○ 평가절차
- PCI-DSS 인증을 받고자 하는 기업은 등급에 따라 매년 현장보안심사(On-site Security Assessment) 또는 자가 진단(Self-Assessment)을 수행하고, 분기별로 네트워크 스캔을 수행해야 함
- (인증범위 설정) 인증 대상 기관은 범위 설정을 위해서 카드 소유자 정보 환경을 식별하고 목록이나 다이어그램을 통해 인증범위 대상정리
- (평가) 평가는 QSA를 통한 현장 평가와 SAQ(Self Assessment Questionnaire)를 통한 자가 진단으로 구분
→ (현장심사) 현장보안 심사는 QSA를 통해서 PCI-DSS 요구사항 준수여부를 평가하여 ROC(Report on Compliance)를 작성
→ (자가진단) 자가진단은 PCI-DSS를 기준으로 대상 기업이 자체적으로 평가하여 관련 증적과 함께 SAQ를 작성
- (보고서 작성) 평가자는 SAQ 또는 ROC와 같은 요구된 문서에 모든 보완통제 사항을 포함하여 작성
- (증명) 준수 증명서 (AOC, Attestation of Compliance)를 완성
- (제출) SAQ, ROC, AOC와 ASV의 스캐닝 보고서와 같이 추가 요청된 문서와 함께 매입사나 발생사로 제출
- (교정) 필요한 경우 시정조치(Remediation)를 수행하고 업데이트 된 보고서를 제출
○ 평가항목 (세부항목 부록 참조)
- (평가기준) 6개 부문 12개 영역으로 구성되며 각 영역 하위에 세부항목을 포함함