企业应该多久做一次渗透测试？

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

NetSPI 指出，真正推动信息安全走向成熟的是带重罚的法规与合同标准，而非主观的风险评估：风险方程在经济下行时极易被牺牲，而合规稳定、细致、可评估；医院系统对 PCI 的重视常超过 PHI 数据，理想状态仍是以风险为导向、涵盖合规的整体性方法。

借 Merrick Bank 起诉 Savvis 为 CardSystems 出具 Visa CISP 合规认证（该泄露事件波及约 4000 万张支付卡、罚款 1600 万美元）一事，NetSPI 强调审计师只应是时点性独立评审者而非安全体系设计者，靠审计驱动的安全投入在过审后往往消退，组织应在完全就绪后再接受审计。

通过年度 ROC 审计或填写 SAQ 并不等于一劳永逸，PCI DSS 的本意是全年持续遵循的最佳实践。作者把合规项目维护比作房屋保养——别等审计前才临时抱佛脚，错过时间性要求只能靠补偿性控制补救。文末附白皮书清单，用于排期和分工 DSS 2.0 周期性任务。

疏于管理的测试服务器和遗留系统往往脱离资产管理视野，成为攻击者的理想突破口。作者给出了资产发现、登记与归属认定的落地步骤。

代码审计与 Web 应用渗透测试各有所长，能发现 OWASP Top 10 中不同侧重的漏洞。作者对比两者优劣，并关联 PCI DSS 第 6.6 条与 PA-DSS 要求。