствием требованиям и безопасностью.