История изменений

Первый публичный черновик в формате PCI DSS: бинарная методология оценки, индивидуальный подход, явный перечень критических требований, расширенные шаблоны ROC и SAQ.

Изменения в версии

• Изменено

  Отказ от числовой шкалы 0,0–1,0; переход на бинарные статусы: выполнено, не выполнено, неприменимо и компенсирующий контроль.

• Добавлено

  По образцу PCI DSS v4.0 введён индивидуальный подход как альтернативный путь соответствия, кроме критических требований.

• Изменено

  Все требования B.1–B.8 переписаны в формате процедур проверки по стандартному подходу: изучить, провести интервью, наблюдать и проследить.

• Добавлено

  Для каждого требования добавлены встроенные блоки условий применимости, назначения, рекомендаций и примеров.

• Изменено

  Ежегодный полный аудит введён для всех уровней; для уровня 1 отменён двухлетний цикл.

• УточненоC.2

  Сегмент C.2 переформулирован с раздельными областями оценки производителя и устройства.

• ИзмененоB.7.3

  Ужесточены SLA мониторинга без доступа к ключам (B.7.3) для уровня 1.

• ИзмененоB.8.5

  Географическое распределение персонала (B.8.5) стало обязательным для уровня 2 и выше.

• УдаленоB.2

  Сопоставление с PCI DSS Req 3.6.1 переведено в статус «неприменимо»: CCSA строже базового стандарта в части энтропии.

• ДобавленоD.2.5

  Перечень из 8 критических требований явно определён в разделе D.2.5; компенсирующие контроли разделены на полностью запрещённые и ограниченно допустимые.

• ИзмененоA3

  Шаблон ROC из приложения 3 дополнен подробной рабочей таблицей оценки требования и матрицей подтверждения зачёта.

• ДобавленоA4

  SAQ-C1 (приложение 4) дополнен полной справочной библиотекой вопросов.