Anpassad metod (PCI DSS)
Valideringsvägen i PCI DSS 4.0 där ett företag uppfyller ett kravs mål med egna kontroller i stället för att följa den föreskrivna lösningen.
PCI DSS var länge en checklista: lösenord minst så här långa, loggar sparade så här länge. Version 4.0, publicerad i mars 2022, lade till ett andra spår. Bredvid den vanliga definierade metoden fick nästan varje krav ett uttalat mål, och den som når målet på annat sätt får göra det. Företaget gör en riktad riskanalys per kontroll, dokumenterar allt i en kontrollmatris, och bedömaren skriver egna testprocedurer för just den lösningen.
Metoden kräver en QSA och en fullständig Report on Compliance, så den finns inte för den som fyller i ett självskattningsformulär. Den är tänkt för mogna organisationer med ett riktigt riskarbete, inte som kryphål. Den som inte kan uppfylla ett krav på grund av en begränsning ska fortfarande använda en kompenserande kontroll.