Questo dipende da diverse cose. Sfortunatamente, il PDI DSS è un po 'vago in alcune aree e diversi auditor interpretano le cose in modo diverso. Aspettatevi che il vostro primo audit arrivi all'80% per capire che cosa avete bisogno di preparare, il 20% in realtà lo fa insieme, e quindi aspettatevi che i futuri audit procedano più agevolmente. Ma il tuo QSA ti dirà cosa si aspetta.
In generale, però, dovresti avere delle regole scritte su come proteggi i tuoi dati (backup, live, ecc.) e essere in grado di produrre registri e prove che dimostrino che segui le procedure.
Ad esempio, per soddisfare la sezione 6, gli sviluppatori devono avere un processo di sviluppo documentato. Facciamo e il nostro processo include passaggi come la revisione del codice (quindi forniamo copie delle revisioni del codice completate) procedure per chiedere agli amministratori di pubblicare un elemento taggato specifico dal controllo del codice sorgente per affrontare la separazione dei dubbi (quindi forniamo i ticket di richiesta di modifica che specificano quale versione del codice sorgente viene pubblicato su quale data / ora).
Lo stesso vale per il resto dell'audit. Documentate le vostre procedure e fornite la prova che seguite tali procedure.
Per quanto dettagliata dovrebbe essere la politica, dovresti costruire la tua scia cartacea nelle politiche, in modo che l'auditor sappia cosa aspettarsi per la documentazione, e così ti costringi a raccogliere la documentazione per tutto l'anno. Rende le cose molto più facili. Includi elementi come "Tutte le modifiche sono registrate (nomina un sistema)", quindi registra effettivamente le modifiche in quel sistema .
Le probabilità sono che le tue pratiche attuali non soddisfano al 100% i requisiti o che non sarai in grado di fornire quella documentazione. In genere ciò sembra prevedibile in occasione di una prima verifica (o così raccolgo dai nostri auditor) e la prima verifica è una sorta di apertura agli occhi. Ti insegna dove devi migliorare le tue politiche (e migliorarle adesso). Probabilmente avrai l'opportunità di fornire ciò che hai e iniziare a redigere nuove politiche sotto la guida del tuo auditor. Negli anni successivi, aspettati meno clemenza.