6 способов найти лучший PCI QSA

Если вам нужен квалифицированный оценщик безопасности —  QSA-аудит для ежегодной оценки PCI DSS, у вас будет из чего выбрать.

Но не все QSA одинаковы… Так как же найти лучший PCI QSA для вашей компании? Какие критерии вы используете для оценки предложений и выбора QSA, наиболее подходящего для удовлетворения ваших текущих потребностей?

Вот 6 основных критериев, которые я рекомендую вам использовать при поиске нового партнера QSA.

1. Опыт работы в вашей отрасли

Среда платежных карт значительно различается от отрасли к отрасли, так же как и структура бизнеса и культура. ИТ-системы настроены по-разному. Структуры данных и платежные платформы различаются. В результате аудит в одной вертикали может сильно отличаться от аудита в другой.

Очень важно, чтобы ваш QSA понимал вашу организацию, то, что вы делаете на рынке, технологии, распространенные в вашей вертикали, и лучшие практики соответствия в вашей отрасли. Только в этом случае ваш QSA сможет быстро понять и объяснить вам, как стандарт PCI DSS применим к вашей конкретной ситуации и как вы можете наилучшим образом его соблюдать.

2. Опыт консультанта QSA

Чтобы нанять лучшего PCI QSA, вам нужно найти опытных людей , а не только опытную компанию. Вы же не хотите объяснять свою среду и платежные платформы первокурсникам, которые только что закончили колледж.

Узнайте имена и квалификацию QSA, которые будут обслуживать вашу учетную запись. Вам нужен оценщик, который несколько раз был в этом квартале — тот, кто не только выявляет проблемы, но и предлагает решения.

3. Низкая текучесть кадров консультантов

Наряду с индивидуальным опытом консультантов, вы также должны взвешивать показатели текучести консультантов компаний. Некоторые компании QSA имеют текучесть кадров до 80%. В таких фирмах, даже если вам назначили старших консультантов, они могут уйти в следующем году или вы даже можете потерять своего оценщика во время проекта. Трудно строить отношения, когда нет стабильности со стороны партнера.

Запросите коэффициент текучести QSA в рамках вашего RFP. Ожидайте, что он будет доступен и предоставлен кем-то, кто знает. Если он недоступен или компания оправдывается, что не предоставила его, возможно, он слишком высок.

4. Четко определенная методология доставки

Четкое описание методологии доставки вашей компании QSA должно быть частью их предложения. Это описание должно быть поэтапным, пошаговым и очень подробным. В нем должно быть четко объяснено, что означает каждый этап, роли и обязанности в проекте, а также какие данные потребуются.

Если у вас есть вопросы, спрашивайте. Хороший QSA будет рад объяснить вам свою методологию. Важно, чтобы вы знали, чего ожидать. Только в этом случае вы сможете нормально работать с QSA, своевременно отвечать и не тратить ни свое, ни чужое время.

5. Частота обновления клиентов и / или рекомендации

Обязательно спросите потенциальных QSA-компаний об их тарифах на продление контракта, отзывах некоторых клиентов или и о том, и о другом.

Поскольку оценки PCI проводятся ежегодно и существует множество поставщиков QSA, клиенты обычно отправляются за покупками, если они недовольны своим текущим QSA. Таким образом, частота продления даст вам представление о том, насколько клиенты довольны выбранной вами компанией QSA.

Имейте в виду, что советы часто устанавливают ограничения на то, как долго компании могут работать с данным QSA. Довольно часто такие компании подписывают контракт на 3 или 5 лет, а затем меняют партнеров. Итак, если компания QSA сообщает о частоте продления более 50%, вероятно, они делают что-то правильно. Более 80%: Клиентам они очень нравятся!

6. Доступность к доставке

Наконец, вам нужно учитывать доступность компании для работы, которую вам нужно сделать. Например, если вам был назначен крайний срок подачи отчета в ноябре, QSA, который не может начать оценку до октября, вероятно, не сильно вам поможет.

Ваш лучший PCI QSA сможет составить расписание таким образом, чтобы помочь вам в достижении ваших целей. Обсудите с ними свои конкретные потребности и ситуацию. Обязательно спросите, когда они будут доступны для запуска вашего проекта и сколько времени им обычно требуется для проведения первичной оценки клиентов в аналогичных обстоятельствах.