PCI 2.0 评分矩阵向公众发布（现在你的孩子也能在家玩"PCI 审计员"了！）

PCI DSS v1.2 大幅改版了合规报告（ROC）流程：此前各家 QSA 公司交付质量参差、低价竞争导致审计流于形式，PCI SSC 现以 QA 流程和评分矩阵统一文档标准并对 QSA 公司反向审计；建议客户索取样例报告、核实审计团队行业经验，且合规是时点评估，须持续维持而非一劳永逸。

自 2012 年 6 月 30 日起，进行年度自查的 MasterCard Level 2 商户须由接受过 ISA（Internal Security Assessor）培训的内部人员执行评估，或改聘 QSA 完成。作者列举了在岗 ISA 的价值：掌握 PCI SSC 最新解读、熟悉组织内部环境、并能与外部 QSA 高效协作。

通过年度 ROC 审计或填写 SAQ 并不等于一劳永逸，PCI DSS 的本意是全年持续遵循的最佳实践。作者把合规项目维护比作房屋保养——别等审计前才临时抱佛脚，错过时间性要求只能靠补偿性控制补救。文末附白皮书清单，用于排期和分工 DSS 2.0 周期性任务。

Ponemon 报告显示仅 2% 的组织未通过 PCI 审计，却有约 40% 依赖补偿性控制，凸显标准与审计过程的主观性——合规并不等于真实安全。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

PCI-SSC 社区会议的三大主题：推动「安全高于合规」的理念、对基于风险方法的谨慎态度，以及与 NIST、FISMA 等法规标准的日趋趋同。