El artículo 12.1.2 de PCI DSS requiere que la política de seguridad de la compañía:
12.1.2 Incluye un proceso anual que identifica amenazas y vulnerabilidades, y da como resultado una evaluación de riesgos formal.
El NIST ha publicado una Guía para realizar Evaluaciones de riesgo , que es bastante detallada y podría utilizarse como nuestro proceso. Para satisfacer ese requisito, ¿basta con solo apuntar a la Guía NIST o debería la compañía desarrollar su propio proceso personalizado (aunque basado en la Guía)?