QSA (Qualified Security Assessor)

Définition

Un QSA, Qualified Security Assessor, est un auditeur individuel certifié par le PCI Security Standards Council, l'organisme sectoriel réunissant les principaux réseaux de cartes de paiement (Visa, Mastercard, American Express, Discover, JCB), habilité à conduire des évaluations formelles de conformité au standard PCI DSS pour le compte d'une société d'audit elle-même agréée QSAC (Qualified Security Assessor Company). Cette certification, obtenue après une formation dédiée et un examen validé annuellement, est requise pour les organisations classées niveau 1 selon la volumétrie de transactions cartes traitées annuellement, seuil variable selon le réseau de carte concerné, qui ne peuvent se contenter d'une auto-évaluation (SAQ, Self-Assessment Questionnaire) contrairement aux niveaux inférieurs. L'audit mené par le QSA couvre l'ensemble des exigences du référentiel PCI DSS, dont la version 4.0 constitue désormais la norme de référence, incluant la segmentation réseau de l'environnement de données de cartes (CDE), le chiffrement du stockage et de la transmission des données de cartes, la gestion des accès et l'authentification multifacteur, ainsi que la surveillance et les tests de sécurité périodiques. À l'issue de l'audit, le QSA produit un rapport formel dit ROC (Report on Compliance), document officiel transmis aux réseaux de cartes et aux acquéreurs bancaires, attestant du niveau de conformité constaté à la date de l'évaluation.