Report on Compliance (ROC)
Den årliga granskningsrapport som visar att en stor kortaffär faktiskt uppfyller PCI DSS, krav för krav.
Små handlare klarar sig med ett självskattningsformulär, PCI SAQ. Den som hanterar fler än sex miljoner Visa-transaktioner om året, eller är en större tjänsteleverantör, måste i stället låta en extern QSA gå igenom miljön på plats och skriva en ROC. Mallen kommer från PCI Security Standards Council och fyller med lätthet flera hundra sidor: för varje krav i PCI DSS ska granskaren beskriva vad som testades, vilka bevis som granskades och vem som intervjuades.
Rapporten i sig läser nästan ingen. Inlösare och kortnätverk vill ha den två sidor korta Attestation of Compliance (AOC) som sammanfattar resultatet och signeras av både granskare och företagsledning. Att ett bolag hade en godkänd ROC strax före ett dataintrång har hänt mer än en gång, vilket säger något om skillnaden mellan efterlevnad och säkerhet.