Целевой анализ рисков (PCI DSS)
Задокументированная оценка рисков по одному требованию PCI DSS 4.0, обосновывающая, как часто или каким способом выполняется мера защиты.
Прежние версии стандарта задавали фиксированные интервалы: просматривать логи ежедневно, проверять терминалы периодически. В версии 4.0 ряд требований переписан: «с периодичностью, определённой в целевом анализе рисков организации». Требование 12.3.1 описывает, что анализ должен охватывать: защищаемые активы, угрозы, факторы их вероятности и то, как из этого выводится периодичность. Пересматривать его нужно не реже раза в год.
Требование 12.3.2 касается индивидуального подхода (customized approach): каждая мера, выполняемая по-своему, требует собственного целевого анализа. Оба требования стали обязательными 31 марта 2025 года. Название легко спутать с анализом рисков транзакций из PSD2, который посвящён совсем другому.