Что нужно знать об индивидуальном подходе перед началом аудита PCI DSS?

25.09.2026

PCI DSS v4.0.1 позволяет не только выполнять требования стандарта, но и выбирать собственный способ реализации. Такой метод называется Customized Approach — индивидуальный подход.

Вместо решения, установленного стандартом, компания может разработать собственные меры контроля. Однако просто внедрить альтернативу недостаточно. Необходимо описать принцип работы решения, проанализировать связанные риски и предоставить доказательства эффективности в ходе оценки PCI DSS.

Разберемся, как работает Customized Approach, что нужно подготовить компании, что проверяет квалифицированный аудитор безопасности (QSA) и чем этот подход отличается от Compensating. 

Два подхода PCI DSS

PCI DSS предусматривает два способа выполнения отдельных требований — Defined Approach и Customized Approach. Основное различие заключается в том, кто определяет меры контроля и как проверяется эффективность решения.

Defined Approach — компания выполняет требование способом, определенным PCI DSS. QSA проверяет решение в соответствии с процедурами тестирования, приведенными в стандарте.

Customized Approach — компания разрабатывает собственный контроль для достижения конкретной цели безопасности — Customized Approach Objective. QSA отдельно определяет процедуры проверки такого решения и тестирует его эффективность.

Когда компания может выбрать Customized Approach?

Организация может применять индивидуальный подход не ко всем требованиям PCI DSS. Это возможно только в том случае, если для соответствующего требования стандарт содержит «цель индивидуального подхода» (Customized Approach Objective) — задачу безопасности, которую необходимо решить.

PCI DSS определяет результат защиты, а компания может самостоятельно выбрать меры контроля для достижения этой цели и подтвердить эффективность решения.

Индивидуальный подход больше подходит компаниям, которые:

Для подтверждения соответствия по Customized Approach нельзя использовать анкету самооценки (Self-Assessment Questionnaire, SAQ). Необходимо пройти полную оценку и оформить отчет о соответствии (Report on Compliance, ROC).

Как подтвердить эффективность контроля

Для каждого требования, которое компания выполняет в рамках индивидуального подхода, организация должна подготовить отдельный пакет доказательств:

Матрица контролей описывает назначение контроля, сферу применения, ответственных лиц, принцип работы, способы мониторинга и связь с целью Customized Approach Objective.

TRA объясняет, какие активы защищает контроль, от каких угроз и последствий, как оценен риск и почему выбранное решение обеспечивает нужный результат.

Документ необходимо обновлять не реже одного раза в 12 месяцев. Также TRA пересматривают после существенных изменений в контроле, рабочей среде или связанных рисках.

Документированные доказательства должны быть одобрены высшим руководством компании.

Что проверяет QSA в рамках Customized Approach?

Аудитор не ограничивается стандартными процедурами проверки в соответствии с PCI DSS. Для внутреннего контроля компании он самостоятельно определяет, что и как необходимо проверить.

Что делает QSA в рамках аудита:

Для проверки QSA может анализировать документацию и настройки систем, проводить интервью с сотрудниками, наблюдать за работой контроля и проверять выборку доказательств.

Именно поэтому Customized Approach обычно требует больше времени и ресурсов, чем Defined Approach. Компании недостаточно настроить собственный контроль один раз. Необходимо постоянно собирать доказательства того, что решение работает и остается эффективным.

Customized Approach vs Compensating Controls

Эти два подхода решают разные задачи. Компенсирующие меры (Compensating Controls) используются, когда существует документально подтвержденное техническое или бизнес-ограничение, из-за которого требование PCI DSS невозможно выполнить установленным способом.

Customized Approach применяется, когда компания сознательно выбирает собственный способ достижения определенной цели безопасности.

Дефицит бюджета, нежелание выполнить требование или отсутствие необходимого контроля не являются основаниями для применения Compensating Controls. Для этого должно существовать подтвержденное техническое или бизнес-ограничение.

В CCW следует описать:

К одному требованию можно применять разные подходы — в зависимости от системного компонента. Например, для одних серверов можно использовать Defined Approach, для других — Compensating Controls, а для облачной инфраструктуры — Customized Approach.

Каждый вариант необходимо отдельно обосновать, задокументировать и оценить.

Одно требование — 3 способа реализации

Рассмотрим требование PCI DSS 5.2.1. Оно предусматривает защиту от вредоносного ПО на всех компонентах системы, которые могут быть заражены.

Defined Approach
Компания устанавливает антивирус или другое средство защиты от вредоносного программного обеспечения на серверах, рабочих станциях и других системах в соответствии с требованиями.

Аудитор проверяет, охватывает ли защита все необходимые системы, правильно ли она настроена и регулярно ли обновляется. Также проверяет журналы сканирований, обнаруженных угроз и мер реагирования на них.

Compensating Controls
У компании есть устаревший сервер, на который невозможно установить антивирус из-за технических ограничений производителя.

В таком случае организация документирует это ограничение в CCW и применяет другие меры: изолирует сервер в сети, запрещает ему доступ к интернету и ограничивает права администраторов. Кроме того, предприятие контролирует передачу файлов и собирает логи в системе мониторинга безопасности.

После этого компания должна доказать, что такие меры снижают риск заражения и компенсируют отсутствие стандартной защиты.

Customized Approach
Организация использует облачную среду с микросервисами. Вместо обычного антивируса она разрешает запускать только проверенный код, контролирует целостность и отслеживает подозрительное поведение процессов.

Неизвестный, неподписанный или измененный код система блокирует в соответствии с установленными правилами. Компания описывает собственный контроль в Controls Matrix, проводит целевой анализ рисков TRA и собирает доказательства работы решения.

QSA отдельно определяет порядок проверки и оценивает, предотвращает ли этот подход заражение вредоносным ПО или своевременно выявляет и блокирует его.

Как подготовиться к аудиту и избежать рисков

Customized Approach предоставляет компании большую гибкость в выборе средств защиты. В то же время он требует зрелого управления рисками, подробной документации, постоянного мониторинга и доказательств эффективности собственных контролей.

Если требование можно выполнить стандартным способом, используется Defined Approach. Если этому мешает задокументированное техническое или бизнес-ограничение, могут применяться Compensating Controls. Customized Approach уместен, когда у компании есть собственные меры контроля и она может доказать, что они достигают заданной цели безопасности.

Планируете внедрять собственные меры контроля или готовитесь к оценке PCI DSS? Обратитесь к нам за консультацией, чтобы определить подходящий подход, подготовить необходимые доказательства и снизить риск несоответствий во время аудита.

Автор — Геннадий Дмитриев, аудитор информационных технологий IT Specialist