12.9.2
Определенные требования подхода:
Дополнительное требование только для поставщиков услуг:
TPSP поддерживают запросы своих клиентов на получение информации для выполнения требований 12.8.4 и 12.8.5, предоставляя следующее по запросу клиента:

Цель Индивидуального подхода:
TPSP предоставляет информацию, необходимую для поддержки усилий своих клиентов по соблюдению PCI DSS.

Примечания по применимости:
Это требование применяется только в случае, если оцениваемая организация является поставщиком услуг.

Цель:
Если TPSP не предоставляет необходимую информацию для того, чтобы ее клиенты могли выполнить свои требования по безопасности и соответствию, клиенты не смогут защитить данные держателей карт и выполнить свои контрактные обязательства.

Надлежащая практика:
Если у TPSP есть Attestation of Compliance (AOC) по PCI DSS, ожидается, что TPSP предоставит его своим клиентам по запросу, чтобы продемонстрировать свой статус соответствия PCI DSS.
Если TPSP не проходил оценку по PCI DSS, он может предоставить другие достаточные доказательства, чтобы продемонстрировать, что он соответствует применимым требованиям, без прохождения формальной валидации соответствия. Например, TPSP может предоставить конкретные доказательства оценщику клиента, чтобы тот мог подтвердить, что соответствующие требования выполнены. В качестве альтернативы TPSP может пройти несколько оценок по запросу каждого из оценщиков клиентов, каждая из которых будет направлена на подтверждение того, что соответствующие требования выполнены.
TPSP должны предоставлять своим клиентам достаточные доказательства, чтобы те могли удостовериться, что объем оценки PCI DSS для TPSP покрывает услуги, применимые к клиенту, и что соответствующие требования PCI DSS были проверены и признаны выполненными.
TPSP могут определить свои обязательства по PCI DSS одинаковыми для всех своих клиентов; в противном случае это обязательство должно быть согласовано как с клиентом, так и с TPSP. Важно, чтобы клиент понимал, какие требования PCI DSS и подпункты требований TPSP согласились выполнить, какие требования являются общими для TPSP и клиента, и в случае общих требований — как эти требования делятся и кто несет ответственность за выполнение каждого подпункта. Примером способа документирования этих обязательств является матрица, которая идентифицирует все применимые требования PCI DSS и указывает, кто из сторон (клиент или TPSP) несет ответственность за выполнение того или иного требования или для которых требуется совместная ответственность.

Дополнительная информация:
Для дальнейших указаний см. следующие материалы: