Why does one QSA pass me and another would not?

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

PCI DSS v1.2 大幅改版了合规报告（ROC）流程：此前各家 QSA 公司交付质量参差、低价竞争导致审计流于形式，PCI SSC 现以 QA 流程和评分矩阵统一文档标准并对 QSA 公司反向审计；建议客户索取样例报告、核实审计团队行业经验，且合规是时点评估，须持续维持而非一劳永逸。

NetSPI 解读 PA-DSS 2.0 支付应用安全标准的变化：发卡机构可在有充分业务理由并安全存储的前提下保存敏感认证数据（track/CVV），应用须支持集中式日志审计，原有两条远程访问要求合并为一条，整体要求更清晰、更易通过审计。

NetSPI 面向 IT 经理介绍 PA-DSS 审计要点：该标准要求支付应用不得保留全磁道、CVV2、PIN 等数据，并需提供实施指南、变更控制、补丁流程与培训材料等文档；建议提前规划审计前准备，与审计方密切配合完成验证。

作者记录了拉斯维加斯 PCI Assessors Meeting 的见闻：会上向 QSA/ASV 通报了 PA-DSS ROV 提交量增长、新版 ASV Program Guide、证据收集改进与评估方法一致性等议题。

Ponemon 报告显示仅 2% 的组织未通过 PCI 审计，却有约 40% 依赖补偿性控制，凸显标准与审计过程的主观性——合规并不等于真实安全。