У меня к Вам следующий вопрос относительно SSP-DSS.<br />
<br />
Согласно описанным требованиям стандарта, при первом аудите компания должна иметь ежеквартальные отчеты по SSP-DSS со статусом COMPLINCE.<br />
Я хотел узнать, так как наша компания проходит аудит уже не в первый раз обязательно ли выполнять данное требование. <br />
Т.е. на данный момент мы провели внешнее сканирование (SSP-DSS) и результат был NOT COMPLINCE, выявленные уязвимости сейчас исправляются, но вопрос нужно ли сразу после устранения всех выявленных (в отчете) уязвимостей, проводить еще одно сканирование? Либо можно его провести в следующем квартале? Так как каждое доп. сканирование несет за собой дополнительные финансовые расходы.<br />
Плюс вопрос каким образом устанавливается статус COMPLINCE или NOT COMPLINCE, т.е. какое количество замечаний допустимо LOW, MEDIUM, HIGH

Согласно требованиям 11.2.b-c компания должна регулярно (ежеквартально) проводить внешнее сканирование в соответствии с PCI Security Scanning Procedures, а так же после внесения любых значительных изменений в сеть. В случае обнаружения уязвимостей они должны оперативно устранятся, после чего должны выполнятся повторные сканирования, подтверждающие отсутствие уязвимостей.

На каждом аудите (не только на первом) компания должна подтвердить наличие данного процесса, предоставив отчеты за последний 12-месячный период (как минимум 4 отчета о ежеквартальных сканированиях). Исключение делается только для компаний проходящих аудит впервые и реализовавших процесс сканирования менее 12 месяцев до проведения аудита, в этом случае компания должна предоставить отчеты с момента внедрения процесса сканирования, включая отчеты о повторных сканированиях, подтверждающие отсутствие уязвимостей.

Для получения статуса COMPLIANT каждый IP-адрес не должен иметь уязвимостей классифицированных выше уровня Medium, то есть недопустимо ни одной уязвимости уровня High, Critical или Urgent. Для получения общего статуса COMPLIANT, все компоненты (IP-адреса) должны иметь статус COMPLIANT.

Спасибо, за подробный ответ.