我知道PCI內部安全評估員（ISA）可簽署商家合規報告（ROC），但ISA可以驗證1級商家同時也是服務提供商的合規性嗎？如果不可以，應該如何處理這種情況？
Matthew Pascucci：內部安全評估員和合格安全評估員（QSA）之間存在差異，他們能夠驗證的評估也有所不同。在這些評估中，還有特定級別的提供商和商家需要不同標準的驗證。
內部安全評估員通常是被評估企業的內部員工，這種近距離接觸業務可更好地了解系統所有者的流程，但當涉及1級服務提供商時，則需要有第三方視角。
服務提供商被定義為代表另一家企業或組織處理、存儲或傳輸持卡人數據的實體。與商家一樣，現在有多個級別的服務提供商，1級商家需要合格安全評估員來完成合規報告。
1級服務提供商每年執行超過30萬次信用卡交易，相比之下，2級服務提供商允許進行年度自我評估調查，內部安全評估員就已經足夠。
Mastercard公司表示，成功完成現場評估和季度網絡掃描需要30萬筆交易?，F場評估合規報告必須由MasterCard公司的合格安全評估員完成和提交，當在尋找合格安全評估員時，應該瞄準擁有1級服務提供商成功案例經驗的評估員。
通過合格安全評估員，企業可通過具有企業外視角和經驗的評估員獲得現場評估。這并不是與內部安全評估員對立，但可提供對PCI標準的額外觀點，讓合格安全評估員為評估提供更多經驗。
這也是讓第三方參與以驗證企業是否符合標準，而沒有依靠內部資源。但這并不意味著合格安全評估員比內部安全評估員更熟練，只是他們可帶來內部安全評估員可能沒有的PCI標準相關的體驗。
當然，合格安全評估員也有缺點。他們可能更傾向于通過審計，而不用擔心企業是否真正安全。這是筆者的猜測，但筆者認為這應該是能夠為1級服務提供商完成合規報告的合格安全評估員的心態。
由于1級提供商被用于大量客戶交易，有時候涉及特定技術，所以PCI理事會會決定讓合格安全評估員為1級服務提供商進行評估。
京公網安備 11010502049343號