Guía
El QSA PCI: quién es, y qué solo un QSA puede hacer
Un QSA PCI, o Evaluador de Seguridad Calificado, es una persona que trabaja para una empresa aprobada por el PCI Security Standards Council. Solo un QSA puede realizar la evaluación formal de un Informe sobre Cumplimiento, así que elegir bien importa.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Lo que solo un QSA PCI puede hacer
El rol está acreditado, y los límites son claros.
| Tarea | Quién puede hacerla |
|---|---|
| Evaluación formal y ROC | Un QSA, o un evaluador interno en el caso de comercios. |
| Firmar la AOC en la vía del ROC | El QSA, junto con su alta dirección. |
| Preparación y remediación | Cualquiera, incluidas las consultorías. |
| Escaneos ASV trimestrales | Solo un proveedor de escaneo aprobado. |
Cómo verificar a un QSA PCI
Busque la empresa en la lista oficial de empresas QSA. Pregunte también qué evaluadores trabajarán en su proyecto, porque la calificación pertenece a personas dentro de empresas aprobadas.
Revisión antes de contratar un QSA PCI
Marque lo que está listo antes de contratar a un QSA.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Cómo elegir una firma QSA
Haga las mismas preguntas a cada firma, para que las respuestas se puedan comparar.
- ¿Cuántas evaluaciones como la nuestra hacen al año?
- ¿Quién dirigirá nuestro proyecto?
- ¿Qué formato de evidencias prefieren?
- ¿La tarifa es fija para el alcance acordado?
Una evaluación con ROC dirigida por un QSA PCI suele costar de $50,000 a $250,000. Compare el alcance con cuidado, porque dos cotizaciones pueden describir trabajos distintos.
Por qué importa la independencia
Un QSA PCI prueba sus controles, así que no debería haberlos diseñado. Por eso muchas empresas usan una firma de preparación y luego un QSA independiente para evaluar. Esa separación también mantiene la evaluación creíble ante su banco.
Nuestro papel junto a su QSA PCI
Le preparamos y luego coordinamos con su QSA durante la evaluación. Sin embargo, no somos un QSA, y nunca realizamos ni firmamos evaluaciones.
Pregunte también por la disponibilidad con tiempo, porque muchas firmas QSA se llenan antes del cierre de año. Una firma que no puede empezar antes de su fecha límite no le sirve, por buena que sea su reputación.
Preguntas sobre el QSA PCI
¿Siempre necesitamos un QSA PCI?
No. Muchos comercios se autoevalúan con un SAQ, según su nivel y su adquirente.
¿Nuestra consultoría puede ser nuestro QSA?
Es mejor mantenerlos separados, para que la evaluación siga siendo independiente.
¿Cómo encontramos un QSA PCI?
Use la lista oficial del sitio del PCI SSC, o pídanos presentaciones.
¿Ustedes son QSA?
No. Preparamos empresas y presentamos firmas QSA independientes.
Guías relacionadas
¿Necesita que le presentemos un QSA?
Indíquenos su nivel y su alcance. Le respondemos con una estimación de preparación y podemos presentarle firmas QSA independientes.
Quiero mi estimación por escrito